← España

PS-00524-2023

1/31 Procedimiento Nº: PS/00524/2023 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos ante la entidad, TECHPUMP SOLUTIONS S.L. (TECHPUMP), CIF.: B33950338, titular de las páginas web: ***URL.1; ***URL.2, ***URL.3, ***URL.4; ***URL.5, por la presunta vulneración de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y atendiendo a los siguientes: ANTECEDENTES PRIMERO: Con fecha 22/12/23, la Directora de la Agencia Española de Protección de Datos acordó la apertura de actuaciones previas de investigación frente a la entidad, TECHPUMP SOLUTIONS S.L. atendiendo a los poderes de investigación que la autoridad de control puede disponer al efecto, establecidos en el apartado 1), del artículo 58 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), y en relación la “Política de Cookies” seguida en las páginas webs indicadas anteriormente. SEGUNDO: Con fecha 27/12/23, La Subdirección de Inspección de la Agencia Española de Protección de Datos realizó la siguiente diligencia respecto de la “Política de Cookies” de las páginas webs citadas anteriormente, obtenida a través de la herramienta “inspeccionar  aplicación” del navegador de Google Chrome y después de haber limpiado la memoria caché del navegador web y sus cookies, y tras haber forzado al navegador a descargar la última versión de la página web alojada en el servidor remoto: a).- Sobre la instalación de cookies sin el previo al consentimiento del usuario: En las comprobaciones realizadas en las webs en cuestión se comprobó que al entrar en las mismas, por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la misma, se utilizaban las siguientes cookies propias: - En la web ***URL.2, se utilizaba una cookie propia, “OptanonConsentimiento”, detectada como de naturaleza técnica. - En la web ***URL.1, se utilizaba una cookie propia “OptanonConsentimiento”, detectada como de naturaleza técnica y las cookies propias, “usuario_país”; “stop_redirect”; “país” y “redirect_es” cuya misión no pudo ser identificada, aunque según la información aportada en la “Política de Cookies” de la web, dichas cookies eran “necesarias para que el sitio funcione…” - En la web ***URL.4, se utilizaba una cookie propia: “stop_redirect”, cuya misión no pudo ser identificada, aunque según la información aportada en la “Política de Cookies” de la web era una cookie necesaria, utilizada para redireccionar al usuario a la zona del país de origen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/31 - Al intentar entrar en las webs ***URL.3 y ***URL.5 se observó que se redireccionaba al usuario a la página web ***URL.

  1. b).- Sobre el consentimiento a la instalación de cookies en el equipo terminal: Se comprobó que, si el usuario no prestaba el consentimiento en panel de control de través de la opción “rechazar todas”, e iniciaba la navegación por cualquiera de ellas, éstas empezaban a utilizar, dos cookies de terceros, “__uvt” y “__upt”, cuyo dominio pertenece a “.magsrv.com”. El dominio “magsrv.com” está clasificado en internet como distribuidor de “adware”, que es un software que muestra anuncios no deseados en el dispositivo del usuario, que puede interrumpir la experiencia del usuario, ralentizar los sistemas y comprometer la privacidad al recopilar datos para publicidad dirigida. Se pudo detectar que la misión de la cookie “__uvt”, era la de realizar operaciones estadísticas sobre preferencias de los usuarios para ofrecer publicidad dirigida, pero respecto de la cookie “__upt”, su misión no pudo ser identificada. Tampoco existía información sobre ella en la “Política de Cookies” de las páginas web investigadas. c).- Sobre el banner de información de cookies existente en la primera capa y en la “Política de Cookies”: El banner de información sobre cookies existente en la primera capa de las webs en cuestión se informaba de que utilizaban cookies propias y de terceros e informaban del modo en que el usuario podía aceptar, configurar o rechazar la utilización de cookies. También se indica que las finalidades para las que se utilizarán las cookies, era “para fines analíticos y mostrar contenido personalizado en base a un perfil elaborado a partir de los hábitos de navegación (…)”, No obstante, se pudo comprobar que, de las dos cookies de terceros instaladas cuando se iniciaba la navegación web (“__uvt” y “_upt”), no existía ningún tipo de información sobre las mismas en la “Política de d).- Sobre la posibilidad de retirar el consentimiento una vez prestado. Se comprobó que, si el usuario había prestado su consentimiento para el uso de banner de información inicial o a través de consentimiento prestado en el panel de control y deseaba modificarlo después, sí existía la posibilidad de acceder nuevamente al panel de control a través del enlace existente en la “Política de Cookies” de las webs. No obstante, si el deseo del usuario era ahora rechazar todas las cookies cliqueando en la opción <<Rechazar todas>> o moviendo los cursores de los grupos de cookies a la posición “OFF” y cliqueando en <<Confirmar mis preferencias>> , del panel de control, se comprobaba como las webs seguían utilizando las cookies de terceros instaladas. Esto es, no eliminaba las cookies en cuestión, por lo que esta herramienta, presente en las webs, no era operativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/31 TERCERO: Con fecha 29/12/23, D. A.A.A. presenta escrito de reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirigía contra la entidad TECHPUMP SOLUTIONS S.L. con CIF.: B33950338, titular de las páginas webs citadas anteriormente, por la presunta vulneración de LSSI y en su escrito manifestaba que tras haberse indicado que se había instalado un sistema de verificación de edad para las páginas porno indicadas, había entrado en algunas de ellas para ver como estaban configuradas, puesto que había pasado casi dos años desde el inicio del procedimiento que dio lugar al anterior expediente sancionador (PS/00555/2021), abierto en esta Agencia, comprobando que se seguía incumpliendo lo establecido en la norma sobre política de cookies. CUARTO: Con fecha 28/02/24, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad TECHPUMP SOLUTIONS S.L. con CIF.: B33950338, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), por la presunta vulneración del artículo 22.2 de la LSSI, respecto a la “Política de Cookies” de las páginas webs de su titularidad. En el acuerdo de apertura se determinó que las posibles vulneraciones de lo establecido en el artículo 22.2 de la LSSI eran como consecuencia de la utilización de rechazarlas; la falta de información en la “Política de Cookies” sobre la finalidad de estas cookies y la imposibilidad de retirar el consentimiento si éste era prestado previamente. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo que resultase de la instrucción, ascendería a 30.000 euros por las deficiencias detectadas en la “Política de Cookies” de la página web ***URL.2, 30.000 euros por las deficiencias detectadas en la “Política de Cookies” de la página web ***URL.1 y 30.000 euros por las deficiencias detectadas en la “Política de Cookies” de la página web ***URL.4 QUINTO: Notificado el acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones el 25/03/24, basándose en los siguientes argumentos: - La vulneración del principio “non bis in idem”, defendiendo que los hechos que son tratados en presente expediente (PS/524/2023), tienen identidad subjetiva, fáctica y causal, con los que ya se analizaron en el expediente PS/555/
  2. - La prejudicialidad contencioso-administrativa al existir de una cuestión prejudicial, con la circunstancia añadida de que sin haber sido contestadas procesalmente las mismas se abre este nuevo expediente sancionador, con idénticos caracteres y sobre la misma materia que los anteriores. - Que, ante el mencionado procedimiento contencioso administrativo, así como en relación con el expediente PS/00523/2023, se presentó el documento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/31 revisión de las cookies de Techpump, auditoría externa de medidas implementadas en las webs de contenidos para adultos de la compañía (N REF. 21B 7), donde todas aquellas cuestiones indicadas han sido solucionadas y subsanadas. - La desproporción en relación a los expedientes iniciados por la AEPD respecto de otras empresas competidoras en contenidos para adultos. SEXTO: Con fecha 26/03/24 se recibe en esta Agencia un nuevo escrito de alegaciones en el que se manifiesta lo siguiente: Que como complemento al escrito presentado esta mañana se adiciona el presente elaborado por el departamento técnico de la empresa acerca de los motivos por los que se ha iniciado este expediente a la vista del siguiente: Resumen cookies __uvt y __upt
  3. Cookies Involucradas: La empresa ExoClick gestiona dos cookies específicas, denominadas __uvt y __upt.
  4. Estado en Diciembre: Durante diciembre, cuando la agencia de protección de datos evaluó las cookies, no existían medidas implementadas para bloquear estas cookies específicas ya que ExoClick no tenía opción de bloquearlas.
  5. Solución en Febrero: En febrero, ExoClick presentó una solución que permite bloquear las cookies __uvt y __upt cuando los usuarios eligen bloquear todas las cookies en el sitio.
  6. Implementación Parcial: Esta solución se ha implementado solamente en dos sitios web, XXXXXXX y XXXXXXX. Aún falta su implementación en XXXXXXXX.
  7. Impacto del Bloqueo de Cookies: Al bloquear estas cookies, se observa que no aparece publicidad alguna en los sitios web.
  8. Solución Pendiente de ExoClick: ExoClick todavía necesita desarrollar una solución que permita mostrar publicidad en los sitios web incluso cuando estas A tener en cuenta: Para abordar este problema, ExoClick introdujo en febrero una solución que permite a los usuarios bloquear estas cookies. Sin embargo, esta solución se ha implementado de manera limitada, estando activa solo en dos de sus principales sitios web, XXXXXXX y XXXXXX, mientras que sitios como XXXXXXX aún están pendientes de implementación. Es importante destacar que el bloqueo de estas cookies tiene un impacto significativo en la visualización de publicidad en los sitios web. Cuando un usuario opta por bloquear las cookies __uvt y __upt, no se muestra ningún tipo de publicidad. Esta situación plantea un desafío para ExoClick, que aún debe encontrar una manera de mostrar publicidad sin el uso de estas cookies. Por todo lo expuesto, SOLICITO que tenga por cumplimentado en tiempo y forma C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/31 legal el requerimiento efectuado en el Expediente 00524/2023, procediéndose, al archivo sin más trámite de las presentes actuaciones. SÉPTIMO: Con fecha 22/05/24 se formuló propuesta de resolución en el sentido de que por la Directora de la AEPD se sancionase a la parte reclamada, por la vulneración del artículo 22.2 de la LSSI, respecto a la “Política de Cookies” de las páginas webs en cuestión, con 30.000 euros (treinta mil euros) por las deficiencias detectadas en la “Política de Cookies” de la página web ***URL.2, 30.000 euros (treinta mil euros) por las deficiencias detectadas en la “Política de Cookies” de la página web ***URL.1 y 30.000 euros (treinta mil euros) por las deficiencias detectas en la “Política de Cookies” de la página web ***URL.
  9. La propuesta de resolución se realizó conforme a las deficiencias detectadas en la “Política de Cookies”, de las webs en cuestión y que eran, en esencia, las siguientes: - Aunque el usuario no prestara el consentimiento para utilizar cookies que no fueran de naturaleza técnica, e iniciaba la navegación por cualquiera de las páginas web indicadas, éstas empezaban a utilizar dos cookies de terceros: “__uvt” y “__upt”, cuyo dominio pertenece a “.magsrv.com”, pudiéndose comprobar que, la cookie “__uvt”, era utilizada para realizar operaciones estadísticas sobre preferencias de los usuarios y mostrar publicidad dirigida y respecto de la cookie “__upt”, su misión no pudo ser identificada. Tampoco existía información sobre las mismas en la “Política de Cookies” de las webs. - Que, sobre la posibilidad de modificar el consentimiento, aunque existiera la posibilidad de acceder nuevamente al panel de control a través del enlace existente en la “Política de Cookies” de las webs y se retirase el consentimiento prestado, las webs seguían utilizando las cookies de terceros instaladas. Esto es, las cookies instaladas no eran eliminadas, por lo que esta herramienta, presente en las webs, no era operativa. OCTAVO: Con fecha 13/06/24, la entidad TECHPUMP presenta escrito de alegaciones a la propuesta de resolución donde manifiesta lo siguiente: Nota: Solamente se trascribe el apartado C) y D) del escrito de alegaciones, pues corresponde a las alegaciones presentas respecto a los acontecimientos que se están tratando en el presente expediente, el PS/00524/2023, omitiendo las alegaciones presentadas en los apartados A) y B) por economía procesal, al hacer referencia a los acontecimientos tratados en los expedientes PS/00555/2021 y PS/00523/2023 respectivamente y que serán resueltas, en su caso, en el seno de dichos expedientes: “CUESTIÓN PREVIA: Esta representación lleva a cabo una alegación conjunta con relación a los diversos procedimientos sancionadores abiertos por la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS a TECHPUMP como consecuencia de la existencia de diversos expedientes sancionadores relacionados con la normativa vigente de protección de datos personales. Mediante el presente escrito de alegaciones al mismo tiempo se procede a cumplimentar el requerimiento efectuado en el Procedimiento PS524/2023, en tiempo y forma legal, derivado de la Propuesta de Resolución del meritado Procedimiento Sancionador de fecha 22 de mayo de
  10. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/31 Este escrito de alegaciones mantiene referencias que reproduce de contestaciones anteriores e incluye actualizaciones y alegaciones nuevas en relación a los mismos. También contiene referencias (REF) que ayudan con las trazabilidades de los documentos de acuerdo con el sistema interno utilizado de mejora continua en protección de datos de carácter personal. Asimismo siempre que se mencione a Techpump nos referimos a Techpump Solutions, S.L. Y al referirnos a páginas web de Techpump nos referiremos en la mayoría de las ocasiones a las páginas con contenidos exclusivos para adultos, lo que no quiere decir que Techpump tenga otras páginas web, y como ejemplo www.padresprotegen.com que es una web educativa para padres y tutores precisamente para proteger a menores. A). CON RELACIÓN AL PS 55/2021: (…) B). PROCEDIMIENTO PS 523/2023: (…) C) EXPEDIENTE 524/2023 Finalmente, a mi representada se le incoó el Procedimiento PS524/2023, efectuándose al respecto las siguientes alegaciones. PRIMERA. VULNERACIÓN DEL PRINCIPIO NON BIS IN IDEM. En primer término, esta parte alegó nuevamente la vulneración del principio non bis in idem, ya que los hechos que son enjuiciados en el expediente 00555/2021, tienen como más adelante se verá una identidad subjetiva, fáctica y causal, con los analizados en el presente expediente 524/2023, no existiendo diferencia alguna entre ambos procedimientos administrativos sancionadores. Pero es que además hay otro expediente sancionador que fue incoado y con referencia 523/2023 al que se dio respuesta, incluso se presentaron escritos de complemento en cuanto a las distintas medidas que se adoptaron tanto a la presentación del escrito como con posterioridad. Entendíamos con todo ello que la AEPD estaba incoando distintos expedientes, además muy reiterativos en el tiempo, y que versan sobre las mismas materias y además que ya han sido resueltas. Todo ello sin dar respuesta a los escritos que venía presentando TECHPUMP SOLUTIONS S.L. y donde se demuestra una absoluta y sincera voluntad de colaboración por parte de esta mercantil, con la Agencia, generando con ello una clara indefensión. A mayor abundamiento, todo ello cuando a través de medios de comunicación TECHPUMP SOLUTIONS S.L. mostró una absoluta voluntad de colaborar con la AEPD, y cuando incluso se ha interesado una reunión, la cual ha sido denegada por parte de esta autoridad de manera incomprensible, dado que el objeto era abordar esta cuestión de importancia social de la manera más constructiva posible, más que incluso los procedimientos sancionadores incoados, los cuales en la práctica no van a solucionar los problemas, a los que mi representada está poniendo todo el empeño de dar una solución C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/31 constructiva, y asumidas tanto por el regulador en cuestión, como por mi propia representada. En cuanto a la calificación y aplicación del concepto del “non bis idem” al presente expediente, dimos por reproducido todo lo ya se había indicado en la contestación a la incoación del expediente PS 253/2023 en cuanto al alcance de las identidades subjetiva, fáctica y casual del principio invocado, así como la base jurídica de la legalidad y tipicidad y la proporcionalidad. Con todo ello, la sanción que se pretende en este nuevo procedimiento trae la misma causa legal que las anteriores, y por ello se está sancionando ya tres veces a mi representada por unos mismos hechos, lesionando con ello los derechos que deben proteger a la misma, frente a actuaciones irregulares y/o excesivas frente a la propia Administración, tal como ocurre en el presente caso, máxime teniendo en consideración que las actuaciones seguidas sobre la base del expediente 00555/2021 se encontraban expresamente impugnadas ante la Sección 1ª de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, y consiguientemente con ello, no tenían en el momento presente el carácter de firme, habiéndose además presentado demanda que fue admitida mediante diligencia de ordenación de fecha 13 de febrero de 2024, la cual se sustancia en el Procedimiento Ordinario número 1794/2022, tal como ha quedado indicado, ante la Sección Primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, y con las novedades conocidas por las partes incluyendo el pronunciamiento realizado por la Abogacía del Estado. Con ello se pone de manifiesto nuevamente la quiebra producida en este expediente del citado principio non bis in idem, con la consiguiente vulneración del artículo 25 de la Constitución Española, donde se reconoce expresamente el principio de legalidad en la actuación de la Administración. En este sentido se ha vulnerado la doctrina del Tribunal Europeo de Derechos Humanos, v.gr. en la Sentencia 15963/90, de 23 de octubre de 1995, Caso Gradinger v. Austria [ECLI: CE: ECHR:1995:1023JUD001596390], donde el TEDH, considera que la multa impuesta por la autoridad administrativa después de una condena por unos mismos hechos constituye una auténtica pena, lo que vulnera el principio non bis in ídem. Ha existido vulneración del artículo 4 del Protocolo 7 del Convenio Europeo de Derechos Humanos. Asimismo, debe tenerse presente la Sentencia 38237/1997, de 6 de junio de 2002, Caso Sailer v. Austria [ECLI: CE: ECHR:2002:0606JUD003823797], en la que por parte del TEDH se considera que el artículo 4 del Protocolo nº7 del Convenio Europeo de Derechos Humanos debe ser entendido en el sentido de que a través del mismo se prohíbe el inicio de un proceso o el enjuiciamiento de una segunda infracción, en tanto derive de hechos idénticos o sustancialmente iguales. Este precepto contiene una garantía contra un enjuiciamiento en un nuevo procedimiento, tal como de manera indebida está ocurriendo en el presente caso. En el plano interno, sirva de referencia entre otras muchas Sentencias del Tribunal Constitucional Español, la STC 177/1999, de 11 de octubre, Recurso de amparo 3657-
  11. Promovido frente a las Sentencias de la Audiencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/31 Provincial y del Juzgado de lo Penal núm. 22 de Barcelona que condenaron al recurrente como autor de un delito contra el medio ambiente. Vulneración del derecho a la legalidad penal. Dicho Alto Tribunal, expresa al efecto la doctrina acerca del principio non bis in idem, indicando que atendiendo a lo expuesto, es de advertir que no nos hallamos en la hipótesis de que los Tribunales del orden jurisdiccional penal aprecien diversidad de conductas o de hechos, o bien que no sean idénticos el fundamento o bien jurídico protegido tutelado por la norma administrativa y el preservado por el tipo penal aplicable y, ante tal ausencia de identidad, entiendan inaplicable la prohibición del bis in idem o dualidad de reproche punitivo, sino ante un caso que presenta la peculiaridad de que los órganos judiciales parten, como premisa inicial, de que concurren los mencionados elementos identificadores del principio que se alega como vulnerado, es decir, la triple identidad de sujeto, hecho y fundamento, y ello no obstante, no concluyen en un pronunciamiento absolutorio por la sola y única razón, explicitada en las Sentencias condenatorias, de la regla o criterio de prevalencia de la jurisdicción penal sobre la potestad administrativa sancionadora, entendiendo que ésta, por su rango subordinado, debe ceder en su ejercicio o manifestación ante el ius puniendi de aquélla, lo que conduce a la incriminación penal y consiguiente Sentencia condenatoria al estimar que la conducta del inculpado es constitutiva de delito, y ello pese a que la misma conducta haya sido anteriormente sancionada por la Administración. Puede, por ello, afirmarse que las Sentencias impugnadas constatan la vulneración material del non bis in idem, pero entienden ineludible la ulterior imposición de pena en aplicación de la indicada regla de prevalencia. El principio de non bis in idem se configura como un derecho fundamental del ciudadano frente a la decisión de un poder público de castigarlo por unos hechos que ya fueron objeto de sanción, como consecuencia del anterior ejercicio del ius puniendi del Estado. Se orienta, esencialmente, no tan sólo a impedir el proscrito resultado de la doble incriminación y castigo por unos mismos hechos, sino también a evitar que recaigan eventuales pronunciamientos de signo contradictorio, en caso de permitir la prosecución paralela o simultánea de dos procedimientos --penal y administrativo sancionador-- atribuidos a autoridades de diverso orden. A impedir tales resultados se encamina la atribución prioritaria a los órganos jurisdiccionales penales del enjuiciamiento de hechos que aparezcan, prima facie, como delitos o faltas. Hemos de concluir que, irrogada una sanción, sea ésta de índole penal o administrativa, no cabe, sin vulnerar el mencionado derecho fundamental, superponer o adicionar otra distinta, siempre que concurran las tan repetidas identidades de sujeto, hechos y fundamento. Es este núcleo esencial el que ha de ser respetado en el ámbito de la potestad punitiva genéricamente considerada, para evitar que una única conducta reciba un doble reproche. Todo ello lleva a la conclusión, de que tal como ocurre en el presente caso, se está produciendo en el orden administrativo sancionador, que presenta y reviste los mismos caracteres que la propia jurisdicción de carácter penal, a la imposición de una doble sanción por hechos análogos a los ya sancionados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/31 anteriormente, existiendo entre ambos procedimientos las correspondientes identidades subjetiva, fáctica y casual, lo que determina, precisamente, la aplicación del principio “non bis in idem” ahora invocado, así como la misma base jurídica relativa a la legalidad, a la tipicidad y a exigencia de la proporcionalidad, que debe existir en el uso de las facultades administrativas sancionadoras. SEGUNDA. PREJUDICIALIDAD CONTENCIOSOADMINISTRATIVA. A los efectos de evitar reiteraciones argumentativas, es procedente dar por reproducidas las manifestaciones realizadas en el expediente 523/2023, a las cuales es procedente remitirse a los efectos de tener en consideración la existencia de una cuestión prejudicial de índole contencioso-administrativa, con idénticos caracteres y sobre la misma materia que los anteriores. TERCERA. DE MANERA SUBSIDIARIA A LOS ANTERIORES APARTADOS Y EN RELACIÓN CON LAS CONSIDERACIONES REALIZADAS POR EL AEPD. Ha de indicarse que, ante el mencionado procedimiento ante la Sala de lo Contencioso Administrativo, así como en relación con el anterior expediente 523/2023, se presentó el DOCUMENTO DE REVISIÓN DE LAS COOKIES DE TECHPUMP. AUDITORÍA EXTERNA DE MEDIDAS IMPLEMENTADAS EN LAS WEBS DE CONTENIDOS PARA ADULTOS DE LA COMPAÑÍA (N REF. 21B 7) del que por economía procesal no se acompañan las documentales ya que han sido aportadas en los mencionados procedimientos, a los que procede remitirse a los efectos de fundamentar el presente escrito de alegaciones, como el típico caso de fundamentación por remisión, a los efectos de la motivación de las presentes alegaciones. Entendemos que todas aquellas cuestiones indicadas por el regulador han sido abiertamente solucionadas y subsanadas por parte de mi representada, y, consecuentemente con ello, por lo tanto no procede la incoación de un nuevo expediente sancionador, sin perjuicio de que en este nuevo procedimiento se realizó una inspección. Concluimos que esta cookie efectivamente fue colocada temporalmente por un error técnico por parte del proveedor publicitario Exoclick sin estar activa en el momento que se realizó la auditoría externa (enero de 2024), y sin estarlo en la actualidad. Por ello se trató únicamente de un error temporal dentro de un proceso técnico. A estos efectos se le interesó al proveedor publicitario que emitiese informe el cual estamos pendiente de recibir, y en la actualidad la publicidad en caso de consentir cookies se gestiona con independencia de las cookies, lo que supone un total cumplimiento por parte de mi presentada. Y no solo eso, sino que además las páginas web de Techpump Solutions S.L. relacionadas con contenidos para adultos, como es el caso de las que se han abierto expediente está en un proceso claro de mitigación de errores en la ya mencionada transición a sitios de pago, así como al posible establecimiento de un sistema de pago también en caso de no aceptarse las cookies, lo que supondría una identificación del usuario de las webs, con lo que ello conlleva C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/31 en materia de privacidad del adulto pero también estableciendo un mejor sistema de control en evitación del acceso de menores, que como ya hemos indicado y demostrado documentalmente no tenemos indicios de que se haya producido en las webs para adultos de Techpump Solutions, S.L. Ni por las estadísticas de accesos ya mencionadas, ni por reclamación alguna a través del DPO o de los sistemas de compliance. Se acompañó un DOCUMENTO DE REVISIÓN DE LAS COOKIES llevado a cabo por parte de TECHPUMP SOLUTIONS, S.L. que constituía una AUDITORÍA EXTERNA DE MEDIDAS IMPLEMENTADAS EN LAS WEBS DE CONTENIDOS PARA ADULTOS DE LA COMPAÑÍA, de fecha 24 de enero de
  12. (N REF. 21 B 7). Además de lo anterior, y por su íntima relación, y habiendo sido aportado también en los expedientes sancionadores anteriores, se realizó una completa revisión del procedimiento de onboarding para la protección de los menores colocando a TECHPUMP SOLUTIONS S.L. con toda seguridad como el sitio actualmente más seguro en el ámbito de su sector de actuación, es decir, en este aspecto que se conoce y dentro de páginas de contenidos para adultos en abierto. Se acompañó como DOCUMENTO NUMERO 2º, DOCUMENTO DE REVISIÓN DEL PROCESO DE ONBOARDING DE TECHPUMP Y MECANISMO PARA EVITAR EL ACCESO DE MENORES. AUDITORÍA EXTERNA DE MEDIDAS IMPLEMENTADAS EN LAS WEBS DE CONTENIDOS PARA ADULTOS DE LA COMPAÑÍA. (N REF. 21 F 1 4). Pero, es que desde entonces además se ha implementado un nuevo procedimiento de Compliance (N REF. 21 C 0) denominado POLÍTICA DE PROTECCIÓN DE LA INFANCIA Y LA ADOLESCENCIA DE TECHPUMP y que se acompañó como DOCUMENTO NUMERO. No cabe duda de la intención de TECHPUMP SOLUTIONS S.L. que coloca en un plano de absoluta prioridad. CUARTA. DESPROPORCIÓN EN RELACIÓN CON LOS EXPEDIENTES INICIADOS POR LA AEPD RESPECTO DE OTRAS EMPRESAS COMPETIDORAS EN CONTENIDOS PARA ADULTOS. Debemos por último indicar, y como continuación a todo lo ya manifestado en las anteriores alegaciones, así como en los anteriores presentados en los expedientes administrativos sancionadores presentados contra mi representada, y todos los cambios que se vienen realizando dentro de esta más que demostrable voluntad de colaborar, que se percibe por parte de la misma, lleva consigo una más que evidente desproporción en cuanto al trato que esta empresas competidoras están recibiendo de la Agencia Española de Protección de Datos, cuyas páginas webs están recibiendo muchísimo más tráfico incluso que las de TECHPUMP SOLUTIONS S.L. Dichos sitios web a los que en ningún momento se le ha restringido el acceso a tráfico en España, pudiendo hacerlo si es que tanto preocupa, y que tienen muchísimas menos garantías que las que tienen las de TECHPUMP SOLUTIONS S.L., y al mismo tiempo, presentan circunstancias que pueden poner en riesgo el tratamiento de sus datos con relación a los menores y/o terceros, por no afirmar, que, en muchos casos, se encuentran carentes de cualquier tipo de garantía. En este sentido, véanse los comparables que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/31 acompañan en las documentales a modo de ejemplo, y por no entrar en verdaderos disparates en los que se accede libremente y sin restricción alguna de alguna clase desde España. Y no solo eso, sino que únicamente el sitio web generado por mi representada TECHPUMP SOLUTIONS S.L. en 2023 ***URL.7 es un referente en cuanto a la educación a padres, madres y tutores en la navegación segura, cuando incluso en instituciones educativas dependientes del Estado y de las Comunidades Autónomas ha habido denuncias de prácticas educativas muy inadecuadas y precoces a menores en relación a la formación sexual y no solo eso, sino que incluso se ha llegado a animar al visionado de pornografía a menores así como también practica sexuales inadecuadas para menores, lo que mucho se aleja de todos los esfuerzos que se vienen realizando desde TECHPUMP SOLUTIOS S.L. y que en este caso es la propia administración la que las tolera. Con toda esta experiencia es con lo que TECHPUMP SOLUTIONS S.L. ha realizado acercamientos a esta AEPD para intentar contribuir en el desarrollo de políticas adecuadas que pasan por la educación, dada la evolución tecnológica y el conocimiento que tienen los menores y que hace que los controles no funcionen, además del choque de derechos entre la libertad del adulto al acceso y la restricción a los menores. Lamentamos que este intento de acercamiento a la AEPD por parte de TECHPUMP SOLUTIONS obtenga como respuesta una nueva incoación de expediente sancionador que entendemos es desproporcionado y fuera de lugar por todo lo indicado, y que además en el caso que nos ocupa las medidas han sido ya implementadas. En todo caso, mi representada duda que otros sitios webs similares hayan mostrado una voluntad de colaborar tan evidente como lo está llevando a cabo la misma, con la intensidad, seriedad y compromiso en defensa de los mismos valores que trata de defender la Agencia Española de Protección de Datos. D). ALEGACIONES SOBRE EL CONJUNTO DE LOS EXPEDIENTES INCOADOS A MI REPRESENTADA, INCLUIDAS LAS CORRESPONDIENTES AL PS 524/2023 De manera conjunta a todos los expedientes incoados por la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS con relación a mi representada se efectúan a continuación, las siguientes alegaciones aclaratorias. PRIMERO. En el caso que nos ocupa, tal y como se desprende del conjunto de alegaciones llevadas a cabo por mi representada en lo EXPEDIENTES PS 00555/2021, PS00523/2023 PS524/2023, se evidencia ciertamente la existencia de incumplimientos llevados a cabo por mi representada, que se reconocen como tales, como se evidencia también que se ha desplegado por parte de la misma toda la actividad encaminada a corregir de manera eficiente y eficaz dichas anomalías haciendo desaparecer en la práctica dichas deficiencias evidenciadas por la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/31 Esta circunstancia mitigadora desarrollada por mi representada no es más que el reflejo que por parte de la misma, no se ha dudado en ningún momento en la necesidad de proteger la privacidad de las personas que se acercan a esta tipología de páginas webs, y al mismo tiempo, con un carácter fundamental, proteger los derechos de los menores a los efectos de que los mismos no tuvieran acceso alguno a dichas páginas webs. La comunicación pública realizada por parte de mi representada ha tratado de llevar al ánimo del público en general la necesidad y concienciarse efectivamente de la necesidad de establecer las oportunas medidas de protección que garantizan que dichos menores no tenían ni podían tener acceso a las meritadas páginas webs, habiendo conseguido este propósito. En este sentido debe recalcarse de una manera pormenorizada en importante las inversiones realizadas por parte de mi representada en el sentido de tratar de transmitir de manera holística y global a todo el mundo de la necesidad de concienciarse acerca de la necesaria protección de los menores. Ello se ha conseguido mediante la creación de webs específicas, tal como ha quedado indicado en las alegaciones incorporadas al presente documento, de formación y concienciación de padres, a los efectos de que por parte de los mismos se ejerza el debido control con relación a sus hijos menores y dichas páginas webs. Del mismo modo, debe ponerse de manifiesto, que por parte de mi representada se han desarrollado sistemas, en colaboración con las empresas proveedoras de servicios de internet, a los efectos de tratar de impedir el acceso no autorizado por parte de dichos menores a las indicadas páginas webs. Este esfuerzo de concienciación y de mitigación del hipotético daño que estas páginas pudieran causar, se ha tratado igualmente de mitigar, no solo corrigiendo y poniendo coto de una manera activa a todas las irregularidades puestas de manifiesto en sus actuaciones por la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, sino que la posición de mi representada ha ido más allá, en el sentido de ofrecer, dada la experiencia adquirida su colaboración legal y sincera tanto a los planes gubernamentales llevados a cabo al efecto por el GOBIERNO DE ESPAÑA, como por la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, con el propósito de colaborar en la regulación jurídica y tecnológica del sector, a los efectos que la tipología de estas páginas deje de ser un factor de conflicto con relación a los menores de edad. Adicionalmente a todo ello, no puede obviarse que mi representada TECHPUMP SOLUTIONS S.L. en prueba de su convicción de mitigar este tipo de riesgos, se ha puesto a la cabeza del sector de este tipo de páginas webs, tanto a nivel nacional como internacional desarrollando medios técnicos eficaces y convincentes a los efectos de proteger y preservar los legítimos derechos de los menores de edad con relación a este tipo de páginas webs. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/31 Estas circunstancias quedan suficiente y principalmente acreditadas en las alegaciones llevadas a cabo con relación al Expediente PS00555/2021, siendo igualmente constatable el mismo en lo que atañe al PS523/2023 y al PS524/2023 SEGUNDO: Por esta representación se solicita expresamente la acumulación de los procedimientos PS00555/2021, PS00523/2023 y PS524/2023, al versar los mismos sobre cuestiones idénticas, y en todo caso análogas a las condiciones técnicas que debían reunir dichas páginas webs, a los efectos de cumplir los requisitos de privacidad exigidos por la legislación vigente. La acumulación en el ámbito administrativo se configura como un acto de trámite que se adopta a modo de incidente dentro de un procedimiento principal por el órgano que lo ha iniciado o tramitado a los efectos de acumularlo a otros con los que guarde identidad sustancial o íntima conexión, siempre que sea el mismo órgano quien deba tramitar y resolver el procedimiento. Analizaremos a continuación su configuración legal. Con carácter general dispone el artículo 57 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), bajo la rúbrica de Acumulación que "el órgano administrativo que inicie o tramite un procedimiento, cualquiera que haya sido la forma de su iniciación, podrá disponer, de oficio o a instancia de parte, su acumulación a otros con los que guarde identidad sustancial o íntima conexión, siempre que sea el mismo órgano quien deba tramitar y resolver el procedimiento" y que "contra el acuerdo de acumulación no procederá recurso alguno". Esta acumulación de expedientes tiene su causa en el presente caso en la identidad sustancial que se produce entre los diversos expedientes incoados contra mi representada a los que se ha hecho puntual referencia, poseyendo entre los mismos una íntima conexión, ya que tal como se ha venido manifestando Esta decisión se adopta respecto de un procedimiento que forma un expediente administrativo. Por procedimiento administrativo hay que entender la sucesión de actuaciones realizadas por la Administración sujetas a las reglas generales iniciación y tramite previstas en el Título VI de la citada LPACAP y que finalizan mediante alguna de las formas de las previstas en el Capítulo V del mencionado Título. Los procedimientos se documentan en lo expedientes. La acumulación se puede acordar al tiempo de iniciarse el procedimiento o bien acordarse sobre procedimientos ya incoados, y puede hacerse de oficio o a instancia de parte. El artículo 57 LPACAP establece el requisito de que el órgano que decida la acumulación sea el mismo que deba tramitar y resolver el procedimiento. En este sentido, la jurisprudencia ya entendía que la decisión de acumular es discrecional y que el órgano que disponga la acumulación debe tener competencia para decidir sobre las materias a las que se refieren los procedimientos acumulados, hablando a tal efecto de "órgano con competencia más específica" (cf. sentencia del TS de 26 de diciembre de 1989). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/31 En cuanto al contenido de la decisión en sí, como se ha dicho la jurisprudencia entiende se trata de una decisión discrecional, ahora bien no puede olvidarse que el artículo 57 LPACAP, exige que entre los procedimientos que se acumulan deba existir la lógica "íntima conexión" o "identidad sustancial", conceptos jurídicos indeterminados éstos que deberán integrar la autoridad que decida acumular, lo que hace posible su impugnabilidad no aislada como se ha visto- pero sí respecto de la resolución que pone fin al procedimiento; en este sentido la idea de discrecionalidad debe matizarse y no identificarse con la irrecurribilidad de la decisión de acumular. Por otra parte, no es preciso oír a los interesados, de ahí que la jurisprudencia entienda que no concurre vicio de indefensión. Como se deduce de lo expuesto, el efecto que produce la acumulación es la de resolver en un solo procedimiento y en una sola resolución todas las cuestiones planteadas, que es básicamente lo que se solicita en el presente escrito. TERCERO. Esta representación tal como se deduce de las alegaciones, y de la prueba documental aportada en los apartados A), B), y C) del presente escrito de alegaciones pone de manifiesto ante la AGENCIA ESPAÑOLA DE PROTECCION DE DATOS la procedencia de que se consideren los factores de mitigación de la responsabilidad administrativa a imponer a mi representada. Ello debe dar comienzo por la aludida acumulación de expedientes sancionadores, a los efectos de no reiterar una misma sanción por los mismos hechos, o por hechos que sean consecuencia de los anteriores. Seguidamente, esta representación pone de manifiesto la necesidad de ponderar las circunstancias expresamente previstas en el número 2º del artículo 83 del Reglamento 2016/679 General de Protección de Datos de la UE, a los efectos de cuantificar de forma adecuada las multas que se impongan como consecuencia de presuntas infracciones administrativas. En este sentido, debe traerse a colación la intencionalidad o negligencia en la infracción, donde con relación a la misma, debe ponerse de manifiesto que la situación por la que se sancionó o se propuso la sanción a mi representada era la común existente en el mercado, tanto desde una perspectiva nacional como internacional, donde debe destacarse, tal como se ha puesto de manifiesto el nivel de reacción de mi representada en la implementación de medidas mitigadoras que sean verdaderamente eficaces, tal como ha ocurrido de manera efectiva, garantizando los derechos la libertades de los titulares de los datos comprometidos, e impidiendo el acceso de los menores a dichas páginas webs. Con relación al artículo 83.2.c., debe tenerse presente cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/31 En este caso, el conjunto de medidas a las que se ha hecho referencia en este escrito de alegaciones representa la adopción real y efectiva de dichas medidas, paliar los daños y perjuicios que se puedan producir al efecto, con la finalidad de que estos sean inexistentes al funciona adecuadamente los controles llevados a cabo voluntariamente por mi representada. Es importante resaltar al mismo tiempo, la capacidad de reacción de mi representada para paliar o evitar la producción de lesiones en los derechos de los usuarios, procediendo a corregir de una manera activa e inmediata las irregularidades que se han ido detectando al efecto. Del mismo modo, debe resaltarse el grado de cooperación de mi representada con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción, tal como se evidencia con las medidas adoptadas tal y como se constatan de los diversos escritos de alegaciones incorporados al presente documento. Asimismo, es importante poner de relieve, tal como se ha venido haciendo, la posición que ha asumido mi representado, que no ha dudado públicamente a través de diversos medios de comunicación de asumir sin dudas ni ambages, las posiciones gubernamentales y/o de la Agencia Española de Protección de Datos, tratando de concienciar y educar a los usuarios a los efectos de respetar en primer término, sus derechos y libertades en el ámbito de la privacidad, pero también en reforzar las medidas de educación, y el consiguiente control que las mismas llevan consigo, a los efectos de garantizar en todo momento el derecho de los menores de edad, como principal preocupación de mi representada, tal y como ha venido manifestando públicamente, debiéndose valorar dicho posicionamiento y actitud como una más que importante atenuante cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. La implementación expresa de una página web dirigida a los padres, con la inversión que ello ha llevado consigo debe interpretarse como una muestra de lealtad institucional por parte de mi representada, al igual que el hecho de haber implementado medios que han supuesto un recorte más que evidente de sus ingresos, a los efectos de garantizar los derechos de los usuarios y sobre todo, teniendo en consideración las medidas de carácter técnico y organizativas a los efectos de preservar el acceso de los menores. Consecuentemente con ello, debe traerse a colación la implementación de importantes medios económicos por parte de mi representada a los efectos de alinearse en la misma posición indicada, en este caso, por la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS. Con ello ahora mismo TECHPUMP SOLUTIONS, S.L. no solo tiene estás páginas webs para adultos contra las que se han incoado estos recurrentes expedientes sancionadores, sino que también una web educativa como no existe otra que se conozca y que ya se ha demostrado que está sirviendo una ayuda efectiva para padres y tutores los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/31 cuales pueden incluso dirigirse a mi representada en caso de plantearse cuestiones de índole técnico. CUARTO. Al hilo de lo expuesto en el apartado anterior, debe tenerse presente de manera adicional, pero sistemática las acciones emprendidas por mi representada a los efectos de mitigar de manera responsable y plenamente colaboradora con la AGENCIA ESPAÑOLA DE PROTECCION DE DATOS determinadas medidas que han garantizado los derechos de los titulares de los datos, y especialmente, como se viene señalando con una cierta reiteración, la protección específica de los menores de edad. Entre dichas medidas a las que debe hacerse una especial referencia, destacan por su importancia las que se citan seguidamente, y que son las que se exponen a continuación: 1). La generación de un procedimiento de Compliance en relación a menores. “POLÍTICA DE PROTECCIÓN DE LA INFANCIA Y LA ADOLESCENCIA DE TECHPUMP” ya aportado a la AEPD y designación de un Compliance Office externo. 2). La generación, tal como se ha hecho reiterada referencia en el presente escrito de alegaciones del sitio web www.padresprotegen.com por TECHPUMP SOLUTIONS S.L. para que a través del mismos tanto los padres, como los tutores puedan gestionar y limitar el acceso y la seguridad de los menores. Una iniciativa única por parte de un proveedor y dentro de estándares realistas utilizando como base la educación. 3). La realización de las oportunas comunicaciones con la AEPD con el propósito de colaborar tanto con la Agencia como con otras administraciones y con el Gobierno de España en este ámbito de actividad, a los efectos de aportar soluciones eficaces y eficientes, sobre la base de la experiencia adquirida por mi representada, como conocedora de este sector concreto de actividad, que puedan ayudar y aportar a esta Agencia con ideas y datos que pueden ser importantes ante la urgencia declarada de la situación. A mayor abundamiento cuando TECHPUMP SOLUTIONS S.L. es seguramente quien mejor cumple en el sector y cuando su cuota de mercado es ínfima en relación a operadores extranjeros en España. Todo ello documentado exhaustivamente en los escritos presentados. Dicha ayuda se ofrece de manera voluntaria y con toda generosidad a la Agencia a la que tengo el honor de dirigirme, y se interesa nuevamente su aportación, ya que la misma puede resultar siendo muy constructiva. 4). La contratación de un equipo jurídico externo para solventar las incidencias: Techpump ha contratado especialistas externos con el fin no de ocultar la problemática sino que de afrontarla con soluciones y planteamientos basados en la ética, lo que ha supuesto un cambio importante en particular en procesos de onboarding y en educación. 5). Tal como se ha expuesto también reiterativamente, mi representada ha lanzado diversas Campañas divulgativas en prensa del sitio web www.padresprotegen.org y de la voluntad de colaborar con la AEPD y con el Gobierno de España. Con ello TECHPUMP SOLUTIONS S.L. ha reconocido públicamente en todo momento su ánimo de aportar y de enmendar en definitiva incumplimientos. 6). La implementación y revisión continua de un proceso de onboarding más completo de páginas para adultos no cerradas existente en España en protección del menor y respetando el acceso de adultos de acuerdo con los procesos de minimización de los datos y el “equilibrio” exigente: Incluyendo fecha de nacimiento, acceso a sitios web educacionales, fondos oscuros hasta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/31 la aceptación de cookies, cookies de sesión, entre otras medidas técnicas y organizativas implementadas a tal efecto. 7). La realización de un Proyecto de migración a páginas de pago en los próximos meses sin contenidos abiertos y haciendo necesario registro. Frente a competidores extranjeros y con lo que supone de pérdida de cuota de mercado. Además Techpump implementará el sistema de pago para el caso de no aceptación de las cookies, lo que supone un control más de acceso al hacerse necesario el alta del usuario. Todo ello, obviando el coste económico que para mí representada supone la adopción de dichas medidas técnicas. 8). La configuración de un proceso de contacto con operadoras de telefonía móvil para restringir el acceso a abonados menores de edad. En este sentido, TECHPUMP SOLUTIONS S.L. Se está estudiando la implementación de un control de acceso en relación a la edad de los titulares de los terminales móviles restringiendo el acceso en caso de que el titular sea un menor. Para esto se ha procurado por parte de mi representada el contacto y la implicación de la propia AEPD, si bien se está ya comenzando la gestión con las operadoras. En este sentido TECHPUMP SOLUTIONS S.L. también apoyaría iniciativas que por ahora no han sido abordadas por la AEPD, hasta donde se tiene conocimiento, pero que están encaminadas a la prohibición de terminales de teléfono smartphones a menores de 14 años, como ya indican docentes que se hace necesario en pro de la protección de los menores y por la problemática que el uso temprano de estas tecnologías supone en el desarrollo y en la relación con los demás. TECHPUMP SOLUTIONS S.L. cuenta ya con estudios internos en este sentido. 9). La contratación y vinculación del Compliance con el RTA (Restricted to Adults) https://www.rtalabel.org/ siguiendo los estándares internacionales de la Association of Sites Advocating Child Protection (ASACP). Como colofón de todo ello, debe resaltarse el hecho de que TECHPUMP SOLUTIONS S.L. ha demostrado y demuestra cada día de manera palpable y evidente su absoluto compromiso con esta AEPD y demás organismos estatales, encaminado a apoyar de manera decidida las políticas y compromisos públicos de la Agencia Española de Protección de Datos protegiendo con ello a aquellas medidas que sean necesarias para garantizar los derechos de los usuarios. Se ha pretendido con ello una protección con independencia de cualquier planteamiento ideológico o político, sino que en defensa de la sociedad sin dejar de lado recomendaciones de ningún tipo encaminadas a una mayor protección en particular de los menores. Finalmente debe valorarse el hecho de esta colaboración leal, comprometida y sincera en este ámbito de actividad, lejos de la imagen que por terceros se ha querido proyectar de algunas empresas en este ámbito o sector, ya que operadores como TECHPUMP solo pretenden dentro de su negocio hacer las cosas lo mejor posible y colaborar en la educación. QUINTO. Consecuentemente con ello, por esta representación se solicita expresamente que se acumulen dichos procesos sancionadores, en primer término, y que en todo caso, se moderen las sanciones impuestas a mi representada, en función de la actividad de cumplimiento y de ortodoxia pretendida, que no solamente es ejemplar, sino que constituye un referente para todo el sector de actividad de estas páginas webs, en el sentido de la voluntad más que patente y evidente de adecuación a la normativa vigente en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/31 materia de protección de datos y privacidad, garantizando los derechos de los usuarios y de los menores. Por todo lo expuesto, SOLICITO DE LA AGENCIA DE PROTECCIÓN DE DATOS, que tenga por presentado este escrito, y por hechas las alegaciones que en el mismo se contienen. Y consecuentemente con las mismas: a). Que se tenga por cumplimentado en tiempo y forma legal, el trámite de alegaciones requerido correspondiente al procedimiento PS524/
  13. b). Que se acumulen los procedimientos PS00555/2021, PS00523/2023 y PS524/2023 al tener una íntima conexión entre los mismos, debiéndose tratar en un solo procedimiento de carácter administrativo. c). Dada la especial situación del procedimiento PS00555/2021, que se proceda al archivo sin más trámite del mismos. d). Que, en todo caso, se apliquen las circunstancias mitigadoras de la responsabilidad, a los efectos de la imposición de la sanción de multa, de acuerdo con las circunstancias de ponderación de la responsabilidad previstas en el artículo 83 del Reglamento (UE) 2016/679, General de Protección de Datos, a las que se ha hecho referencia, rebajándose las multas pecuniarias impuestas a mi representada en los expedientes a los que se ha hecho puntual referencia en el presente escrito de alegaciones. NOVENO: Con fecha 04/07/24, la entidad presenta un nuevo escrito de alegaciones en el cual manifiesta lo siguiente: Primero.- Que como ya se ha manifestado ante esta AEPD, en caso de aprobarse el sistema de onboarding publicado en la Nota de Prensa, TECHPUMP lo adoptará de inmediato, sin perjuicio de las medidas que ya han sido implementadas, demostrando que no viene establecido hasta la fecha un procedimiento de onboarding obligatorio para páginas para adultos, tal y como se hace patente con la propia nota del Ministerio que se acompaña. Segundo.- Que la publicación de la referida nota de prensa por lo tanto demuestra que hasta la fecha no existía un sistema de onboarding para páginas de adultos establecido, y por ello no es admisible que la AEPD pretenda sancionar a Techpump, cuando tiene un sistema de onboarding, más garantista que el de sus competidores, y no existía otro de uso obligatorio. Tercero.- Que el sistema de onboarding que pretende establecerse según la mencionada nota de prensa, incluye datos de carácter personal que a nuestro entender suponen una importante vulneración de los derechos de las personas, en este caso de las personas adultas, y resulta un sistema de onboarding fuera del marco del RGPD y en consecuencia de la LOPD. Sin perjuicio de lo anterior, y en caso de no migrar a páginas “de pago” para cuando resulte de aplicación esta normativa, se aplicará, pese a que se considera que no es ajustada a derecho. En relación a la legalidad de la propuesta ministerial, entendemos que emitirá informe la AEPD antes de su puesta en funcionamiento. Cuarto.- Que reiteramos, una vez más, que Techpump en este sentido mantiene una actitud absolutamente proactiva y propone sistemas alternativos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/31 más efectivos y que resultan conformes con la privacidad de las personas, resultando la propuesta del Gobierno de España a nuestro criterio que no es proporcional, vulnerando el principio de minimización de datos entre otros”. DÉCIMO: Con fecha 05/07/24, la entidad presenta un nuevo escrito de alegaciones en el cual manifiesta lo siguiente: Que en relación con los expedientes de referencia, por la presente se realizan nuevas alegaciones complementarias a nuestro escrito de alegaciones de fecha 13 de junio de 2024 y anteriores. Y a la vista de la publicación el pasado lunes de la Nota de Prensa “Cartera Digital Beta, la aplicación que incluye el sistema de verificación de la mayoría de edad en el acceso a contenidos para adultos, estará disponible al final del verano “ publicada por el MINISTERIO PARA LA TRANSFORMACIÓN DIGITAL Y DE LA FUNCIÓN PÚBLICA. Que se acompaña como DOCUMENTAL UNO. Se realizan las siguientes MANIFESTACIONES: Primero.- Que como ya se ha manifestado ante esta AEPD, en caso de aprobarse el sistema de onboarding publicado en la Nota de Prensa, TECHPUMP lo adoptará de inmediato, sin perjuicio de las medidas que ya han sido implementadas, demostrando que no viene establecido hasta la fecha un procedimiento de onboarding obligatorio para páginas para adultos, tal y como se hace patente con la propia nota del Ministerio que se acompaña. Segundo.- Que la publicación de la referida nota de prensa por lo tanto demuestra que hasta la fecha no existía un sistema de onboarding para páginas de adultos establecido, y por ello no es admisible que la AEPD pretenda sancionar a Techpump, cuando tiene un sistema de onboarding, más garantista que el de sus competidores, y no existía otro de uso obligatorio. Tercero.- Que el sistema de onboarding que pretende establecerse según la mencionada nota de prensa, incluye datos de carácter personal que a nuestro entender suponen una importante vulneración de los derechos de las personas, en este caso de las personas adultas, y resulta un sistema de onboarding fuera del marco del Reglamento General de Protección de Datos y en consecuencia de la LOPD. Sin perjuicio de lo anterior, y en caso de no migrar a páginas “de pago” para cuando resulte de aplicación esta normativa, se aplicará, pese a que se considera que no es ajustada a derecho. En relación a la legalidad de la propuesta ministerial, entendemos que emitirá informe la AEPD antes de su puesta en funcionamiento. Cuarto.- Que reiteramos, una vez más, que Techpump en este sentido mantiene una actitud absolutamente proactiva y propone sistemas alternativos más efectivos y que resultan conformes con la privacidad de las personas, resultando la propuesta del Gobierno de España a nuestro criterio que no es proporcional, vulnerando el principio de minimización de datos entre otros. Por ello, solicitamos el archivo de todas las denuncias impuestas a mi representado, pues a través de lo expuesto en el cuerpo de este escrito se evidencia nítidamente que el sistema que se exigía a mi mandante no existía al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/31 tiempo de sancionarle gravemente por ello, no siendo todavía obligatoria la tenencia de un sistema concreto y determinado para ello. Por todo lo expuesto, SOLICITO A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS que tenga por presentado este escrito, lo admita junto con la documental que se acompaña, teniendo por efectuadas las anteriores manifestaciones y DECRETÁNDOSE EL ARCHIVO DE TODAS LAS DENUNCIAS IMPUESTAS A MI REPRESENTADO. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Único: Con fecha 27/12/23, La Subdirección de Inspección de la Agencia Española de Protección de Datos diligenció las siguientes características de las “Política de ***URL.1, ***URL.2, ***URL.3, ***URL.4 y ***URL.5:, a).- Sobre la instalación de cookies previo al consentimiento del usuario: Al entrar en las mismas, por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la misma, se utilizaban las siguientes cookies propias: - En la web ***URL.2, se utilizaba una cookie propia, “OptanonConsentimiento”, detectada como técnica o necesaria; - En la web ***URL.1, se utiliza una cookie propia “OptanonConsentimiento”, detectada como técnica o necesaria y las cookies propias, “usuario_país”; “stop_redirect”; “país” y “redirect_es” cuya misión no ha pudo ser identificada aunque según la información aportada en la “Política de Cookies” de la web, dichas cookies “son necesarias para que el sitio web funcione…”; - En la web ***URL.4 , se utilizaba una cookie propia: “stop_redirect”, cuya misión no ha podido ser identificada, aunque según la información aportada en la “Política de Cookies” de la web es una cookie necesaria, utilizada para redireccionar al usuario al país de origen. Se comprobó que al intentar acceder a las webs ***URL.3 redireccionan al usuario a la página web ***URL.
  14. y ***URL.5, éstas b).- Sobre el consentimiento a la instalación de cookies en el equipo terminal: Quedó constatado que, si el usuario no prestaba el consentimiento para que las webs utilizaran cookies que no fueran técnicas o necesarias e iniciaba la navegación por cualquiera de las webs citadas, éstas empezaban a utilizar, dos cookies de terceros: “__uvt” y “__upt”, cuyo dominio pertenece a “XXXXXXX”. De éstas dos cookies se pudo averiguar que la misión de la cookie “__uvt”, es la de realizar operaciones estadísticas sobre preferencias de los usuarios y respecto de la cookie “__upt”, su misión no pudo ser identificada. c).- Sobre el banner de información de cookies existente en la primera capa: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/31 El banner de información sobre cookies existente en la primera capa de las webs en cuestión se informaba de que utilizaban cookies propias y de terceros e informaban del modo en que el usuario podía aceptar, configurar o rechazar la utilización de cookies. También se indica que las finalidades para las que se utilizarán las cookies, era “para fines analíticos y mostrar contenido personalizado en base a un perfil elaborado a partir de los hábitos de navegación (…)”. No obstante, se pudo comprobar que, de las dos cookies de terceros instaladas cuando se iniciaba la navegación web (“__uvt” y “_upt”), no existía ningún tipo de información sobre las mismas en la “Política de Cookies” de las webs. d).- Sobre la posibilidad de retirar el consentimiento para el uso de las cookies una vez prestado. Quedó constatado que, si el usuario había prestado su consentimiento para el uso de banner de información inicial o a través de consentimiento prestado en el panel de control y deseaba modificarlo después sí existía la posibilidad de acceder nuevamente al panel de control a través del enlace existente en la “Política de Cookies” de las webs. No obstante, si el deseo del usuario era ahora rechazar todas las cookies cliqueando en la opción <<Rechazar todas>> o moviendo los cursores de los grupos de cookies a la posición “OFF” y cliqueando en la opción <<Confirmar mis preferencias>> , en el panel de control, se comprobaba como las webs seguían utilizando las cookies de terceros instaladas, (“__uvt” y “_upt”). FUNDAMENTOS DE DERECHO I Competencia. De acuerdo con lo establecido en el artículo 43.1 de la LSSI y lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." La Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/31 II Contestación a las alegaciones presentadas a la propuesta de resolución Primero: Inicia el escrito de alegaciones la entidad TECHPUMP indicando que, como consecuencia de la existencia de diversos expedientes sancionadores relacionados con la normativa vigente de protección de datos personales agrupa las alegaciones a cada uno de ellos en este escrito y así, el apartado A), con el título “CON RELACIÓN AL PS 55/2021” lo dedica a defender sus intereses con relación al expediente PS/00555/2021 y el apartado B) con el título “PROCEDIMIENTO PS/523/2023” lo dedica al expediente abierto a la entidad con dicha referencia. Pues bien, con el objeto de poner en contexto la situación de los tres expedientes a los que se refiera la entidad TECHPUMP recordemos que, en el PS/00555/2021 se imputaron y se sancionó a la precitada tanto por infracciones del RGPD como de la LSSI (aunque como veremos después, los hechos imputados en aquel procedimiento no coinciden en cuanto a los hechos imputados en el presente procedimientos sancionador; el PS/00523/2023 se incoó como consecuencia del incumplimiento de las medidas correctivas impuestas en el PS/00555/2021 en relación únicamente con los incumplimientos del RGPD y el presente procedimiento sancionador, el PS/00524/2024 sólo se refiere incumplimientos de la LSSI, como hemos indicado, referente a hechos distintos y posteriores a los hechos constatados en el PS/00555/
  15. Por tanto, manifestar respecto a las alegaciones presentadas en los apartados A) y B) del escrito de alegaciones que no guardan ninguna relación con el asunto que se está tratando en el presente expediente (PS/00524/2023) y que, por lo tanto, no pueden ser tenidas en consideración en este procedimiento ya que serán tratadas y resueltas, en su caso, en el seno de cada uno de ellos. Además, recordar que el PS/00555/2021 se encuentra en estos momentos dirimiéndose en un procedimiento judicial contencioso administrativo (CA/00086/2022) ante la AUDIENCIA NACIONAL (PO 0001794 /2022) y por tanto, será este Órgano Judicial quien resuelva, en su caso, las controversias planteadas en el apartado A), mientras que el PS/00523/2023 sigue un procedimiento administrativo independiente de éste y que será en el seno del mismo, si así procede, donde se diriman las alegaciones planteadas en el apartado B). Segundo: En el punto “primero” del apartado C) del escrito de alegaciones, la entidad TECHPUMP plantea la aplicación del principio “NON BIS IN IDEM” al presente caso, alegando que los hechos que son enjuiciados en él tienen la misma identidad subjetiva, fáctica y causal, que los enjuiciados en el expediente PS/00555/2021, no existiendo diferencia alguna entre ambos procedimientos administrativos sancionadores y que por tanto, solicita que el presente expediente debe ser archivado. Pues bien, recordemos que el principio de "non bis in idem"´, aplicado al derecho administrativo, es un principio jurídico que establece que una persona no puede ser sancionada dos veces por el mismo hecho, buscando con ello proteger a las personas de ser perseguidas repetidamente por los mismos hechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/31 No obstante, para que se aplique el principio de "non bis in idem" es necesario que exista una identidad subjetiva, fáctica y causal entre las dos causas. La identidad subjetiva, se refiere a que la persona acusada en ambos procesos sea la misma. La identidad fáctica se refiere a que los hechos imputados en ambos procesos sean los mismos, esto es, debe existir una coincidencia en cuanto a la descripción de los hechos que se imputan y por último, la identidad causal, se refiere a que la causa de la acción sea la misma en ambos procesos, es decir, debe existir una relación de causalidad entre los hechos imputados y la norma jurídica infringida. Si se cumplen estos tres requisitos, entonces se podría aplicar el principio de "non bis in idem" demandado por la entidad. No obstante, en el caso que nos ocupa, aunque es evidente que se cumple la identidad subjetiva al ser el mismo sujeto en ambos expedientes, esto es, la entidad TECHPUMP SOLUTIONS S.L. y la misma identidad causal pues existe una relación de causalidad entre los hechos imputados en los dos expedientes y la norma jurídica infringida, el artículo 22.2 de la LSSI, no ocurre los mismo respecto a la identidad fáctica pues los hechos imputados en ambos procesos no son idénticos en su descripción y circunstancias relevantes. Si vemos la resolución del expediente PS/0555/2021, de fecha 16/09/22, podemos apreciar que se sancionaba a la entidad TECHPUMP, entre otras cuestiones, por vulneración del artículo 22.2 de la LSSI en base a las siguientes deficiencias observadas en la “Política de Cookies” de sus páginas webs (véase punto XXVII de los FD.- Sobre la “Política de Cookies” de la web): - a).- Por la instalación de cookies en el equipo terminal previo al consentimiento del usuario: Se constató que al entrar en sus páginas principales y sin realizar ningún tipo de acción sobre las mismas, se utilizan cookies de terceros no necesarias, sin el previo consentimiento del usuario: - En la web ***URL.2, se utilizaban las cookies: “_ga_RKCN8YSRSF” “_ga” y “_gid” cuyo proveedor es Google. En la web ***URL.1 , se utilizaban las cookies “User_country” cuyo proveedor es Addition Technologies GmbH y las cookies “gat_UA-3824882052”; “_ga”; “_gid”; “_ga_8WNV1D198Q” cuyo proveedor es Google. En la web ***URL.3 , se utilizaban las cookies: “_ga_JREJ5KRZQT”; “_gat_UA50005236-1”; “_ga”; y “_gid” cuyo proveedor es Google. En la web ***URL.4 , se utilizaban las cookies “_ga_KJ5V9F3XJJ”; “_ga” y “_gid” cuyo proveedor es Google y en la web ***URL.5 , se utilizaban las cookies “ga_CKL7S7S25E”; “_ga” y “_gid” cuyo proveedor es Google. - b.- No existía ningún tipo de banner en la página principal que informase de forma genérica sobre las cookies que utilizaban. - c).- No existía ningún mecanismo que posibilitase rechazar las cookies o la posibilidad de gestionarlas de forma granular a través de un panel de control y, - d).- La información sobre cookies que se proporcionaba en la “Política de Mientras que, en el presente expediente, el PS/00524/2023 se sanciona las siguientes deficiencias en las “Políticas de Cookies” de sus páginas webs: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/31 - a).- Por la instalación de cookies previo al consentimiento del usuario, se ha detectado que al entrar en las mismas, por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas , se utiliza una cookie propia, “OptanonConsentimiento”, detectada como técnica o necesaria. En la web ***URL.1 , se utiliza una cookie propia “OptanonConsentimiento”, detectada como técnica o necesaria y las cookies propias, “usuario_país”; “stop_redirect”; “país” y “redirect_es” cuya misión no ha podido ser identificada, aunque según la información aportada en la “Política de Cookies” de la web, dichas cookies “son necesarias para que el sitio web funcione…”. En la web ***URL.4 , se utiliza una cookie propia: “stop_redirect”, cuya misión no ha podido ser identificada, aunque según la información aportada en la “Política de Cookies” de la web es una cookie necesaria, utilizada para redireccionar al usuario al país de origen. - b).- Si el usuario no presta el consentimiento para que las webs utilicen cookies que no sean técnicas o necesarias e inicia la navegación por cualquiera de ellas, éstas empiezan a utilizar dos cookies de terceros: “__uvt” y “__upt”, cuyo dominio pertenece a “.magsrv.com”. De éstas dos cookies se ha podido saber que la misión de la cookie “__uvt”, es la de realizar operaciones estadísticas sobre preferencias de los usuarios para mostrar publicidad dirigida pero respecto de la cookie “__upt”, su misión no ha podido ser identificada. Tampoco existe información sobre estas cookies en la “Política de Cookies” de las webs y, - c).- No existe la posibilidad de retirar el consentimiento para el uso de las Por tanto, es evidente que una de las tres identidades necesarias para que se pueda considerar la aplicación del principio “non bis in idem", la identidad fáctica no se cumple en el presente caso, pues los hechos imputados en ambos procesos no son idénticos en su descripción ni en sus circunstancias relevantes, y por tanto, no puede ser atendida la solicitud que hace la entidad TECHPUMP de archivar el presente expediente en base al principio de non bis in idem. Tercero: Manifiesta la entidad TECHPUMP en el punto “segundo” del apartado C) de sus alegaciones, que da por reproducidas las manifestaciones realizadas en el expediente PS/00523/2023 (de fecha 18/12/23), sobre la prejudicialidad contencioso administrativa alegando en dicho escrito que los hechos que han motivado las sanciones establecidas en el expediente administrativo sancionador PS/00555/2021, se encuentran inmersas en el recurso contencioso-administrativo 0001794/2022 ante Audiencia Nacional, y por tanto, esta Agencia no puede abrir un nuevo expediente administrativo por los mismos hechos sobre los que versa el expediente PS/00555/
  16. Pues bien, se debe volver a reiterar en este punto lo expuesto en el apartado anterior y es que entre el expediente PS/00555/2021 y el presente expediente PS/00524/2023 aunque exista la misma identidad subjetiva y causal, no existe la misma identidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/31 fáctica, esto es, los hechos imputados en cada uno de los expedientes no son los mismos y por tanto ambos expedientes son totalmente independientes, por lo que, aunque el PS/00555/2021 este inmerso en un contencioso administrativo, el PS/00524/2023, al ser diferente en cuanto a la identidad fáctica, pude seguir su proceso. Recordemos que en el expediente PS/00555/2021, se sancionaba a la entidad TECHPUMP por la utilización, en las páginas web de su titularidad de cookies de terceros sin el previo consentimiento del usuario. Estas cookies eran, en la web ***URL.2 : “_ga_RKCN8YSRSF” “_ga” y “_gid” de Google. En la web ***URL.1 : “User_country” de Addition Technologies GmbH y las cookies “gat_UA-38248820-52”; “_ga”; “_gid”; “_ga_8WNV1D198Q” de Google. En la web ***URL.3 , “_ga_JREJ5KRZQT”; “_gat_UA-50005236-1”; “_ga”; y “_gid” de Google. En la web ***URL.4 , las cookies: “_ga_KJ5V9F3XJJ”; “_ga” y “_gid” de Google y en la web ***URL.5 , las cookies: “ga_CKL7S7S25E”; “_ga” y “_gid”, también de Google. Se sancionaba también que no existiera ningún tipo de banner de información sobre existiera ningún mecanismo que posibilitase rechazar las cookies mencionadas o la posibilidad de gestionarlas de forma granular y se sancionaba que la información suministrada en la Política de Cookies se encontrara escrita en idioma inglés, no oficial en España. En cambio, el presente expediente, el PS/00524/2023, se sanciona por la utilización de aunque el usuario no haya dado el consentimiento para ello. Se sanciona que no exista la posibilidad de rechazar la utilización de estas cookies, ni la posibilidad de modificar el consentimiento una vez prestado. Por tanto, es evidente que los hechos que está conociendo la AN en el recurso contencioso-administrativo 0001794/2022, (PS/0555/2021) no son los mismo por lo que se ha abierto el presente procedimiento sancionador y por tanto, no cabe considerar en este punto las alegaciones presentadas sobre la posible prejudicialidad contencioso administrativo de los hechos conocidos en el presente procedimiento PS/00524/
  17. Cuarto: Manifiesta la entidad TECHPUMP en el punto “tercero” del apartado C) de sus alegaciones, haciendo mención al expediente PS/00555/2021 que todas las cuestiones indicadas, respecto de la política de cookies, “(…) han sido abiertamente solucionadas y subsanadas por parte de mi representada, y, consecuentemente con ello, por lo tanto no procede la incoación de un nuevo expediente sancionador, sin perjuicio de que en este nuevo procedimiento se realizará una inspección o las correspondientes diligencias de investigación…” y que “...esta cookie efectivamente fue colocada temporalmente por un error técnico por parte del proveedor publicitario Exoclick sin estar activa en el momento que se realizó la auditoría externa (enero 2024), y sin estarlo en la actualidad. Por ello se trató únicamente de un error temporal dentro de un proceso técnico…” Pues bien, en este punto solamente recordar que es la propia entidad TECHPUMP, en el escrito presentado ante esta Agencia el pasado día 26/03/24, quien reconoce que las cookies “__uvt” y “__upt” son gestionadas por la empresa ExoClick. Que durante el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/31 mes de diciembre de 2023, cuando esta Agencia evaluó las cookies, no existían medidas implementadas para bloquearlas. Que no fue hasta febrero de 2024, cuando ExoClick presentó una solución que permitía bloquearlas, pero solamente se implementó en, “XXXXXX” y “XXXXXX”, pero no en “XXXXXX” que aún está pendientes de solución. Por tanto, es la propia entidad TECHPUMP la que reconoce que, cuando esta Agencia evaluó las páginas webs de su titularidad, en diciembre de 2023, las mismas utilizaban dos cookies de terceros (__uvt y __upt); pero carecían de medidas para bloquearlas, por lo que no es posible tomar en consideración las alegaciones presentadas en este punto respecto de que la entidad había solucionado las deficiencias detectadas en la “Política de Cookies” de sus páginas webs por cuanto, en dic-23, esto no era cierto. Quinto: Manifiesta la entidad TECHPUMP en el punto “cuarto” del apartado C) de su escrito lo que considera ser una discriminación en relación con los expedientes iniciados por la AEPD respecto de otras empresas competidoras en contenidos para adultos. Manifestar que estas alegaciones no pueden ser admitidas ni tenidas en consideración por cuanto el objeto de este expediente sancionador es conocer las deficiencias en la “Política de Cookies” de las páginas webs de su titularidad y, por tanto, no es tratar la gestión que realiza esta Agencia respecto al control sobre el tratamiento de datos personales que hacen las entidades que se dedican a divulgar contenido para adultos, existiendo otros ámbitos de la Administración Pública donde, si así lo desea la entidad, puede plantear estas cuestiones. Sexto: En el apartado D).- (puntos “primero” a “quinto”), del escrito de alegaciones, la entidad defiende la necesidad de acumulación de los procedimientos PS00555/2021, PS523/2023 y PS00524/2023, al versar los mismos sobre cuestiones idénticas, según su apreciación. Pues bien, recordemos que con carácter general el artículo 57 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), bajo la rúbrica de “Acumulación” dispone que: "el órgano administrativo que inicie o tramite un procedimiento, cualquiera que haya sido la forma de su iniciación, podrá disponer, de oficio o a instancia de parte, su acumulación a otros con los que guarde identidad sustancial o íntima conexión, siempre que sea el mismo órgano quien deba tramitar y resolver el procedimiento" y que "contra el acuerdo de acumulación no procederá recurso alguno". Del citado artículo 57 LPACAP se desprende y la jurisprudencia así lo entiende, que la decisión de acumular varios expedientes es discrecional y que el órgano que disponga la acumulación debe tener competencia para decidir sobre las materias a las que se refieren los procedimientos acumulados, exigiéndose que entre los procedimientos que se acumulan deba existir la lógica "íntima conexión" o "identidad sustancial". A la vista de lo anterior, y en relación con los expedientes PS/00524/2023 y PS/00523/2023, se evidencia que entre los hechos que se están analizando en cada uno de ellos, no concurre el criterio de identidad sustancial e íntima conexión que alega la entidad por cuanto en el presente expediente, el PS/00524/2023 se están C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/31 analizando las posibles vulneraciones de lo establecido en la LSSI y en cambio, en el expediente PS/00523/2023 el objeto es dilucidar si existe o no vulneración del RGPD. Por último, se debe recordar que el expediente PS/00555/2021 ya es firme en vía administrativa y se encuentra en estos momentos judicializado en la Audiencia Nacional bajo el recurso contencioso administrativo PO 0001794/2022 y por tanto, no coinciden los órganos encargados de resolver las controversias planteadas en los expedientes PS/00555/2021, que será el Juez de la AN encargado del caso y PS/00524/2023, que será la Directora de la AEPD. Por tanto, en base a lo expuesto anteriormente, no es posible atender la solicitud de acumulación de expedientes tal y como plantea la entidad. Séptimo: Dentro de las solicitudes que hace la entidad, en el punto d) solicita que se rebaje la multa pecuniaria impuesta acogiéndose a las circunstancias de ponderación de la responsabilidad previstas en el artículo 83 del RGPD. Pues bien, manifestar que el presente procedimiento sancionador se inició por las irregularidades detectadas en la “Política de Cookies” de las páginas web de su titularidad vulnerando con ello lo establecido en el artículo 22.2 de la LSSI, y es, en la LSSI donde se regula el régimen jurídico relativo a las infracciones, por el incumplimiento de la norma, las sanciones y su ponderación, regulándose en su art. 40 lo relativo a la graduación de las infracciones. Recordemos que el artículo 38.4 g) de la LSSI tipifica los hechos que dan lugar a la infracción como “leves”, pudiendo ser sancionados con multa de hasta 30.000 €, de acuerdo con el artículo 39 LSSI y que para graduar la sanción se debe tener en cuenta lo establecido en el artículo 40 de la LSSI, estimándose, en este caso que se debía aplicar como agravantes para calcular la sanción a imponer, la existencia de intencionalidad (apartado a), expresión que ha de interpretarse como equivalente a grado de culpabilidad de acuerdo con la Sentencia de la AN 12/11/07 recaída en el Recurso 351/2006, y la reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme (apartado c), tomando en consideración la resolución dictada el 16/09/22, expediente PS/00555/
  18. A mayor abundamiento significar que no es posible aplicar el artículo 83.2 del RPGD para ponderar la multa impuesta en virtud de la LSSI, ya que el RGPD regula un ámbito objetivo, subjetivo y territorial de aplicación manifiestamente distinto. Por tanto, en consideración a todo lo expuesto, no puede ser atendida, en este caso, la solicitud de la entidad en el sentido de reducir la sanción impuesta al existir dos agravantes que condicionan la imposición de la máxima sanción posible. Octavo: Respecto de las alegaciones presentadas los días 04/07/24 y 05/07/24, donde hace referencia a la nota de prensa en la que se anuncia la aprobación del sistema de “onboarding” obligatorio para páginas web dedicas a divulgar contenido para adultos y que la publicación de la referida nota de prensa demuestra que hasta la fecha no existía un sistema de “onboarding” para este tipo de páginas y por ello no es admisible que la AEPD pretenda sancionar a Techpump, cuando tiene un sistema de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/31 “onboarding”, más garantista que el de sus competidores, solicitando el archivo del presente expediente, manifestar lo siguiente: El sistema de “onboarding”, al que hace referencia la entidad, según la nota de prensa publicada el 1 de julio de 2024, dice textualmente: “El ministro para la Transformación Digital y de la Función Pública, José Luis Escrivá, ha presentado hoy Cartera Digital Beta, el “wallet” (porta documentos digital) que incluye el sistema de verificación de la mayoría de edad en el acceso a contenidos para adultos, tras culminar la fase de diseño de la herramienta con la publicación de las especificaciones técnicas….”, mientras que, en el presente procedimiento sancionador, el PS/00524/2023, no se está dilucidando nada relativo a los sistemas implantados en las páginas web de contenido para adultos relativo a la verificación de edad para el acceso a las miasma, sino aspectos relativos a la “Política de Cookies” de las páginas web por lo que no es posible atender, en este caso, las alegaciones presentadas respecto a este asunto. III Tipificación de la infracción cometida De las deficiencias detectadas, respecto de la política de cookies, en las páginas webs ***URL.2 ; ***URL.1 y ***URL.4, esto es, la utilización de cookies de terceros que no son técnicas o necesarias aunque el usuario no haya prestado su consentimiento; la imposibilidad de rechazarlas o poder gestionarlas de forma granular; la falta de información en la “Política de Cookies” sobre la finalidad de estas cookies de terceros y la imposibilidad de retirar el consentimiento una vez prestado, suponen la comisión de una infracción del artículo 22.2 de la LSSI, pues establece lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. IV. Graduación de la Sanción Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/31 sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. La LSSI, en su artículo 40, establece la “graduación de la cuantía de las sanciones”, atendiendo a los siguientes criterios: a) La existencia de intencionalidad. b) Plazo de tiempo durante el que se haya venido cometiendo la infracción. c) La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme. d) La naturaleza y cuantía de los perjuicios causados. e) Los beneficios obtenidos por la infracción. f) Volumen de facturación a que afecte la infracción cometida. g) La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. Tras las evidencias obtenidas, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de la LSSI: - La existencia de intencionalidad (apartado a). Expresión que ha de interpretarse como equivalente a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia Nacional de 12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad denunciada la determinación de un sistema de obtención del consentimiento informado que se adecue al mandato de la LSSI. - La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme (apartado c). En este sentido, se debe toma en consideración la resolución dictada con fecha 16/09/2022, por la Directora de la Agencia Española de Protección de datos, en el marco del expediente sancionador PS/00555/2021, abierto a la entidad TECHPUMP SOLUTIONS S.L., entre otras cuestiones, por las deficiencias detectadas en las “Políticas de Cookies” de páginas webs en cuestión. Con arreglo a dichos criterios, se estima adecuado imponer, por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies realizada en las páginas webs de su titularidad, una sanción de 30.000 euros (treinta mil euros) por las deficiencias detectadas en la “Política de Cookies” de la página web ***URL.
  19. Una sanción de 30.000 euros (treinta mil euros) por las deficiencias detectadas en la “Política de Cookies” de la página web ***URL.1 y una sanción de 30.000 euros (treinta mil euros) por las deficiencias detectadas en la “Política de Cookies” de la página web ***URL.
  20. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/31 RESUELVE: PRIMERO: IMPONER a la entidad TECHPUMP SOLUTIONS S.L. (TECHPUMP), CIF.: B33950338, titular de las páginas web: ***URL.1 ; ***URL.2 , ***URL.3 , ***URL.4 ; ***URL.5 , por la infracción del artículo 22.2 de la LSSI, tipificada como “leve” en el artículo 38.4 g), las siguientes sanciones: - 30.000 euros (treinta mil euros) por las deficiencias detectadas en la “Política de Cookies” de la página web ***URL.
  21. 30.000 euros (treinta mil euros) por las deficiencias detectadas en la “Política de Cookies” de la página web ***URL.1 y 30.000 euros (treinta mil euros) por las deficiencias detectadas en la “Política de Cookies” de la página web ***URL.
  22. SEGUNDO: NOTIFICAR la presente resolución a la entidad TECHPUMP SOLUTIONS S.L. (TECHPUMP). Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida Nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/31 LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.