1/17 Procedimiento Nº: EXP202415057 (PS/00531/2024) RESOLUCIÓN DEL PROCEDIMIENTO SANCIONADOR ANTECEDENTES PRIMERO: Con fecha 17/09/24, A.A.A. (la parte reclamante), interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad, FRESHLY COSMETICS, S.L. con NIF.: B55666143, titular de la página web, https://www.freshlycosmetics.com/es/, (en adelante, la parte reclamada), por la presunta vulneración de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). El reclamante manifiesta, en su escrito de reclamación, entre otras cuestiones, que esta página ya fue multada hace 2 años por no tener las cookies correctamente pero a fecha de hoy sigue utilizando cookies sin pedir permiso. SEGUNDO: Con fecha 25/10/24, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, (LOPDGDD), por parte de esta Agencia, se dio traslado de dicha reclamación a la reclamada para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que se exponía en el escrito de reclamación. TERCERO: Con fecha 28/11/24, se recibe en esta Agencia escrito de la reclamada en el cual manifiesta en síntesis, en relación a la “Política de Cookies” de su página web: - La reclamación presentada está relacionada con la implantación de cookies sin el debido consentimiento de los usuarios. Se identificó que, al acceder al sitio web www.freshlycosmetics.com sin aceptar cookies de Marketing, era posible la carga de un video de Youtube.com, lo que generaba la instalación de cookies publicitarias sin el consentimiento del usuario. - Sobre las medidas adoptadas: para corregir esta deficiencia y cumplir con el artículo 22.2 de la LSSI, se había implementado las siguientes medidas: Bloqueo del despliegue del video embebido de YouTube para usuarios que no hayan otorgado consentimiento a las cookies de Marketing. Actualización de la política de cookies y su implementación dinámica con herramientas automatizadas y modificación de la landing page para reflejar estos cambios. - Sobre la causa de incidencia: El análisis interno reveló que este problema no derivaba de una acción deliberada por parte de Freshly Cosmetics, sino de una omisión en los controles de implementación de cookies de terceros. Como consecuencia, se reforzaron las auditorías para garantizar el cumplimiento normativo, actualizando su política de cookies e integrado un sistema de actualización automática con Cookiebot. Se ha modificado la información visible en la web y, a partir del 5 de diciembre de 2024, se ha implementado el bloqueo de videos embebidos para usuarios sin consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 CUARTO: Con fecha 29/11/24, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la LOPDGDD. QUINTO: Con fecha 05/12/24, por parte de esta Agencia se obtienen y se diligencian las siguientes características de la “Política de Cookies” de la página web, https://www.freshlycosmetics.com/es/ : 1º.- Sobre la utilización de cookies previo al consentimiento: Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la página web, se comprueba que se instalan las siguientes cookies: a).- Cookies de naturaleza técnica o necesaria: PHPSESSID Dominio: .freshlycosmetics.com AWSALB Dominio: .freshlycosmetics.com AWSALBCORS Dominio: .freshlycosmetics.com AEC Dominio: .google.com C/ Jorge Juan, 6 28001 – Madrid Descripción (finalidad de la cookie) lenguaje PHP. Se utiliza para mantener las variables de sesión del usuario. Normalmente es un número generado al azar, la forma en que se utiliza puede ser específica del sitio, pero un buen ejemplo es mantener el estado de inicio de sesión de un usuario. Asigna el tráfico del servidor para que la experiencia del usuario sea lo más fluida posible. Se utiliza un denominado balanceador de carga para determinar qué servidor tiene la mejor disponibilidad. Gestiona la distribución del tráfico de red hacia los servidores backend de manera eficiente. Su función principal es mantener la persistencia de la sesión del usuario, asegurando que todas las solicitudes de un mismo usuario durante una sesión se dirijan al mismo servidor backend. Es utilizada por Google para garantizar la seguridad en las interacciones de los usuarios con sus servicios, previniendo actividades maliciosas como el spam, el fraude y el abuso. Esta cookie ayuda a mantener la integridad de los formularios y las sesiones de inicio de sesión, asegurando que las www.aepd.es sedeagpd.gob.es 3/17 Descripción (finalidad de la cookie) solicitudes provienen de usuarios legítimos y no de actores malintencionados. Almacena información que permite a Google diferenciar entre usuarios humanos y posibles amenazas automatizadas, protegiendo tanto al usuario como al servicio de posibles ataques o usos indebidos. Es una cookie de tercera parte dado que es una cookie establecida y gestionada por Google, pertenece al dominio de Google y se clasifica como una cookie de terceros. b).- Cookies de rendimiento: son un tipo de cookies que recopilan información sobre cómo los usuarios interactúan con una página web, permitiendo al propietario de la web mejorar su funcionamiento. Estas cookies recopilan datos estadísticos, como, páginas visitadas, el tiempo que los usuarios pasan en cada página, errores o fallos técnicos que puedan ocurrir o métricas relacionadas con el rendimiento del sitio, etc. No obstante, al tratarse de información sobre cómo los usuarios interactúan con el sitio web y aunque no recojan información que identifique directamente al usuario, el comportamiento puede considerarse datos personales si se vincula a una dirección IP. AB_CHECKOUT Dominio: .freshlycosmetics.com Descripción (finalidad de la cookie) Es utilizada para realizar pruebas A/B en la página de pago de Freshly Cosmetics. Las pruebas A/B implican mostrar diferentes versiones de una página o elemento a distintos segmentos de usuarios para evaluar cuál ofrece un mejor rendimiento en términos de conversión u otros objetivos específicos. Su finalidad es optimizar de la experiencia de pago al asignar a los usuarios versiones distintas de la página de pago, la cookie permite analizar cuál de ellas facilita una mejor experiencia de usuario y mayores tasas de conversión. Los resultados obtenidos de estas pruebas informan sobre qué diseño o contenido es más efectivo, guiando mejoras en la interfaz del proceso de compra. AB_SHIPMENTCOST C/ Jorge Juan, 6 28001 – Madrid Está diseñada para realizar pruebas A/B en la sección de costos de envío del sitio web. Se muestran diferentes versiones de una página o www.aepd.es sedeagpd.gob.es 4/17 Dominio: .freshlycosmetics.com Descripción (finalidad de la cookie) componente a distintos grupos de usuarios para determinar cuál ofrece un mejor rendimiento en términos de conversión, satisfacción del cliente. c).- Cookies de Segmentación: También conocidas como cookies publicitarias o de targeting, son un tipo de cookies diseñadas para recopilar información sobre los hábitos de navegación del usuario con el objetivo de mostrarle publicidad personalizada y relevante. Estas cookies permiten crear un perfil del usuario basándose en las páginas visitadas; frecuencia y duración de las visitas; acciones específicas realizadas en un sitio web (clics, compras, etc.); ubicación geográfica, etc. _dyjsession Dominio: .freshlycosmetics.com _dyid Dominio: .freshlycosmetics.com DYID Dominio: .dynamicyield.com C/ Jorge Juan, 6 28001 – Madrid Descripción (finalidad de la cookie) Está asociada con Dynamic Yield, una plataforma de personalización que permite a los sitios web ofrecer experiencias de usuario adaptadas en tiempo real. Esta cookie se utiliza para identificar la sesión actual del usuario, facilitando la entrega de contenido personalizado y recomendaciones basadas en su comportamiento durante la visita. Está asociada con Dynamic Yield, una plataforma de personalización que permite a los sitios web ofrecer experiencias de usuario adaptadas en tiempo real. Esta cookie almacena un identificador único para cada visitante, facilitando la personalización del contenido y la recopilación de datos sobre el comportamiento del usuario en el sitio web. Está asociada a Dynamic Yield, una plataforma de personalización que permite a los sitios web ofrecer experiencias adaptadas en tiempo real. Esta cookie almacena un identificador único para cada visitante, facilitando la personalización del contenido y la recopilación de datos sobre el comportamiento del usuario en el sitio web. La cookie asigna un identificador exclusivo a cada visitante, permitiendo a Dynamic Yield reconocer usuarios individuales y adaptar el contenido según sus preferencias y www.aepd.es sedeagpd.gob.es 5/17 Descripción (finalidad de la cookie) acciones previas. La cookie se establece bajo el dominio de dynamicyield.com, lo que la clasifica como una cookie de tercera parte. _dyid_server Dominio: .freshlycosmetics.com Está asociada con Dynamic Yield, una plataforma de personalización que permite a los sitios web ofrecer experiencias adaptadas en tiempo real. Su función principal es almacenar un identificador único de usuario, similar a la cookie _dyid, pero con la diferencia de que _dyid_server se establece desde el servidor del sitio web, convirtiéndola en una Almacena un identificador único que permite a Dynamic Yield reconocer a los usuarios en sus visitas al sitio web, facilitando la personalización continua de la experiencia del usuario. Al establecerse desde el servidor del dominio del sitio web, _dyid_server elude las restricciones de los navegadores sobre las cookies de terceros, asegurando una identificación del usuario más consistente. d).- Cookies de preferencias o personalización: Cookies utilizadas para mejorar la experiencia del usuario en un sitio web al recordar ciertas preferencias y configuraciones personalizadas. Estas cookies permiten al sitio web ofrecer características avanzadas o específicas que hacen la navegación más fluida y conveniente. Estas cookies estarán exceptuadas de las obligaciones del artículo 22.2 de la LSSI por considerarse un servicio expresamente solicitado por el usuario, si es el propio usuario quien elige esas preferencias y configuraciones personalizadas y ello siempre y cuando las cookies obedezcan exclusivamente a la finalidad seleccionada, según establece la Guía Cookies de la AEPD resumen-desesion-de-oct8ne Dominio: C/ Jorge Juan, 6 28001 – Madrid Descripción (finalidad de la cookie) Esta cookie se utiliza para almacenar información sobre la sesión del usuario, incluidas estadísticas de resumen e interacciones dentro de la sesión, para mejorar la experiencia del usuario y la www.aepd.es sedeagpd.gob.es 6/17 Descripción (finalidad de la cookie) .freshlycosmetics.com funcionalidad del sitio. oct8ne-visitor Esta cookie se utiliza para realizar un seguimiento de las interacciones de los visitantes con la función de chat en vivo del sitio web. Ayuda a brindar soporte personalizado y comprender las preferencias de los visitantes. Dominio: .freshlycosmetics.com oct8ne-room Dominio: .freshlycosmetics.com oct8ne-first-enter Dominio: .freshlycosmetics.com oct8ne-status Dominio: .freshlycosmetics.com oct8ne-visitoroverflow Dominio: .freshlycosmetics.com oct8ne-connection Se utiliza para facilitar la atención al cliente y las funcionalidades de chat en vivo en el sitio web. Su objetivo es mejorar la experiencia del usuario al permitir la comunicación y el soporte directos. Esta cookie se utiliza para recordar la primera vez que un usuario ingresa al sitio utilizando el servicio Oct8ne para mejorar la experiencia del usuario personalizando el contenido y el soporte. Esta cookie se utiliza para almacenar el estado de la sesión y las preferencias del usuario al interactuar con la función de chat de soporte y servicio al cliente, lo que garantiza una experiencia de chat en vivo consistente y efectiva. Esta cookie se utiliza para garantizar que un visitante pueda interactuar con éxito con las funciones de servicio y atención al cliente proporcionadas en el sitio web, manteniendo los estados de la sesión. Dominio: .freshlycosmetics.com Esta cookie se utiliza para gestionar la sesión del usuario y la comunicación con el servicio de soporte, garantizando una experiencia persistente y consistente durante una sesión de navegación. oct8ne-last-interaction Esta cookie rastrea la última interacción que tuvo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 Dominio: .freshlycosmetics.com PrestaShop-8aca4f50c3b3115a60b7b2768 d36938465b79 Dominio: .freshlycosmetics.com _Secure-ENID Dominio: Google.com style_test Dominio: .freshlycosmetics.com Descripción (finalidad de la cookie) un usuario con el servicio de chat en vivo de Oct8ne para mejorar el servicio y la experiencia del cliente al brindar asistencia personalizada. Es una cookie generada por el sistema de gestión de tiendas en línea PrestaShop. Su función principal es almacenar información relacionada con la sesión del usuario. Almacena datos como el identificador de sesión, preferencias de idioma, moneda seleccionada y productos añadidos al carrito de compras. Esto permite que, al navegar por el sitio, se mantengan las elecciones y acciones del usuario, mejorando la usabilidad y continuidad en la experiencia de compra. Es utilizada por Google para recordar las preferencias del usuario y otra información, como el idioma preferido, la cantidad de resultados que se muestran en una página de búsqueda y la activación del filtro SafeSearch. Permite recordar configuraciones como el idioma seleccionado, la cantidad de resultados de búsqueda por página y la activación de filtros de seguridad. Dado que es gestionada por Google, la Utilizada para almacenar las preferencias de estilo o diseño seleccionadas por el usuario en el sitio web de Freshly Cosmetics. Su propósito es mejorar la experiencia del usuario recordando configuraciones específicas relacionadas con la apariencia del sitio. Guarda las elecciones del usuario respecto a temas, colores o disposiciones de elementos en la página, permitiendo que estas preferencias se mantengan en futuras visitas. 2º.- Sobre el banner de información sobre cookies en la primera capa: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin realizar ninguna acción sobre la página web, aparece un banner de información sobre cookies con el siguiente mensaje: Política de cookies: Utilizamos cookies propias y de terceros para conocerlos usos de nuestra tienda online y poder mejorarla, adaptar el contenido a tus gustos y personalizar nuestros anuncios, marketing y publicaciones en redes sociales. Puedes aceptadas todas, rechazarlas o elegir tu configuración pulsando los botones correspondientes. Ten en cuenta que rechazar las cookies puede afectar a tu experiencia de compra. Para más información puedes consultar nuestra <<Política de Cookies>> <<Personalizar>> <<Aceptar Cookies>> Opciones sobre la utilización de cookies: a).- Si se desea dar el consentimiento: Si el usuario desea que se instalen cookies en su equipo terminal cliqueando en la opción (<<Aceptar Cookies>>) se comprueba como la web empieza a utilizar, además de las cookies detectadas antes de dar el consentimiento ( todas ellas indicadas en el punto 1º.a), otras cookies, tanto propias como de terceros (indicadas en la diligencia). b).- Si no se desea prestar el consentimiento: Si se opta por no prestar el consentimiento a la utilización de cookies que no sean técnicas o necesarias cliqueando en la opción <<Personalizar>> la web despliega un panel de control donde los grupos de cookies se encuentran premarcados en la posición “ON”. Esto es, aceptando, por defecto, la utilización de cookies que no son técnicas. Si se desea no prestar el consentimiento es necesario ir desmarcando los grupos de <<Solo usar cookies necesarias>>. Una vez cliqueado en esta opción se comprueba como la web sigue utilizando cookies que no son estrictamente técnicas o necesarias como, la cookie de segmentación: DYD y la cookie de rendimiento: AB_CHECKOUT. 3º.- Sobre la posibilidad de modificar el consentimiento prestado sobre cookies, en cualquier momento de la navegación web. En este punto, si se desea, en un momento determinado de la navegación web, modificar el consentimiento, NO existe la posibilidad de acceder nuevamente al panel de control de cookies para modificar el consentimiento una vez prestado éste. En la información proporcionada en la “Política de Cookies” de la web, https://www.freshlycosmetics.com/es/politica-cookies se indica, respecto a la modificación del consentimiento, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 Cómo modificar la configuración de las cookies: El usuario puede restringir, bloquear o borrar las cookies de Freshly Cosmetics, S.L. o cualquier otra página web desde su navegador. En cada navegador la operativa es diferente, puede encontrar cómo hacerlo en el menú de ayuda de su navegador, en el cual se establece el procedimiento para su eliminación. Para más información puede acceder a las siguientes páginas web: Google Chrome: (…); Mozilla web no funcione correctamente o no pueda acceder a determinadas funciones. 4º.- Sobre la información suministrada en la “Política de Cookies”: Si se accede a la “Política de Cookies” a través del enlace existente en la parte inferior de la página principal, la web redirige al usuario a una nueva página https://www.freshlycosmetics.com/es/politica-cookies donde se proporciona información sobre: qué son las cookies; para qué sirve la información recogida mediante las cookies; qué tipo de cookies existen y cuáles son las cookies que utiliza el sitio web y como gestionar las cookies a través de los mecanismos existentes en el navegador instalado en el equipo terminal. Como conclusiones, se pueden destacar las siguientes características: a).- Sobre la instalación de cookies en el equipo terminal previo al consentimiento: Al entrar en la página principal y sin realizar ninguna acción sobre la mimas ni aceptar las cookies, se utiliza cookies que no son de naturaleza técnica, como las cookies de rendimiento, AB_CHECKOUT y AB_SHIPMENTCOST y las cookies de Segmentación, _dyjsession; _dyid; DYID y _dyid_server. b).- Sobre el banner de información de cookies existente en la página principal: En el banner de información sobre cookies existente en la primera capa de la web, se identifica de forma genérica, las finalidades para las que se utilizarán las cookies y si éstas son propias o también de terceros. c).- Sobre el consentimiento a la instalación de cookies en el equipo terminal: Si se accede al panel de control para gestionar la utilización de cookies, se comprueba como los grupos de cookies están premarcados en la opción “ON” (aceptar cookies). Si se desea rechazar la utilización de cookies, desplazando los cursores de los grupos de cookies desde la posición “ON” a la posición “OFF”, se comprueba como la web sigue utilizando cookies que no son de naturaleza técnica como la cookie de segmentación, DYD y la cookie de rendimiento, AB_CHECKOUT d).- Sobre la posibilidad de modificar el consentimiento prestado sobre cookies, en cualquier momento de la navegación web. NO existe ningún mecanismo que posibilite la modificación del consentimiento a la instalación de cookies una vez prestado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17
- e)Sobre la información sobre cookies proporcionada en la “Política de Cookies”: Se proporciona información sobre, qué son las cookies; para qué sirve la información recogida mediante las cookies; qué tipo de cookies existen y cuáles son las cookies que utiliza el sitio web y como gestionar las cookies a través de los mecanismos existentes en el navegador instalado en el equipo terminal. SEXTO: Con fecha 20/12/24, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta vulneración del artículo 22.2 de la LSSI, tipificada como “leve” en el artículo 38.4 g), de la citada norma, por las deficiencias detectadas, respecto de la política de cookies, en la página web https://www.freshlycosmetics.com/es/ , esto es. - la utilización de cookies que no son de naturaleza técnica o necesaria sin el previo consentimiento del usuario, - la utilización de este tipo de cookies después incluso de haber rechazado dicha utilización y - la imposibilidad de modificar el consentimiento en cualquier momento de la navegación web cuando así lo desee el usuario. La notificación de la incoación del expediente se practicó conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, produciéndose el acceso al contenido de la notificación el 23/12/24, según consta en el expediente, no habiendo recibido en esta Agencia escrito de alegaciones a la incoación del expediente. SEPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna a la incoación del expediente, en esta Agencia. El artículo 64.2.
- f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción de la LSSI atribuida al reclamado y la sanción que podrían imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
- f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS Primero: Se ha constatado que, al acceder por primera vez a la página web https://www.freshlycosmetics.com/es/, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 sobre la misma se utilizaban las siguientes cookies de naturaleza no técnica previo al consentimiento del usuario: - Segundo: Se ha constatado que en el banner inicial de la página web en cuestión, se identifica de forma genérica, las finalidades para las que se utilizarán las cookies y si éstas son propias o también de terceros. En dicho banner solo existe la opción de aceptar cookies o la opción de redirigirse al panel de control para la gestión de las mismas. Se comprueba que al acceder al panel de control los grupos de cookies están premarcados en la opción “ON” o aceptación de Se constata también que si se deseaba rechazar la utilización de cookies, se debía desplazar los cursores de los grupos de cookies desde la posición “ON” a la posición “OFF”, y aceptar la selección pero se comprobó, si se realizaba esta operación, que la web seguía utilizando cookies que no eran de naturaleza técnica como la cookie de segmentación, DYD y la cookie de rendimiento, AB_CHECKOUT. Tercero: Se ha constatado que no es posible modificar el consentimiento prestado a la utilización de cookies no técnicas o necesarias en cualquier momento de la navegación web pues no existe ningún enlace permanente que redirija al usuario al panel de control para poder realizar esta operación. FUNDAMENTOS DE DERECHO I Competencia. De acuerdo con lo establecido en el artículo 43.1 de la LSSI y lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." La Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Deficiencias detectadas en la Política de Cookies de la web https://www.freshlycosmetics.com/es/ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 Primero: Sobre instalación de cookies en el equipo terminal previo al consentimiento. Recordemos que las cookies son pequeños archivos de texto que los sitios web almacenan en el dispositivo del usuario (ordenador, móvil, tablet) a través del navegador. Estas cookies se utilizan para almacenar información sobre la interacción del usuario con la página web, con fines diversos como mejorar la experiencia del usuario, recordar configuraciones o preferencias, o realizar análisis estadístico o de preferencias de uso del sitio, pudiendo hacer perfiles del usuario. El artículo 22.2 de la LSSI establece que se debe facilitar a los usuarios información clara y completa sobre la utilización de los dispositivos o métodos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de esos datos. Esta información debe facilitarse con arreglo a lo dispuesto el RGPD. Por lo que respecta a la utilización de cookies, cuando conlleve un tratamiento que posibilite la identificación del usuario, los responsables del tratamiento deberán asegurarse del cumplimiento de las exigencias establecidas por la normativa sobre protección de datos. No obstante, es necesario señalar que quedarían exceptuadas del cumplimiento de las obligaciones establecidas en el artículo 22.2 de la LSSI aquellas cookies necesarias para la intercomunicación de los terminales y la red y aquellas que prestan un servicio expresamente solicitado por el usuario. En este sentido, el GT29, en su Dictamen 4/2012, interpretó que, aparte de las cookies de naturaleza técnica, entre las cookies exceptuadas estarían las cookies de entrada del usuario, (aquellas utilizadas para rellenar formularios, o como gestión de una cesta de la compra); cookies de autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario (aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio web); cookies de sesión de reproductor multimedia; usuario y algunas de complemento (plug-
- in)para intercambiar contenidos sociales. Estas cookies quedarían excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su uso. Por el contrario, será necesario informar y obtener el consentimiento previo del usuario antes de la utilización de cualquier otro tipo de cookies, tanto de primera como de tercera parte, de sesión o persistentes. En el presente caso, en la comprobación realizada en la web en cuestión se detectó que al acceder a la misma por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la misma se utilizaban las siguientes cookies de naturaleza no técnica previo al consentimiento del usuario: c. de rendimiento: AB_CHECKOUT y AB_SHIPMENTCOST y c. de Segmentación: _dyjsession; _dyid; DYID y _dyid_server. Segundo: Sobre el consentimiento a la instalación de cookies en el equipo terminal: Para la utilización de las cookies no exceptuadas, será necesario obtener el consentimiento del usuario de forma expresa. Este consentimiento se puede obtener haciendo clic en, “aceptar” o infiriéndolo de una inequívoca acción realizada por el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 usuario que denote que el consentimiento se ha producido inequívocamente. Por tanto, la mera inactividad del usuario, hacer scroll o navegar por el sitio web, no se considerará a estos efectos, una clara acción afirmativa en ninguna circunstancia y no implicará la prestación del consentimiento por sí misma. Del mismo modo, el acceso a la segunda capa si la información se presenta por capas, así como la navegación necesaria para que el usuario gestione sus preferencias en relación con las cookies en el panel de control, tampoco es considerada una conducta activa de la que pueda derivarse la aceptación de cookies. No está permitido tampoco la existencia de “Muros de Cookies”, esto es, ventanas emergentes que bloquean el contenido y el acceso a la web, obligando al usuario a aceptar el uso de las cookies para poder acceder a la página y seguir navegando sin ofrecer al usuario ningún tipo de alternativa que le permita gestionar libremente sus preferencias sobre la utilización de las cookies. Si la opción es dirigirse a una segunda capa o panel de control de cookies, el enlace debe llevar al usuario directamente a dicho panel de configuración. Para facilitar la selección, en el panel podrá implementarse, además de un sistema de gestión granular de cookies, dos botones más, uno para aceptar todas las cookies y otro para rechazarlas todas. Si el usuario guarda su elección sin haber seleccionado ninguna posibilidad, en ningún caso son admisibles las casillas premarcadas a favor de aceptar Si para la configuración de las cookies, la web remite a la configuración del navegador instalado en el equipo terminal, esta opción podría ser considerada complementaria para obtener el consentimiento, pero no como único mecanismo. Por ello, si el editor se decanta por esta opción, debe ofrecer además y en todo caso, un mecanismo que permita rechazar el uso de las cookies y/o hacerlo de forma granular. Por otra parte, la retirada del consentimiento prestado previamente por el usuario deberá poder ser realizado en cualquier momento. A tal fin, el editor deberá ofrecer un mecanismo que posibilite retirar el consentimiento de forma fácil en cualquier momento. Se considerará que esa facilidad existe, por ejemplo, cuando el usuario tenga acceso sencillo y permanente al sistema de gestión o configuración de las Si el sistema de gestión o configuración de las cookies del editor no permite evitar la utilización de las cookies de terceros una vez aceptadas por el usuario, se facilitará información sobre las herramientas proporcionadas por el navegador y los terceros, debiendo advertir que, si el usuario acepta cookies de terceros y posteriormente desea eliminarlas, deberá hacerlo desde su propio navegador o el sistema habilitado por los terceros para ello. En el caso que nos ocupa, se comprobó en el banner inicial solamente existía la opción de aceptar cookies o la opción de redirigirse al panel de control para la gestión de las mismas (rechazar cookies). Se comprobó que al acceder al panel de control para gestionar la utilización de cookies, los grupos de cookies estaban premarcados en la opción “ON” (aceptación de cookies no técnicas o necesarias por defecto). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 Si se deseaba rechazar la utilización de cookies, se debía desplazar los cursores de los grupos de cookies desde la posición “ON” a la posición “OFF”, y aceptar la selección pero se comprobó, si se realizaba esta operación, que la web seguía utilizando cookies que no eran de naturaleza técnica como la cookie de segmentación, DYD y la cookie de rendimiento, AB_CHECKOUT. Tercero: Sobre la posibilidad de modificar o retirar el consentimiento para el uso de las Los usuarios deberán poder retirar el consentimiento previamente otorgado en cualquier momento. A tal fin, el editor deberá asegurarse de que facilita información a los usuarios en su política de cookies sobre cómo pueden retirar el consentimiento. El usuario debe poder revocar el consentimiento de forma fácil. El sistema que se ofrezca para retirar el consentimiento debe ser tan fácil como el utilizado cuando se prestó. Se considerará que esa facilidad existe, por ejemplo, cuando el usuario tenga acceso sencillo y permanente al sistema de gestión o configuración de las cookies. En el presente caso, no es posible modificar el consentimiento prestado a la utilización de cookies no técnicas o necesarias en cualquier momento de la navegación web pues no existe ningún enlace permanente que redirija al usuario al panel de control para poder realizar esta operación. III Obligación Incumplida De las deficiencias detectadas, respecto de la política de cookies, en la página web https://www.freshlycosmetics.com/es/, esto es: - la utilización de cookies que no son de naturaleza técnica o necesaria sin el previo consentimiento del usuario, - la utilización de este tipo de cookies después incluso de haber rechazado dicha utilización y - la imposibilidad de modificar el consentimiento en cualquier momento de la navegación web cuando así lo desee el usuario, Los anteriores defectos suponen, por parte del reclamado, la vulneración del artículo 22.2 de la LSSI, pues establece lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. IV. Tipificación de la infracción del artículo 22.2 de la LSSI Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, Por su parte, el artículo 39.1.c), “Sanciones”, establece que: “1. Por la comisión de las infracciones recogidas en el artículo anterior, se impondrán las siguientes sanciones:
- c)Por la comisión de infracciones leves, multa de hasta 30.000 euros. V. Graduación de la Sanción La LSSI, en su artículo 40, establece la “graduación de la cuantía de las sanciones”, atendiendo a los siguientes criterios:
- a)La existencia de intencionalidad.
- b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
- c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
- d)La naturaleza y cuantía de los perjuicios causados.
- e)Los beneficios obtenidos por la infracción.
- f)Volumen de facturación a que afecte la infracción cometida.
- g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. Tras las evidencias obtenidas se considera que procede graduar la sanción a imponer de acuerdo con el agravante de reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme (apartado c), pues se constata que, con fecha 03/02/23 tuvo lugar la resolución, por parte de la Directora de la Agencia Española de Protección de Datos, del expediente PS/00315/2022, por la utilización de cookies de terceros que no eran de naturaleza técnica o necesaria y la imposibilidad de rechazar las cookies de terceros, además de la falta de información en la “Política de Cookies” de la web. Con arreglo a dichos criterios, se estima adecuado imponer, por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies realizada en la página web de su titularidad, una sanción de 10.000 euros (diez mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 Por lo tanto, a tenor de lo anteriormente expuesto, por parte de la Presidencia de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: IMPONER a la entidad FRESHLY COSMETICS, S.L. con NIF.: B55666143, titular de la página web, https://www.freshlycosmetics.com/es/ por la vulneración del artículo 22.2 de la LSSI, tipificada como “leve” en el artículo 38.4 g), de la citada norma, una sanción de 10.000 euros (diez mil euros) SEGUNDO: NOTIFICAR la presente resolución a FRESHLY COSMETICS, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Lorenzo Cotino Hueso, Presidente de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es