1/18 Expediente N.º: EXP202505992 (PS/00594/2025) RESOLUCIÓN DEL PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos (en lo sucesivo, AEPD) y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 5 de marzo de 2025, A.A.A. (en lo sucesivo, la parte reclamante) interpuso reclamación ante la AEPD. La reclamación se dirige contra el DIARIO DE PRENSA DIGITAL, S.L., con CIF. B86509254, titular de la página web: https://www.eldiario.es/ (en lo sucesivo, PRENSA DIGITAL o la parte reclamada) por la presunta vulneración de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI). La parte reclamante sostiene que en el sitio web indicado se instalan cookies de seguimiento y de carácter publicitario sin haber recabado previamente el consentimiento del usuario, aportando para ello un documento en el que se recogen las evidencias obtenidas a partir del análisis de la política de cookies del citado sitio. SEGUNDO: Con fecha 14 de abril de 2025, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Con fecha 12 de mayo de 2025, la parte reclamada presenta escrito de contestación en el que, en síntesis, manifiesta lo siguiente: - Niega la existencia de infracción alguna relativa al uso de cookies en su sitio web y sostiene que el tratamiento de datos realizado mediante estos dispositivos se ajusta a la normativa vigente, que la información ofrecida al usuario es adecuada y que el mecanismo de consentimiento cumple los criterios de la AEPD. Afirma, además, que el comportamiento del reclamante durante las pruebas habría sido “anómalo” o no representativo del funcionamiento real del sistema, lo que podría haber provocado que determinadas cookies no se eliminaran correctamente y asegura que determinadas cookies detectadas no son imputables a su actuación, sino a servicios externos integrados en su plataforma. - Sobre las cookies detectadas antes de aceptar o rechazar el banner: afirma que la presencia de diversas cookies procedentes de YouTube y Dailymotion se explica por la existencia de una retransmisión en directo incrustada en la página en el momento en que se efectuaron las pruebas. Señala que dichas el contenido audiovisual y que su instalación es inherente al servicio prestado por dichas plataformas. Asimismo, la entidad reconoce que, con anterioridad, existían determinadas cookies que sí se instalaban de manera incorrecta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/18 (como las pertenecientes a Microsoft Clarity, Hotjar y algunas de Google Analytics), las cuales declara haber eliminado tras revisar su configuración interna. Aporta una tabla clasificando cada cookie mencionada en la reclamación como “necesaria”, “eliminada” o “asociada a servicios imprescindibles”, a efectos de justificar las modificaciones implementadas. - Sobre el funcionamiento del mecanismo de rechazo: sostiene que dicho resultado no es atribuible a un defecto de configuración del panel de consentimiento, sino a un uso acelerado o no estándar del mecanismo argumentando que, si el usuario modifica su elección de forma extremadamente rápida, el sistema podría no disponer del tiempo suficiente para ejecutar el proceso de desactivación de determinadas cookies y aporta un informe técnico elaborado por la empresa ***EMPRESA.1 en el que se señala que, debido a la política de seguridad de los navegadores ((...)), un editor no puede eliminar cookies de terceros una vez instaladas, dado que únicamente el propio tercero puede ordenar su eliminación. - Sobre las acciones realizadas sobre cada cookie: la entidad incorpora al expediente una tabla detallada de todas las cookies referidas en la reclamación, indicando su nombre, su proveedor y la acción efectivamente realizada respecto de cada una de ellas. En dicha tabla se identifica un número significativo de cookies marcadas como “eliminadas” por haber sido detectadas como innecesarias o inadecuadas para su uso sin consentimiento. La entidad destaca que esta depuración incluye cookies de analítica avanzada, publicidad y personalización que, tras la revisión interna, se han suprimido voluntariamente. - Sobre la información ofrecida al usuario: sostiene que la información que proporciona al usuario es clara, accesible y conforme a la regulación aplicable. Afirma que la política de cookies y la política de privacidad están permanentemente accesibles desde cualquier punto de navegación y que el panel de configuración permite gestionar de forma granular las finalidades y los terceros. Añade que la retirada del consentimiento puede realizarse de manera sencilla a través del enlace “Mis cookies” situado en el pie de página, en línea con las directrices de la AEPD. Asimismo, acompaña capturas de pantalla del banner y del panel de consentimiento como prueba documental de la transparencia del sistema y de la accesibilidad de las opciones de configuración. - Sobre las fechas de implantación y medidas adoptadas: la entidad informa de que el sistema de gestión del consentimiento (CMP), operado por ***EMPRESA.2 e integrado en el marco de transparencia de IAB Europa, fue implantado el 11/01/2024. Tras recibir la comunicación de la AEPD en abril de 2025, la empresa llevó a cabo una auditoría interna de su configuración, revisó la lista completa de cookies y adoptó medidas correctoras, completadas el 8/05/2025. - Como anexo, la reclamada aporta un informe técnico-legal en el que se expone que el editor de un sitio web no tiene capacidad técnica para eliminar cookies creadas por terceros, aun cuando el usuario haya modificado su preferencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/18 posteriormente. El informe sostiene que este límite técnico justifica que determinadas cookies sigan apareciendo en el navegador del reclamante incluso tras seleccionar “Rechazar todo”, y concluye que el panel de consentimiento cumple con su función. CUARTO: Con fecha 5 de junio de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, (en lo sucesivo, RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 8 de agosto de 2025 se comprueba, por parte de esta Agencia, respecto a la “Política de Cookies” del sitio web indicado que la cookie _ga_9EZTW9DKW8, perteneciente al sistema Google Analytics continúa instalándose de manera automática al acceder a la página web sin que el usuario haya aceptado previamente su uso, tal y como se acredita mediante la captura de la herramienta de desarrollador del navegador donde aparece registrada la cookie antes de cualquier interacción con el banner de información inicial y consentimiento. Con fecha 20 de noviembre de 2025, se comprueba, por parte de esta Agencia, respecto a la “Política de Cookies” del sitio web indicado los siguientes aspectos: a).- Al acceder por primera vez al sitio, sin que el usuario haya realizado acción alguna ni prestado consentimiento mediante el banner de cookies, se observa que la web instala automáticamente diversas cookies detectadas a través de la herramienta: “inspeccionar aplicación” del navegador de Google Chrome y después de haber limpiado la caché del navegador web y sus cookies, y tras haber forzado al navegador a descargar la última versión de la página web alojada en el servidor remoto: - __cf_bm (dominio: onesignal.com, proveedor: OneSignal). Finalidad: cookie destinada a la gestión de tráfico y detección de bots. Evalúa si la actividad procede de un usuario humano o de sistemas automatizados. Su objeto principal es garantizar la seguridad del sitio, proteger frente a ataques automatizados o abusos e impedir accesos fraudulentos. - sid (dominio: wwc.addoor.net, proveedor: Addoor/OpenAds). Finalidad: identificador de sesión estrictamente técnico, necesario para mantener la sesión interna del usuario cuando se procesa contenido del proveedor publicitario. Puede incluir un identificador pseudónimo, sin finalidad de seguimiento, destinado exclusivamente a garantizar la continuidad técnica de las solicitudes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/18 - Secure-ENID (dominio: google.com, proveedor: Google LLC). Finalidad: cookie de seguridad utilizada por Google para prevenir fraudes, ataques, accesos no autorizados y manipulación de credenciales. Permite la integridad de las interacciones entre el usuario y servicios de Google implementados en la página. - g-state (dominio: eldiario.es, proveedor: elDiario.es). Finalidad: cookie vinculada al denominado gesture state, destinada a verificar interacción humana (movimiento del ratón, actividad de navegación). Su función es antibots y antifraude, diferenciando tráfico humano de tráfico automatizado. Las cookies de rendimiento o analíticas de Google Analytics (GA y GA4) tienen como finalidad medir cómo interactúa el usuario con el sitio web mediante un identificador único y persistente. Gracias a ese identificador pueden distinguir usuarios nuevos de recurrentes, registrar páginas visitadas, tiempos de permanencia, rutas de navegación, tasas de rebote y otros indicadores de comportamiento. También recopilan datos sobre el rendimiento técnico de la página, como tiempos de carga, errores o fallos de funcionamiento. En GA4, además, se registran eventos específicos —clics, desplazamientos, reproducciones de vídeo, descargas o tiempo de interacción real— que permiten obtener información detallada sobre cómo se utiliza el contenido. En el presente caso se han detectado las siguientes cookies: - _ga (dominio: eldiario.es, proveedor: Google LLC). Finalidad: asigna un identificador único y persistente al usuario, permitiendo distinguir visitas nuevas de repetidas, registrar rutas de navegación, tiempos de permanencia y hábitos de consumo digital. Puede combinarse con otros servicios de Google y suele implicar transferencias internacionales de datos a EE. UU. - _ga_4RZPWREGF3 (dominio: eldiario.es, proveedor: Google LLC). Finalidad: cookie propia del modelo GA4, registra eventos específicos de interacción (clics, desplazamientos, vídeos, formularios), analiza rutas de navegación, dispositivos utilizados, localización basada en la IP y patrones de comportamiento entre sesiones. - _ga_9EZTW9DKW8 (dominio: eldiario.es, proveedor: Google LLC). Finalidad: profundiza en el tracking de comportamiento, permitiendo crear perfiles más completos combinados con otros servicios de Google (Ads, YouTube, Search). Rastrea sesiones múltiples, intereses de lectura, categorías informativas consultadas y patrones temporales. Puede afectar áreas especialmente sensibles tratándose de un medio de comunicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/18 Las cookies de personalización sirven para adaptar la experiencia de navegación mediante ajustes no esenciales, como preferencias de visualización, idioma, formato o disposición de contenidos, sin que el usuario los haya solicitado expresamente. A diferencia de las cookies técnicas —imprescindibles para el funcionamiento básico del sitio—, estas modifican la apariencia o el comportamiento de la web según preferencias inferidas o recordadas, pero no son necesarias para prestar el servicio. En el presente caso se han detectado las siguientes cookies: - Presentation (dominio: eldiario.es). Finalidad: recordar preferencias de visualización del usuario (modo de lectura, tema oscuro/claro, disposición gráfica, formato de página). Modifica la interfaz según preferencias inferidas o previamente almacenadas. - FCCDCCF (dominio eldiario.es). Finalidad: su función no consta documentada, si bien su estructura revela un uso para identificación interna de usuarios no autenticados, registro de preferencias, medición de patrones de lectura, almacenamiento de identificadores propios del medio y activación de funciones de personalización pudiendo comportar tratamiento de datos. Las cookies publicitarias o de identificación se utilizan para recopilar información sobre el comportamiento del usuario con el fin de mostrar publicidad adaptada a sus intereses, medir la eficacia de las campañas y crear perfiles basados en su actividad de navegación. Permiten rastrear al usuario entre sesiones y sitios web, generando un historial detallado que facilita la segmentación y la personalización de anuncios. En el presente caso se ha detectado la siguiente cookie: - uid (dominio: wwc.addoor.net, proveedor: Addoor / ad-exchange). Finalidad: asigna un identificador único y persistente que permite reconocer al usuario en visitas sucesivas, vincular múltiples sesiones, reconstruir hábitos de navegación, asociar información técnica y comportamental a un perfil único y medir la eficacia de campañas publicitarias. Permite rastreo intersitio. b).- Sobre el Banner de primera capa y modelo “pagar o aceptar”: El banner inicial muestra dos vías de acceso al servicio: una opción de navegación sin publicidad, condicionada al pago de 1 €/semana y la otra opción de navegación gratuita, condicionada a aceptar cookies de publicidad y seguimiento. La configuración presentada constituye un modelo de “pay or ok”, en el que la negativa gratuita a las cookies no aparece. El banner informa también del uso de tecnologías por parte de 716 socios. c).- Sobre la posibilidad de retirar o modificar el consentimiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/18 Una vez otorgado el consentimiento inicial, la web comienza a instalar nuevas cookies adicionales. No obstante, existe un mecanismo visible para revocar o modificar dicho consentimiento a través del enlace permanente “Mis cookies” situado en el pie de página, desde donde el usuario puede ajustar o retirar los permisos otorgados. d).- Contenido de la política de cookies: La política de cookies del sitio ofrece una descripción general de qué son las cookies, su duración (de sesión o persistentes), la distinción entre cookies propias y de terceros, y su clasificación por finalidades: técnicas, personalización, análisis y publicidad. Informa de la existencia de una plataforma de gestión del consentimiento (CMP) de ***EMPRESA.2 integrada en el Marco de Transparencia de IAB Europa. SEXTO: Con fecha 4 de diciembre de 2025, la Presidencia de la AEPD acordó iniciar procedimiento sancionador a la parte reclamada con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta vulneración del artículo 22.2 de la LSSI, tipificada como “leve” en el artículo 38.4 g), de la citada norma, con una sanción inicial de 5.000 euros (cinco mil euros). SÉPTIMO: Con fecha 18 de diciembre de 2025, la reclamada ha procedido al pago de la sanción en la cuantía de 4.000 euros (cuatro mil euros), acogiéndose a la reducción del 20% por pago voluntario de la multa establecida en el acuerdo de inicio, en los términos previstos por el artículo 85.2 de la LPACAP. En el escrito a la AEPD en el que informaba de este hecho, y acreditaba el pago, ha manifestado el no reconocimiento de su responsabilidad solicitando que se tenga por acreditada la eliminación y no instalación de las cookies objeto de las actuaciones, se valore la diligencia de elDiario.es y la justificación de las cookies imprescindibles, y que se acuerde el archivo del procedimiento o una terminación proporcionada conforme al artículo 65.3 de la LOPDGDD, mediante el siguiente escrito: PRIMERA. Instalación consentimiento. de en el equipo terminal previo al A.- En relación con las siguientes cookies: - “uid” del dominio wwc.addoor.net - “_ga_9EZTW9DKW8” y “FCCDCCF” Se informa que se han adoptado las medidas necesarias para eliminar dichas usuarios que acceden al servicio. Esta acción ha sido implementada de forma inmediata tras la comunicación de la AEPD, y se han desplegado revisiones para garantizar que no se produce ninguna instalación residual de estas El principio de responsabilidad proactiva, recogido en el artículo 5.2 del Reglamento (UE) 2016/679 (RGPD) y desarrollado por la Ley Orgánica 3/2018, impone a los responsables y encargados del tratamiento la obligación de adoptar todas las medidas técnicas y organizativas adecuadas para garantizar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/18 y poder demostrar que el tratamiento es conforme con la normativa, así como para corregir, de manera inmediata, posibles incumplimientos detectados. En este sentido, la eliminación inmediata de las cookies indicadas por la AEPD y la detallada revisión interna para asegurar su completa supresión acreditan la aplicación efectiva de este principio. B.-Respecto a las cookies: - “_ga” y - “_ga_4RZPWREGF3” Se hace constar que, tras el análisis técnico y de negocio realizado por la compañía, dichas cookies representan la única vía técnica disponible para la medición correcta de la interacción de los usuarios con el sistema de gestión del consentimiento (“cookiewall”). La supresión de estas cookies, que permiten identificar el número de navegadores únicos que acceden a la plataforma y los que han interactuado explícitamente con el aviso de consentimiento, supondría imposibilitar la obtención de datos fiables y esenciales sobre el tráfico y funcionamiento básico de la Plataforma de Gestión de Consentimientos (CMP). La eliminación completa de estas cookies distorsionaría la medición estadística mínima relativa a los usuarios que visitan la plataforma y a los que no interactúan con el “cookiewall”, lo que tiene un impacto directo en la medición del tráfico total, la facturación publicitaria y la toma de decisiones de negocio sobre bases objetivas y correctas. Dicho lo anterior, hemos procedido a realizar el pago voluntario por importe de 4.000 €, acogiéndonos a la reducción indicada en la Propuesta de Sanción. Adjuntamos el justificante de pago correspondiente. No pudiendo admitir el reconocimiento de responsabilidad, por no estar de acuerdo con que las cookies del punto 1.B. no sean necesarias, de acuerdo a las alegaciones planteadas con anterioridad. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS Primero.– La entidad DIARIO DE PRENSA DIGITAL, S.L., con CIF B86509254, es titular del sitio web accesible en la dirección https://www.eldiario.es/, desde el que se presta un servicio de comunicación digital al público y en el que se utilizan dispositivos de almacenamiento y recuperación de datos (cookies) en los equipos terminales de los usuarios que acceden al citado sitio web. Segundo.– Con fecha 8 de agosto de 2025, esta Agencia comprobó que, al acceder al sitio web https://www.eldiario.es/, se producía la instalación automática de la cookie _ga_9EZTW9DKW8, perteneciente al sistema Google Analytics, antes de que el usuario hubiera realizado cualquier acción de consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/18 Dicha circunstancia quedó acreditada mediante captura obtenida a través de la herramienta de desarrollador del navegador, en la que consta la presencia de la citada Tercero.– Con fecha 20 de noviembre de 2025, esta Agencia comprobó que, tras limpiar la caché y las cookies del navegador y forzar la descarga de la última versión del sitio web desde el servidor remoto, al acceder por primera vez a la página web https://www.eldiario.es/ , sin que el usuario hubiera realizado acción alguna ni prestado consentimiento mediante el banner de cookies, se instalaban automáticamente las siguientes cookies, detectadas mediante la herramienta «Inspeccionar → Aplicación» del navegador Google Chrome: __cf_bm, sid, Secure-ENID, g-state, dominio onesignal.com. dominio wwc.addoor.net. dominio google.com. dominio eldiario.es. _ga, dominio eldiario.es. _ga_4RZPWREGF3, dominio eldiario.es. _ga_9EZTW9DKW8, dominio eldiario.es. Presentation, FCCDCCF, dominio eldiario.es. dominio eldiario.es. uid, dominio wwc.addoor.net. La instalación de dichas cookies quedó acreditada mediante capturas obtenidas a través de la herramienta de desarrollador del navegador, incorporadas al expediente. Cuarto.– En la comprobación realizada el 20 de noviembre de 2025, se observó que el banner inicial de información mostraba dos opciones de acceso al servicio: una modalidad de navegación sin publicidad, condicionada al pago, y una modalidad de navegación gratuita, condicionada a la aceptación de cookies no necesarias. Estas circunstancias constan acreditadas mediante capturas del banner inicial incorporadas al expediente. Quinto.– En la comprobación realizada el 20 de noviembre de 2025, se constató la existencia de un enlace permanente denominado «Mis cookies», situado en el pie de página del sitio web, desde el que el usuario puede acceder a un panel de configuración para modificar o retirar los permisos previamente otorgados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/18 Dicha circunstancia quedó acreditada mediante capturas del panel de configuración de Sexto.– En la comprobación realizada el 20 de noviembre de 2025, se verificó que la política de cookies del sitio web incluía información relativa al concepto de cookies, su duración, la distinción entre cookies propias y de terceros, y su clasificación por finalidades. Asimismo, se indicaba la utilización de una plataforma de gestión del consentimiento (CMP) operada por ***EMPRESA.2, integrada en el Marco de Transparencia de IAB Europa. El contenido descrito consta acreditado mediante captura de la política de cookies incorporada al expediente. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la LSSI y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición Adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Instalación de cookies en el equipo terminal previo al consentimiento El artículo 22.2 de la LSSI, establece que se debe facilitar a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos. Esta información debe facilitarse con arreglo a lo dispuesto en el RGPD. No obstante, es necesario señalar que quedan exceptuadas del cumplimiento de las obligaciones establecidas en el artículo 22.2 de la LSSI aquellas cookies necesarias para la intercomunicación de los terminales y la red y aquellas que prestan un servicio expresamente solicitado por el usuario. En este sentido, el GT29, en su Dictamen 4/2012, interpretó que entre las cookies exceptuadas estarían las cookies de entrada del usuario (aquellas utilizadas para rellenar formularios, o como gestión de una cesta de la compra); cookies de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/18 autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario (aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio web); cookies de sesión de reproductor multimedia; cookies de sesión para equilibrar la carga; cookies de personalización de la interfaz de usuario y algunas de complemento (plug-
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.