← España

PS-00691-2013

1/15 Procedimiento Nº PS/00691/2013 Apercibimiento Nº A/00176/2014 RESOLUCIÓN: R/01508/2014 En el procedimiento sancionador PS/00691/2013, instruido por la Agencia Española de Protección de Datos a la entidad TECHNICAL PLATING, S.L., vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 15 de abril de 2013 se registra de entrada en esta Agencia denuncia interpuesta por Don A.A.A., en adelante el denunciante, en la que manifiesta, entre otras cuestiones, que el portal web www.technicalplating.es, del que es responsable la entidad TECHNICAL PLATING, S.L., no facilita información clara y completa sobre la utilización de cookies y tecnologías similares. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia realizan una serie de actuaciones a raíz de las cuales se tiene conocimiento de los siguientes extremos: 1. Con fecha 10 de septiembre de 2013 se constata que Don B.B.B. figuraba en el Registro Mercantil Central como administrador Único de la entidad TECHNICAL PLATING, S.L., en adelante TECHNICAL. 2. En la información obtenida a través del servicio whois se comprueba que el administrador único de la sociedad anteriormente citado aparece señalado como titular del dominio technicalplating.es y como persona de contacto administrativo y técnico del mismo. También se ha constatado que la dirección de correo electrónico ...@technicalplating.... que figura en el mencionado servicio whois asociada a los datos de contacto técnico y administrativo coincide con la que aparece entre los datos de contacto de TECHNICAL en la página web de su titularidad. 3. El 10 de septiembre de 2013 se realizó una prueba consistente en navegar a través del sitio web www.technicalplating.es utilizando un navegador Mozilla En el transcurso de La misma no se localizó ninguna información concerniente al uso de uso de dispositivos de almacenamiento y recuperación de datos (en adelante cookies, entendiendo incluido en dicho término todo dispositivo de tales características). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 Durante esa prueba se descargaron un total de 5 cookies. Cuatro de las cookies, denominadas utma, _utmb, _utmc y_utmz, corresponden al servicio de analítica web denominado Google Analytics y la quinta es una cookie persistente denominada “PREF” asociada al dominio google.com. 4. La finalidad de las cuatro cookies del servicio Google Analytics es realizar un seguimiento de la actividad de los visitantes del sitio web. 5. Con fecha 11 de septiembre de 2013 se remitió una solicitud de información al domicilio de TECHNICAL que consta en el Registro Mercantil Central, la cual consta como entregada el 16 de septiembre de 2013. Al no recibir respuesta a dicho requerimiento de información, con fecha el 11 de noviembre de 2013 se dirigió un nuevo escrito al citado domicilio reiterando la solicitud de información, el cual fue devuelto por el servicio de correos con indicación de que a 13 de noviembre de 2013 el destinatario era desconocido. 6. Con fecha 27 de noviembre de 2013 se trató de acceder al sitio web www.technicalplating.es , resultando que el sitio web no era accesible. Mediante el uso del servicio de caché proporcionado por el buscador Google se accedió a una copia de las páginas www.technicalplating.es y www.technicalplating.es/contacto.html realizadas el día 20 de noviembre de 2013, comprobándose que ninguna de dichas páginas informaba sobre el uso de cookies. TERCERO: Con fecha 20 de febrero de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad TECHNICAL PLATING, S.L. por la presunta infracción del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como leve en el artículo 38.4.

  1. g)de dicha norma. CUARTO: Notificado el citado Acuerdo de inicio, con fecha 18 de marzo de 2014 se registra de entrada en esta Agencia escrito de alegaciones del administrador de TECHNICAL PLATING, S.L. en el que comunica las siguientes modificaciones introducidas en el sitio web www.technicalplating.es para adaptarlo a la normativa legal: -Se ha incluido un mensaje de aceptación de cookies en la página de inicio de la web. - Se han insertado en el pie de todas sus páginas los enlaces de “Aviso Legal” y “Política de Cookies”. Se señala que a través del documento de “Política de Cookies”, cuyo contenido se transcribe íntegro en el escrito de alegaciones, se pretende dar cumplimiento a la obligación establecida en la LSSI de informar de forma válida sobre el uso de cookies, de tal forma que la información resulte comprensible (clara), indique la finalidad concreta de las cookies (completa) y se facilite antes de la instalación de las mismas (previa). QUINTO: Con fecha 20 de marzo de 2014 se constata que en el citado sitio web se ha introducido un sistema de información por capas para informar a los usuarios que acceden al mismo sobre el uso de cookies. La primera capa de información se muestra al acceder a la página principal del sitio a través de un aviso referente al “Uso de Cookies”, cuyo texto es el siguiente: “Esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 web usa cookies para mejorar la experiencia de usuario. Al usar nuestra web estás aceptando las cookies de acuerdo a la Política de Cookies. Aceptar. Leer más.“ La segunda capa, a la que se accede clicando el enlace “Leer más” del aviso anterior, muestra el documento denominado “Política de cookies”, cuyo contenido es el mismo que el que figura en el enlace de “Política de Cookies” situado en el pie de la página principal. SEXTO: Con fecha 20 de marzo de 2014 se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, en el que se daban por reproducidos, a efectos probatorios, la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante TECHNICAL PLATING, S.L., el Informe de actuaciones previas de Inspección que forman parte del expediente E/03517/2013, las alegaciones al acuerdo de inicio PS/00691/2013 presentadas por dicha entidad y la documentación que a ellas acompañaba, la información sobre el uso de cookies que aparecía con esa misma fecha en el sitio web www.technicalplating.es y la impresión del documento “Aviso Legal” del mismo. Con fecha 24 de marzo de 2014, y dentro del marco del período de práctica de pruebas, se acordó solicitar a TECHNICAL indicación del motivo por el que la información relativa a las finalidades de los dispositivos de almacenamiento y recuperación de datos que se instalan en los equipos terminales de los visitantes del sitio web www.technicalplating.es aparece en la “Política de Cookies” en inglés, cuando el resto de la información y el propio sitio web están en español. Con fecha 8 de abril de 2014 se registra escrito de la citada entidad señalando que el contenido del documento de “Política de cookies” se ha modificado apareciendo íntegramente en español. SÉPTIMO: Con fecha 3 de junio de 2014 se realiza un nuevo acceso al sitio web a fin de comprobar la realización de dicha modificación, constatándose que la información relativa a las finalidades de los dispositivos de almacenamiento y recuperación de datos detallados en el cuadro incluido en la segunda capa de información está en español. También se comprueba que a dicho cuadro se han añadido tres cookies técnicas de tercera parte asociadas al dominio cookie-script.com a los efectos de gestionar el consentimiento del usuario ante el uso de las cookies. En esta visita también se advierte que el aviso de “Uso de Cookies” mantiene el mismo contenido que el constatado con fecha 20 de marzo de 2014. OCTAVO: Con fecha 4 de julio de 2014 durante el acceso y navegación efectuados en el mencionado sitio web utilizando el navegador Google Chrome se constata la descarga de los siguientes dispositivos de almacenamiento y recuperación de datos no exentos del deber de información: las cookies _utma, _utmb, _utmc y_utmz asociadas al dominio www.technicalplating.es del servicio de analítica web Google Analytics y las cookies NID y PREF asociadas al dominio google.com. También se verifica que el enlace I+D situado en el encabezamiento de la página inicial dirige al sitio web www.sustainablepv.eu, desde el que se descargan youtube.com. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 HECHOS PROBADOS PRIMERO: TECHNICAL PLATING, S.L. es responsable del sitio web www.technicalplating.es , a través del cual dicha empresa ofrece información sobre sus servicios de galvanotecnia en general, restauración de vehículos clásicos y objetos decorativos y recubrimiento electrónicos y químicos de metales . (folios 7, 59, 61) SEGUNDO: Durante los accesos realizados los días 10 de septiembre y 27 de noviembre de 2013 al sitio web www.technicalplating.es se constató que no aparecía ninguna información sobre la instalación, uso y finalidades de las cookies que se almacenaban en los equipos terminales de los visitantes que accedían al mismo. (folios 11, 12, 27, 29 al 33, 35 y 36) TERCERO: Con fecha 10 de septiembre de 2013 se realizó un acceso al mencionado sitio web durante el cual se descargaron cinco cookies no exentas del cumplimiento del deber de las obligaciones derivadas del artículo 22.2 de la LSSI. : (folios 13 al16) Dominio Nombre Primera - Tercera parte Sesión - Persistente technicalplating.es _utma Tercera technicalplating.es _utmb Tercera Persistente Persistente technicalplating.es _utmc Tercera Sesión technicalplating.es _utmz Tercera Persistente google.com PREF Tercera Persistente CUARTO: Con fecha 20 de marzo de 2014 se constata que editor del sitio web www.technicalplating.es ha incorporado un sistema de información por capas para informar a los usuarios que acceden al mismo sobre la utilización de cookies en dicha página web. (folios 59 al 64 ) La primera capa de información aparece al acceder a la página principal del sitio mediante un aviso referido al “Uso de Cookies” en el que se señala que : “Esta web usa cookies para mejorar la experiencia de usuario. Al usar nuestra web estás aceptando las cookies de acuerdo a la Política de Cookies. Aceptar. Leer más.“ La segunda capa resulta accesible utilizando el enlace “Leer más” integrado en el aviso anterior, acción que permite visualizar el contenido del documento denominado “Política de cookies”. En este documento, después de definir qué son las de cookies en función del plazo de tiempo que permanecen activadas (cookies de sesión y persistentes) y la entidad que las gestiona (cookies propias y de terceros), se incluye una tabla en la que se detalla el nombre de las cookies descargadas junto con la entidad que las gestiona, la finalidad de cada cookie descrita en inglés, y si son propias o de terceros y de sesión o permanentes. También se ofrece información relativa al modo en que puede bloquearse o deshabilitarse la instalación de cookie, para lo cual facilita las herramientas concretas de configuración proporcionadas por los navegadores Chrome, Firefox, Internet Explorer y Safari. (folios 59 al 64). QUINTO: La información contenida en el documento de “Política de Cookies” resulta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 siempre accesible a través del enlace del mismo nombre situado en las páginas de inicio, servicios y contacto del sitio web. (folios 60, 81, 82) SEXTO: Con fechas 3 de junio y 4 de julio de 2014 al acceder al sitio web www.technicalplating.es se constatan las siguientes modificaciones introducidas en el la segunda capa de información: (folios 76 al 79) - Las finalidades de las cookies detalladas en el cuadro incluido en la segunda capa de información (Politica de Cookies) se describen en español. - Se facilita el enlace a la aplicación de Google Analytics, identificándola como la herramienta que genera las cookies analíticas _utma, _utmb, _utmc y_utmz que aparecen en dicho cuadro. - Se incluyen tres cookies técnicas asociadas al dominio de terceros uso de cookies por los usuarios, en concreto las denominadas SÉPTIMO: Con fecha 4 de julio de 2014 al acceder desde un navegador Google analíticas _utma, _utmb, _utmc y_utmz del servicio Google Analytics, y que aparecen bajo el dominio technicalplating.es, también se descargan las cookies NID y PREF del dominio google.com al navegar por la página de contacto. (folios 80, 88 al 92) OCTAVO: En la web de Google https://www.google.es/intl/es/policies/technologies/types aparece la siguiente información respecto de la cookies PREF y NID: “Google utiliza cookies, como las servicios de Google como, por ejemplo, la Búsqueda de Google […] También utilizamos publicitaria en sitios que no pertenecen a Google se denomina "id" y se almacena en navegadores en el dominio doubleclick.net. También utilizamos otras cookies denominadas "_drt_", "FLC" " y "exchange_uid".” En dicha página también se indica que “La mayoría de los usuarios de Google tienen en sus navegadores una cookie de preferencias denominada "PREF". Un navegador envía esta cookie a través de solicitudes a los sitios de Google. La cookie PREF puede almacenar tus preferencias y otra información, en concreto tu idioma preferido (por ejemplo, inglés), así como el número de resultados de búsqueda que quieres que se muestren por página (por ejemplo, 10 o 20) y si quieres que esté activado el filtro SafeSearch de Google.” (folios 93 al 96) FUNDAMENTOS DE DERECHO I Con carácter previo al estudio del fondo del asunto, hay que reseñar que durante la tramitación del procedimiento se ha promulgado la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, cuya Disposición Final Segunda ha introducido importantes modificaciones en la Ley 34/2002 de 11 de julio de Servicios de la Sociedad de la Información y de Comercio Electrónico, las cuales, tal y como se expone más adelante, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 han sido tenidas en cuenta en virtud de la aplicación del principio de retroactividad de la norma sancionadora más favorable. En este sentido, el segundo párrafo del artículo 43.1 de la LSSI en su redacción conferida por la Ley 9/2014 establece que “igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3.c),
  2. d)e
  3. i)y 38.4.d),
  4. g)y
  5. h)de esta Ley”; otorgando por tanto a la Agencia Española de Protección de Datos la facultad para imponer sanciones por la comisión de la infracción del artículo 22 de la Ley 34/2002, de 11 de julio, o, en su caso, apercibir al sujeto responsable en la forma prevista en el nuevo artículo 39 bis 2 de dicha norma. II Los hechos objeto de imputación del presente expediente constituyen infracción a lo previsto en el artículo 22.2 LSSI, precepto que bajo la rúbrica “Derechos de los destinatarios de los servicios”, y que teniendo en cuenta las modificaciones introducidas por la Ley 9/2014 de 9 de mayo de Telecomunicaciones dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Conviene señalar que el citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo las cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. Dicho precepto se ha integrado en la LSSI utilizando conceptos propios de dicha norma; y se trata de conceptos legales, no vulgares, que cuentan con una definición establecida en la propia ley que los delimita. Por un lado, el Anexo de la LSSI define en su apartado
  6. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
  7. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. No tendrán la consideración de servicios de la sociedad de la información los que no reúnan las características señaladas en el primer párrafo de este apartado y, en particular, los siguientes: (….) Conforme a las definiciones legales anteriores, se considera que la entidad TECHNICAL PLATING, S.L., en su condición de responsable del sitio web www.technicalplating.es, ostenta la condición de Prestador de Servicios de la Sociedad de la Información, por lo que debe dar cumplimiento a las obligaciones previstas para los mismos en el artículo 22.2 de la LSSI, estando, en caso contrario, sujeta al régimen sancionador previsto en dicha norma. Por otro lado, tanto la rúbrica del artículo 22.2 de la LSSI como el tenor literal del artículo hablan del destinatario, que según el apartado
  8. d)del Anexo de la LSSI es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información. De acuerdo con la redacción del artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las consentimiento sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. III La incorporación al ordenamiento jurídico español de la Directiva 2009/136/CE se introdujo en virtud del artículo 4.3 del Real Decreto Ley 13/2012, de 30 de marzo, que tenía por objeto la trasposición de directivas en materia de mercados interiores de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 electricidad y gas y en materia de comunicaciones electrónicas (Directiva 2009/136/CE), dando lugar a la modificación del artículo 22.2 de la LSSI vigente hasta ese momento. En la Exposición de Motivos del citado Real Decreto Ley se indica que mediante el mismo “se efectúa la incorporación al ordenamiento jurídico español del nuevo marco regulador europeo en materia de comunicaciones electrónicas, marco que está compuesto por la Directiva 2009/136/CE, del Parlamento Europeo y del Consejo, de 25 de noviembre de 2009 (Derechos de los Ciudadanos), y la Directiva 2009/140/CE, del Parlamento Europeo y del Consejo, de 25 de noviembre de 2009 (LCEur 2009, 1993) (Mejor Regulación). La transposición de estas Directivas se efectúa mediante la modificación de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, así como una modificación puntual de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y del comercio electrónico”. La Exposición de Motivos ahonda en esta cuestión señalando que: “Por último, se modifican varios artículos de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y del comercio electrónico, a fin de adecuar su régimen a la nueva redacción dada, por la Directiva 2009/136/CE, a la Directiva 2002/58/CE, del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, debiéndose destacar la nueva redacción que se da a su artículo 22.2, para exigir el consentimiento del usuario sobre los archivos o programas informáticos (como las llamadas «cookies») que almacenan información en el equipo de usuario y permiten que se acceda a ésta; dispositivos que pueden facilitar la navegación por la red pero con cuyo uso pueden desvelarse aspectos de la esfera privada de los usuarios, por lo que es importante que los usuarios estén adecuadamente informados y dispongan de mecanismos que les permitan preservar su privacidad”. No hay que olvidar que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en éstos permiten no sólo prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. IV En el presente supuesto, a través de la valoración conjunta de las actuaciones practicadas y la documentación obrante en el expediente, ha quedado acreditado que con fechas 10 de septiembre y 20 de noviembre de 2013 el sitio web www.technicalplating.es no contaba con ningún tipo de información sobre el uso de dispositivos de almacenamiento y recuperación de datos. Asimismo, ha quedado probado que TECHNICAL PLATING, S.L., tan pronto como recibió con fecha 3 de marzo de 2014 el acuerdo de inicio del procedimiento sancionador PS/00691/2013 comunicando la posible comisión de una infracción a lo previsto en el artículo 22.2 de la LSSI, optó por introducir un sistema de información por capas a los efectos de subsanar las carencias informativas sobre tales dispositivos que le fueron comunicadas en el mismo, conforme se constató en la prueba efectuada con fecha 20 de marzo de 2014, y cuyo contenido ha sufrido nuevas modificaciones con el propósito de adecuar la información ofrecida sobre cookies a la normativa que resulta de aplicación. La utilización de un sistema de información por capas en los sitios web en que se utilicen cookies no exentas es perfectamente válido. Conforme lo indicado en la “Guía sobre el uso de cookies” en la primera capa debe mostrarse la información esencial sobre la existencia de cookies, si son propias o de terceros y las finalidades de las capa, a la que se accederá mediante enlace o hipervínculo de la primera se ofrecerá información adicional sobre las cookies, la cual debería versar sobre qué son y para qué se utilizan las cookies, los tipos de cookies utilizadas y su finalidad, así como la forma de desactivar o eliminar las cookies enunciadas a través de las funcionalidades facilitadas por el editor, las herramientas proporcionadas por el navegador o el terminal o través de las plataformas comunes que pudieran existir, para esta finalidad. Finalmente, en esta segunda capa debe ofrecerse información sobre la identificación de quién utiliza las cookies, esto es, si la información obtenida por las cookies es tratada solo por el editor y/o también por terceros, con la identificación de aquellos con los que haya contratado o cuyos servicios ha decidido utilizar el editor. Por tanto, cabe el suministro de la información adicional en una segunda capa por grupos homogéneos de cookies, siempre que no produzca ambigüedad, y en todo caso se indique si son de primera o de tercera parte, con identificación del tercero, y su finalidad, así como con alusión a los mecanismos de rechazo de las cookies enunciadas. La normativa estudiada pretende que el usuario sea suficientemente informado sobre la utilización de dispositivos de almacenamiento y recuperación de datos en su equipo terminal, siendo esencial que dicha información verse sobre las finalidades de dichos dispositivos, pero sin exigir que la información detalle los nombres de todas y cada una de las cookies no exentas descargadas. Ahora bien, nada obsta a que dicha información adicional se ofrezca, a los efectos de dar cumplimiento a los requisitos de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 segunda capa, en un cuadro adjunto que señale el dominio bajo el cual figura la cookie, el nombre de la misma, su finalidad concreta, y si es propia o de tercera parte, con identificación, en su caso, del tercero en cuestión. Es decir, aunque dicho sistema no sea exigible la Agencia entiende que la descripción contenida en un cuadro puede dar cumplimiento a los requisitos de la segunda capa relativos a los tipos de cookies utilizadas y su finalidad así como sobre quién utiliza las cookies, en la medida en que contenga la información exigible antes especificada. Relacionando dichas exigencias con la información actualmente ofrecida sobre se efectúan las siguientes consideraciones: En el primer nivel de información, que se muestra a través de un aviso que aparece bajo la rúbrica “Uso de cookies” en forma destacada y visible al acceder a la página inicial del sitito, se señala que: “Esta web usa cookies para mejorar la experiencia de usuario. Al usar nuestra web estás aceptando las cookies de acuerdo a la Política de Cookies. Aceptar. Leer más.“ A la vista de su contenido se observa que en el mismo no se informa que se utilizan cookies no exceptuadas de tercera parte. Tampoco se mencionan sucintamente las finalidades de los diferentes tipos de Sobre este particular, se considera que la mera expresión “mejorar la experiencia de usuario” no describe correctamente las finalidades para las que se usan las cookies analíticas, de preferencias o personalización y publicitarias que se ha comprobado con fecha 4 de julio de 2014 se instalan en los equipos terminales de los usuarios que navegan por el sitio web en cuestión. En el segundo nivel de información alojado en el documento identificado como “Política de Cookies”, se observa que sustancialmente mantiene la misma estructura y contenido que el analizado en el acuerdo de inicio, si bien la totalidad de la información ya aparece en español. En dicho documento el editor, después de definir las cookies, establecer una pequeña clasificación por tipos de cookies, ha elegido informar sobre las cookies utilizadas en el sitio web incluyendo una tabla con seis columnas, que responden a los títulos de “Cookie gestionada por”, “Nombre cookie”, “Finalidad” de la misma, “Más información (enlace al proveedor)”, “Gestión (terceros/propias)” y “Tipo de caducidad (sesión/permanente)”, en lugar de informar por tipos o grupos homogéneos de cookies. Partiendo de esta estructura informativa se aprecia, en conjunto, lo siguiente en relación con el contenido ofrecido en esta segunda capa:
  9. a)La afirmación relativa a que “Las cookies utilizadas son fundamentalmente para optimizar el funcionamiento del sitio web”, contenida en el apartado “¿Qué son las cookies?”, resulta inexacta al no adecuarse a la realidad, puesto que su instalación no responde única y fundamentalmente a razones de índole técnica o de seguridad asociadas al funcionamiento del sitio web o a la prestación del servicio solicitado, en cuyo caso, además, estarían en principio exentas del deber de información. En realidad, en la mayor parte de las ocasiones el almacenamiento de las cookies se produce para recoger datos asociados a la navegación de los usuarios que al ser recuperados por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 responsable de su instalación son tratados con finalidades completamente ajenas al propio funcionamiento del sitio web.
  10. b)Aunque se cita el uso de cookie analíticas de Google Analytics, no se hace referencia al uso de cookies de terceros de Google Inc. con fines de seguimiento a efectos publicitarios y de personalización de preferencias asociados al dominio google.com.
  11. c)Respecto del contenido pormenorizado de la tabla se observa que en la misma no aparecen incluidas las cookies publicitarias de tercera parte NID y PREF asociadas al dominio google.com.
  12. d)Si bien se proporcionan las herramientas habilitadas por los navegadores fin de poder eliminar o desactivar las cookies, sin embargo se considera que debería facilitarse información sobre el modo de bloquear las inhabilitación para navegadores de Google Analytics”, cuyas instrucciones de descarga e instalación en función del navegador específico utilizado se localizan a través del enlace https://tools.google.com/dlpage/gaoptout. V En el momento en que se inició el procedimiento sancionador PS/00691/2013 el artículo 38.4.
  13. g)de la LSSI, vigente en esas fechas, establecía como infracción leve: “El incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22, cuando no constituya infracción grave.”. Durante la tramitación del citado expediente se ha producido una modificación en la LSSI operada por la disposición final segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, publicada en el BOE nº 114 de fecha 10 de mayo de 2014, la cual ha afectado, entre otros, al citado artículo 38.4.
  14. g)de la LSSI, que en su nueva redacción califica como infracción leve: “
  15. g)Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.” Conforme al artículo 9.3 de la Constitución Española, “La Constitución garantiza (…) la irretroactividad de las disposiciones sancionadoras no favorables o restrictivas de derechos individuales”. Y en este sentido constante jurisprudencia ha mantenido el principio de retroactividad de la ley sancionadora más favorable. Destacamos así la Sentencia del Tribunal Constitucional 131/1986 de 29 de octubre que señala refiriéndose al principio de retroactividad de la ley penal más favorable “es que, además, dicho principio supone la aplicación íntegra de la ley más beneficiosa, incluidas aquellas de sus normas parciales que puedan resultar perjudiciales en relación con la ley anterior, que se desplaza en virtud de dicho principio, siempre que el resultado final, como es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 obvio, suponga beneficio para el reo, ya que en otro caso la ley nueva carecería de esa condición de más beneficiosa que justifica su aplicación retroactiva”. Y en este sentido el artículo 128.2 de la ley 30/1992, de 28 de noviembre, dispone: “Las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”, dado que, como señala el apartado 17 de su Exposición de motivos, es objeto de la misma la aplicación de "los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia". Asimismo, en Sentencias de la Sala de lo Contencioso Administrativo del Tribunal Supremo de 24 de enero de 2006 (recurso 419/2002), 31 de enero de 2007 (recurso 8873/2003) y 13 de febrero de 2008 (recurso 2110/2004), entre otras muchas, se afirma que el principio de retroactividad de las normas administrativas sancionadoras obliga a aplicar retroactivamente dichas normas en todo aquello que pudiera ser más beneficioso para el presunto infractor, y "...tal aplicación debe llevarse a cabo en cualquier instancia administrativa o judicial donde se encuentre pendiente de enjuiciamiento o ejecución una resolución sancionadora, ya que no tendría sentido confirmar judicialmente la legalidad de una resolución administrativa, según la normativa vigente cuando fue dictada, para que la Administración proceda a dictar seguidamente otra que aplique retroactivamente la nueva norma sancionadora más favorable, resolución esta última que podría ser objeto de un nuevo recurso judicial." En consecuencia, en aplicación del anterior criterio jurisprudencial procede aplicar de forma retroactiva el nuevo régimen sancionador de la LSSI más favorable para la entidad infractora que el vigente en el momento de la comisión de los hechos objeto de imputación. En este caso, de lo actuado, se ha constatado que si bien TECHNICAL PLATING, S.L. ha pasado de no ofrecer ningún tipo de información a los visitantes que accedían a su página web sobre el uso de dispositivos de almacenamiento y recuperación de datos no exentos a incluir un sistema de información por capas, también ha quedado acreditado que la información que aparece en el sitio web www.technicalplating.es no puede calificarse de clara ni completa por las carencias descritas. Así, del análisis efectuado con anterioridad sobre el contenido de ambos niveles de información se aprecia que en la primera capa no informa correctamente sobre el uso y finalidades de las cookies de tercera parte utilizadas, mientras que en la segunda capa no aparecen citados todos los grupos de cookies empleados junto con sus respectivas finalidades e identificación de los terceros que las gestionan, al igual que no se detallan todas las cookies efectivamente descargadas en la tabla que las relaciona, ni se proporciona información sobre el complemento que permite bloquear las Esta conducta, consistente en el incumplimiento del deber de información previsto en el primer párrafo del artículo 22.2 de la LSSI, encuentra su tipificación en la infracción leve prevista en el citado artículo 38.4.
  16. g)de la LSSI, que a tenor de lo establecido en el vigente artículo 39.1.
  17. c)de la LSSI podrá sancionarse con multa de hasta 30.000 €. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 VI A su vez, a los efectos de acordar la resolución procedente debe tenerse en cuenta lo previsto para la moderación de las sanciones en los artículos 39 bis y 40 de dicha norma, añadido a raíz de la modificación operada en la LSSI, el cual dispone lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
  19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  23. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  24. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  25. a)La existencia de intencionalidad.
  26. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  27. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15
  28. d)La naturaleza y cuantía de los perjuicios causados.
  29. e)Los beneficios obtenidos por la infracción.
  30. f)Volumen de facturación a que afecte la infracción cometida.
  31. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” A la vista de lo previsto en el apartado segundo del artículo 39 bis de la LSSI, y en aplicación del criterio jurisprudencial señalado con anterioridad, esta Agencia considera que en este supuesto procede apercibir a la entidad TECHNICAL PLATING, S.L. en lugar de acordar una resolución sancionadora. Ello en atención a las siguientes circunstancias: por un lado se cumplen los requisitos recogidos en las letras
  32. a)y
  33. b)del artículo 39 bis 2 de la LSSI y, por otro lado, se constata una cualificada disminución de la culpabilidad de la entidad imputada, teniendo en cuenta la concurrencia significativa de varios de los criterios contemplados en el artículo 40 de dicha norma. En especial, se entiende que concurre el supuesto
  34. a)del artículo 40 de la LSSI derivado de la existencia de una cualificada ausencia de intencionalidad por parte del infractor en la comisión de la infracción imputada, ya que ha quedado probado que tan pronto como dicha entidad recibió el acuerdo de inicio del procedimiento sancionador procedió a adoptar medidas tendentes a subsanar la situación, ello con independencia de que la información insertada en la página web y las posteriores modificaciones incluidas sobre la utilización y finalidades de las cookies no regularizase la situación conforme a las exigencias del artículo 22.2 de la LSSI al no resultar una información clara y completa. Igualmente, concurren los criterios
  35. d)y
  36. e)del citado precepto teniendo en cuenta la inexistencia de perjuicios alegados por el denunciante y la falta de constancia de que el infractor haya obtenido beneficios con motivo de los hechos imputados De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. ARCHIVAR el Procedimiento Sancionador PS/00691/2013 instruido por la Agencia Española de Protección de Datos a la entidad TECHNICAL PLATING, S.L. por infracción al artículo 22.2 de la LSSI. 2. APERCIBIR (A/00176/2014) a la entidad TECHNICAL PLATING, S.L. con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo 22. 2 de la citada norma, tipificada como leve en su artículo 38.4.g). 3.- REQUERIR a la entidad TECHNICAL PLATING, S.L., de acuerdo con lo establecido en el citado artículo 39 bis 2, para que en el plazo de un mes desde la notificación de la presente resolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 3.1 CUMPLA lo previsto en el artículo 22.2 de la LSSI, para lo que se insta a dicha entidad a incluir en el sitio web de su titularidad www.technicalplating.es la información sobre los dispositivos de almacenamiento y recuperación de datos no exentos que aparece señalada en el Fundamento de Derecho IV como incompleta o no facilitada. 3.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se comunica que se abre el expediente de investigación E/04176/2014 a fin de comprobar el cumplimiento de lo requerido en el presente Apercibimiento en el plazo otorgado para ello. 4.- NOTIFICAR la presente resolución a la entidad TECHNICAL PLATING, S.L.. 5 .- NOTIFICAR la presente resolución a Don A.A.A.. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.