← España

REPOSICION-AI-00057-2023

1/8  Procedimiento Nº: EXP202301323 (AI/00057/2023) Recurso de Reposición Nº RR/00111/2024 Examinado el recurso de reposición interpuesto por A.A.A. a través de la COMISION EUROPEA SISTEMAS DE INTERCAMBIO DE MERCADO INTERIOR (IMI- Austria), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento AI/00057/2023, por vulneración a lo estipulado en la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI) y en base a los siguientes: HECHOS PRIMERO: Con fecha 25/01/24, la Directora de la Agencia Española de Protección de Datos dictó Resolución de Archivo de Actuaciones en el procedimiento AI/00057/2023, abierto a la entidad TURNER BROADCASTING SYSTEM ESPAÑA, S.L. con CIF.: B82320227, titular de la página web https://www.canaltnt.es, por la presunta vulneración del artículo 22 de la LSSI. La resolución fue notificada a la COMISION EUROPEA SISTEMAS DE INTERCAMBIO DE MERCADO INTERIOR (IMI-Austria) el día 29/01/24, según consta en el expediente. SEGUNDO: Como hechos probados del citado procedimiento, quedó constancia de los siguientes: - Al intentar entrar en la web objeto de la reclamación, https://www.canaltnt.es, se constató que ésta ya no existía, redirigiendo al usuario a una nueva página web, https://www.warnertv.es cuyo titular es la entidad Discovery Networks SL, con CIF B-86815560, distinta a la entidad inicialmente reclamada, (Turner Broadcasting System España, con CIF.: B82320227). TERCERO: Con fecha 14/02/24, tiene entrada en esta Agencia, escrito de recurso de reposición presentado por la recurrente, en el cual manifestaba lo siguiente: PRIMERO – Falta de notificación por parte de la DSB 1. El día 24 de enero de 2024 la AEPD, adoptó su resolución que fue notificada a esta parte el día 29 de enero de 2024. No obstante, de acuerdo con el artículo 60

(8)RGPD es la autoridad de control en la que se presentó la reclamación, es decir la DSB, quién debería haber adoptado y notificado la resolución a la persona interesada en este caso. 2. Por tanto, la resolución adoptada por la AEPD tiene que considerarse nula de pleno derecho, según prevé el artículo 47
(1)(b) LPACAP. SEGUNDO – La AEPD no consideró los hechos ni el petitum de la reclamación
  1. La AEPD no consideró las circunstancias específicas de la visita de la página web de esta parte, expuestos en la reclamación con detalle. De hecho, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 parece ser que la AEPD decidió basándose en el banner que apareció en la página web del responsable durante su propia visita.
  2. No obstante, la autoridad de control debe dar respuesta efectiva a la situación individual del interesado, teniendo en cuenta las circunstancias individuales y los hechos sobre los que versa la reclamación presentada por el interesado. Este se desprende del Considerando 141 RGPD, del Articulo 77 RGPD y del Articulo 65
(3)(b) de la LOPDGDD.
  1. Además, esta parte solicitó en su reclamación diversas medidas a adoptar por parte de la AEPD (véase Hecho Primero). El petitum formulado determina lo solicitado de forma concreta y subraya la necesidad de una evaluación de la situación individual de esta parte. En particular, el responsable sigue tratando los datos personales de esta parte de manera ilícita.
  2. A la luz de la configuración de la reclamación ex artículo 77
(1)RGPD que “se concibe como un mecanismo capaz de proteger de manera eficaz los derechos y los intereses de los interesados” queda fuera de toda duda que la AEPD debería haber dado respuesta a lo solicitado por esta parte. Ello concuerda directamente con lo dispuesto en el artículo 88
(2)LPACAP. No obstante, la resolución de la AEPD no da respuesta concreta al petitum de esta parte. 7. Por tanto, la resolución debe de anularse de acuerdo con el art 48
(1)LPACAP. B. ASPECTOS MATERIALES TERCERO – La AEPD aplica un criterio erróneo
  1. Como expuesto anteriormente, esta parte visitó la web del responsable y, además de no tener una opción equivalente para rechazar el uso de las que no había una posibilidad fácil de retirar el consentimiento otorgado(infracción tipo K).
  2. En cambio, en la resolución recurrida la AEPD afirma que durante su propia visita el responsable solo instaló cookies estrictamente necesarias, así que no era necesario ofrecer una opción de rechazar cookies, ni tampoco una opción de retirar el consentimiento.
  3. No obstante, al comprobar esta parte nuevamente la página web https://www.warnertv.es/ , se observa que tras seleccionar “Aceptar” en el banner se instalan las cookies “_ga” y “_ga_1PMD2PL02L” de Google Analytics. Se trata de cookies que solamente pueden instalarse en el caso de haber obtenido un consentimiento válido (Anexo 1).
  4. Aunque el responsable haya implementado dos opciones equivalentes en su cookie banner, no ofrece una opción permanentemente visible que permita la retirada del consentimiento. Al final de la página principal solo hay un enlace C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 a la política de privacidad, en la cual se encuentra un enlace al “Portal de solicitud de derechos individuales” (en inglés). En este portal puede luego enviarse un correo electrónico para retirar el consentimiento. Ello no representa una posibilidad de “revocar el consentimiento de forma fácil” y “en cualquier momento” como requiere el articulo 7
(3)RGPD y como prevé la Guía de la AEPD en relación con la retirada del consentimiento.2
  1. De lo anterior se desprende que la AEPD se basa en una comprobación que resulta errónea. El responsable utiliza cookies de Google Analytics que no son estrictamente necesarios. No obstante, el responsable sigue sin ofrecer una posibilidad sencilla de retirar el consentimiento una vez prestado.
  2. De lo expuesto en este FJ resulta que el criterio adoptado en la resolución recurrida es contrario al ordenamiento jurídico y debe de ser anulado. En virtud de lo expuesto en este escrito, y de conformidad con las disposiciones mencionadas, esta parte SOLICITA: I. Que se tenga por interpuesto, en tiempo y forma, RECURSO DE REPOSICIÓN contra la resolución de la Directora de la Agencia Española de Protección de Datos de 24 de enero de 2024 en el marco del procedimiento con número de expediente EXP202301323, y, tras admitirlo se practiquen las actuaciones de investigación que sean necesarias, de conformidad con las normas de procedimiento y materiales aplicables. II. Que se declare la nulidad de pleno derecho de la resolución recurrida por el motivo expuesto en el fundamento jurídico primero y que se proceda a la continuación del procedimiento. III. Que, en caso de no declararse la nulidad de pleno derecho, se anule la resolución recurrida por los motivos expuestos en los fundamentos. FUNDAMENTOS DE DERECHO I Competencia. Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) y el art. 43.1, párrafo segundo, de la de la LSSI. II Contestación a las alegaciones En relación con las manifestaciones efectuadas por la parte recurrente, cabe señalar lo siguiente: Primero: Alega la parte recurrente en el apartado “Primero, puntos 1-2”, de los FJ de su escrito que la resolución debió ser realizada por la autoridad de control austriaca, de acuerdo con el artículo 60
(8)RGPD y por tanto, la resolución adoptada por la AEPD tiene que considerarse nula de pleno derecho, según el artículo 47
(1)(
  1. b)LPACAP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 Pues bien, respecto a esta alegación se debe aclarar que en el Derecho Español rige el “Principio de Especialidad Normativa”, el cual, en esencia, hace referencia a que, existiendo una norma especial (LSSI) y una norma general (RGPD) que regulan un hecho concreto, prevalece la primera sobre segunda. Este principio no supone que, en el supuesto de aplicación de ambas normas (una norma general y otra especial), la primera queda derogada, sino que persiste la vigencia simultánea de ambas normas, si bien la norma especial se aplicará con preferencia a la norma general en aquellos supuestos que se contemplen en ella. Respecto al caso que nos ocupa, existe tal coincidencia, esto es, en el Ordenamiento Jurídico Español, coexisten dos normas, una de carácter general como es el RGPD y otra de carácter especial, como es la LSSI que regulan mismos hechos. Si observamos lo que establece el artículo 1 del RGPD, su objeto es el siguiente: 1.El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos. 2.El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales. 3.La libre circulación de los datos personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales. Mientras que el objeto de la LSSI, establecido en su artículo 1, indica que: 1. Es objeto de la presente Ley la regulación del régimen jurídico de los servicios de la sociedad de la información y de la contratación por vía electrónica, en lo referente a las obligaciones de los prestadores de servicios incluidos los que actúan como intermediarios en la transmisión de contenidos por las redes de telecomunicaciones, las comunicaciones comerciales por vía electrónica, la información previa y posterior a la celebración de contratos electrónicos, las condiciones relativas a su validez y eficacia y el régimen sancionador aplicable a los prestadores de servicios de la sociedad de la información. 2. Las disposiciones contenidas en esta Ley se entenderán sin perjuicio de lo dispuesto en otras normas estatales o autonómicas ajenas al ámbito normativo coordinado, o que tengan como finalidad la protección de la salud y seguridad pública, incluida la salvaguarda de la defensa nacional, los intereses del consumidor, el régimen tributario aplicable a los servicios de la sociedad de la información, la protección de datos personales y la normativa reguladora de defensa de la competencia. Por su parte, el artículo 2 de la citada norma (LSSI) establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 1. Esta Ley será de aplicación a los prestadores de servicios de la sociedad de la información establecidos en España y a los servicios prestados por ellos. Se entenderá que un prestador de servicios está establecido en España cuando su residencia o domicilio social se encuentren en territorio español, siempre que éstos coincidan con el lugar en que esté efectivamente centralizada la gestión administrativa y la dirección de sus negocios. En otro caso, se atenderá al lugar en que se realice dicha gestión o dirección. Por tanto, en aplicación del “Principio de Especialidad Normativa”, procede la aplicación de la norma específica, esto es, la LSSI, sobre la norma general, el RGPD, al tener la entidad TURNER BROADCASTING SYSTEM ESPAÑA, S.L. con CIF.: B82320227, su sede en territorio español, así como el dominio de su página web (.es). Respecto de la competencia para conocer el caso, el artículo 43.1 de la LSSI, establece lo siguiente: (…) Igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3 c),
  2. d)e
  3. i)y 38.4 d),
  4. g)y
  5. h)de esta Ley(…). y lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, Mientras que el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Y la Disposición adicional cuarta de dicha norma establece, respecto de las competencias atribuidas a la AEPD por otras leyes, que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." Por tanto, al tener la entidad reclamada su sede social en territorio español es competente para conocer la reclamación la Agencia Española de Protección de Datos, en base a lo establecido en el 43.1 de la LSSI, artículo 63.2 de la LOPDGDD y Disposición adicional cuarta de dicha norma en detrimento de la autoridad de control austriaca. Segundo: Manifiesta la parte recurrente en el apartado “Segundo, puntos 3-7” de los FJ de su escrito de recurso, en esencia, que, “la AEPD no consideró las circunstancias específicas de la visita a la página web de la parte recurrente, basándose solamente, para la resolución del expediente, en la comprobación que la propia AEPD hizo del banner de información que aparece en la página web, sin dar respuesta a lo solicitado en la reclamación, olvidándose de las peticiones realizadas por la parte recurrente…” Para responder a esta alegación, debemos partir del principio que rige en todo procedimiento judicial o administrativo como es el “Principio de Presunción de Inocencia”, el cual garantiza, en el derecho español, a no sufrir una sanción que no tenga fundamento en una previa actividad probatoria sobre la cual el órgano competente pueda fundamentar un juicio razonable de culpabilidad, y comporta, entre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 otras exigencias, la de que la Administración pruebe y, por ende, motive, no sólo los hechos constitutivos de la infracción, la participación en tales hechos y las circunstancias que constituyen un criterio de graduación, sino también la culpabilidad que justifique la imposición de sanción (entre otras, SSTC 76/1990, de 26 de Abril; 14/1997, de 28 de Enero; 209/1999, de 29 de Noviembre y 33/2000, de 14 de Febrero). Asimismo, la STS de 10 de Julio de 2007 (rec.306/2002) precisa que ha de ser la administración la que demuestre la culpabilidad pues "no es el interesado quien ha de probar la falta de culpabilidad". La presunción de inocencia, derecho fundamental de la ciudadanía según el art 24.2 de la Constitución Española y el art. 6.2 del Convenio Europeo de Derechos Humanos, viene recogida expresamente en nuestro ordenamiento para los procedimientos administrativos sancionadores donde entre los derechos del interesado en el procedimiento administrativo sancionador tendrá el derecho "A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario". Y es que como decía la STS 28.04.2016 (RC 677/2014): "cabe significar que el derecho a la presunción de inocencia, que rige sin excepción en el ámbito del procedimiento administrativo sancionador, según refiere el Tribunal Constitucional en la sentencia 66/2007, de 27 de marzo, comporta que «no pueda imponerse sanción alguna que no tenga fundamento en una previa actividad probatoria lícita», e implica también el reconocimiento del derecho a un procedimiento administrativo sancionador debido o con todas las garantías, que respete el principio de contradicción y en que el presunto responsable tenga la oportunidad de defender sus propias posiciones, vedando la incoación de expedientes sancionadores cuando resulte apreciable de forma inequívoca o manifiesta la inexistencia de indicios racionales de que se ha cometido una conducta infractora, o en los que esté ausente la antijuridicidad o la culpabilidad" Lo que no puede la Administración Pública es alzar responsabilidad administrativa en los hechos expuestos por la parte reclamante, sin antes comprobar la veracidad de los mismos. En el caso que nos ocupa, esta comprobación se basó en la revisión de la página web objeto de la reclamación (https://www.canaltnt.es ), donde se comprobó que la misma ya no existía, redirigiendo al usuario a una nueva página web perteneciente a un titular diferente. Tercero: Manifiesta la parte recurrente en el apartado “Tercero.- puntos 8 a 13” que al comprobar la nueva página web https://www.warnertv.es/ , se observa que tras seleccionar “Aceptar” en el banner se instalan las cookies “_ga” y “_ga_1PMD2PL02L” de Google Analytics, que no son estrictamente necesarias y que no existe la posibilidad de retirar el consentimiento una vez prestado. En primer lugar, debemos hacer mención que la web https://www.warnertv.es , a la cual hace mención la recurrente en su recurso de reposición, no fue la web objeto de reclamación inicial, por lo que no procede su análisis en el ámbito de este recurso de reposición. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 No obstante, dicho lo anterior, cabe recordar que, aunque esta nueva página web (https://www.warnertv.
  6. es)sale a colación por el hecho de que al intentar acceder a la página web objeto de reclamación inicial https://www.canaltnt.es , ésta redirigía al usuario a la nueva página. Ahora, la parte recurrente manifiesta que, en esta nueva página web https://www.warnertv.es observa que, cuando el usuario presta el consentimiento, la web empieza a utilizar dos nuevas cookies que no son de naturaleza técnica (“_ga” y “_ga_1PMD2PL02L”) cuyo dominio pertenece a Google Analytics, y que no existe la posibilidad de retirar el consentimiento una vez prestado solicitando a esta Agencia que se practiquen las actuaciones de investigación que sean necesarias para esclarecer los hechos que reclama. Por tanto, se trata de un hecho nuevo no mencionado en la reclamación inicial. La parte recurrente no puede pretender que en fase de recurso que se tengan en cuenta hechos que no manifestó en una fase procedimental anterior. La LPACAP dispone en su artículo 118 la siguiente regla procesal: “No se tendrán en cuenta en la resolución de los recursos, hechos, documentos o alegaciones del recurrente, cuando, habiendo podido aportarlos en el trámite de alegaciones, no lo haya hecho. Tampoco podrá solicitarse la práctica de pruebas cuando su falta de realización en el procedimiento en el que se dictó la resolución recurrida fuera imputable al interesado.” Esta norma contiene una regla que no es más que la concreción positiva para el ámbito administrativo común del principio general de que la Ley no ampara el abuso del derecho (artículo 7.2 del Código Civil). Dicho principio tiene por finalidad, entre otros, impedir que resulte inútil el trámite de alegaciones y pruebas de los procedimientos de aplicación, como así resultaría si los interesados pudieran elegir, a su arbitrio, el momento en el que presentar pruebas y alegaciones, por cuanto que ello sería contrario a un elemental orden procesal. Todo ello, sin perjuicio de que pueda presentar una nueva reclamación si considera que tales hechos infringen normas que confieren competencias a la Agencia Española de Protección de Datos. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A., a través de la COMISION EUROPEA SISTEMAS DE INTERCAMBIO DE MERCADO INTERIOR (IMI- Austria), contra la resolución de archivo dictada por la Directora de la Agencia Española de Protección de Datos el 25/01/24, en el procedimiento AI/00057/2023, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a la COMISION EUROPEA SISTEMAS DE INTERCAMBIO DE MERCADO INTERIOR (IMI- Austria), conforme al art. 77.2 del RGPD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.