← España

REPOSICION-AI-00289-2023

1/20 Procedimiento Nº.: EXP202307481 (AI/00289/2023). Recurso de Reposición Nº RR/00803/2023 Examinado el recurso de reposición interpuesto por Dª A.A.A., a través de la COMISION EUROPEA SISTEMAS DE INTERCAMBIO DE MERCADO INTERIOR (IMI- Austria), (la parte recurrente), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento AI/00289/2023, por vulneración a lo estipulado en la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI) y en base a los siguientes: HECHOS PRIMERO: Con fecha 11/10/23, la Directora de la Agencia Española de Protección de Datos dictó Resolución de Archivo de Actuaciones en el procedimiento AI/00289/2023, abierto a la entidad CAIXABANK, S.A., con CIF.: A08663619, titular de la página web, ***URL.1, por la presunta vulneración del artículo 22 de la LSSI. En dicha resolución de archivo, esta Agencia (AEPD) manifestaba que, con arreglo a las evidencias que se disponían en ese momento, las características encontradas en la “Política de Cookies” de la página web en cuestión no se contradecían con lo estipulado en el artículo 22 de la LSSI. La resolución fue notificada a la COMISION EUROPEA SISTEMAS DE INTERCAMBIO DE MERCADO INTERIOR (IMI-Austria) el día 13/10/23, y el día 22/12/23 a Dª A.A.A., a través del Tablón Edictal Único según estipula el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), según consta en el expediente. SEGUNDO: Como hechos probados del citado procedimiento quedó constancia de los siguientes: En la comprobación realizada por esta Agencia el día 19/09/23 en la web, ***URL.1, diligenciándose las siguientes características sobre su “Política de Cookies” y tendiendo en consideración que la actualización la Guía sobre el uso de las cookies para adaptarla a las Directrices 03/2022 sobre patrones engañosos del Comité Europeo de Protección de Datos (CEPD) sería implantada el 11/01/

  1. Mientras tanto, se seguiría aplicando los criterios marcados en la Guía sobre el uso de cookies publicada por la AEPD en el año 2020: a).- Sobre la utilización de cookies no necesarias sin en el previo consentimiento de usuario se comprobó que, al entrar en la página principal y sin realizar ninguna acción sobre la misma, se utilizaban 3 cookies, dos de las cuales fueron detectadas como estrictamente necesarias, (“utag_main” y “userAgentlnfo”) y otra (__bg_cxbnk_fpcachecc), cuya finalidad no pudo ser detectada. b).- Sobre el banner de información sobre cookies existente en la primera capa, se consideró que su formato y la información suministrada no se contradecía con lo estipulado en la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 c).- Sobre el consentimiento a la instalación de cookies en el equipo terminal se comprobó que, aunque no existía un botón en el banner de información de la primera capa que posibilitase rechazar todas las cookies que no fueran de carácter técnico o necesario, si era posible rechazarlas de una sola vez a través del panel de control o hacerlo de forma granular y por tanto se consideró que la gestión de las cookies que no son técnicas o necesarias por la web, no se contradecía con lo estipulado en la LSSI. d).- Sobre la posibilidad de retirar el consentimiento prestado previamente sobre la utilización de cookies se comprobó que sí era posible modificar dicho consentimiento en cualquier momento de la navegación web, a través del enlace <<Política de cookies>>, existente en la parte inferior de la página web, y por tanto, no se contradecía lo estipulado en el artículo 22 de la LSSI. TERCERO: Con fecha 14/11/23, tiene entrada en esta Agencia, escrito de recurso de reposición presentado por la recurrente, en el cual manifestaba lo siguiente: “PRIMERO – Reclamación En fecha de 11 de agosto 2021, esta parte interpuso ante la autoridad austríaca de control de protección de datos (en adelante, DSB), una reclamación contra CaixaBank, S.A. (en adelante, el responsable o CaixaBank), considerando que: I. Fueron vulnerados los derechos de la persona interesada, conferidos por a. el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, RGPD) y b. la transposición nacional de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo 12 de julio de 2002 relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (en adelante, Directiva ePrivacy) que, en lo que a la reclamación concierne, es la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante, LSSI) al visitar ésta el sitio web ***URL.1/particular/home/particulares_es.html titularidad del responsable el día 25 de enero de
  2. II. El banner de consentimiento para instalar cookies u utilizar otras tecnologías en el dispositivo de la visitante del sitio web del responsable estuvo diseñado y configurado de tal manera que la persona interesada no prestó un consentimiento válido, de acuerdo con la legislación vigente. En consecuencia, el tratamiento de datos personales carece de base legal. III. En particular, el responsable utilizó un banner de consentimiento con un diseño engañoso, ofreciendo a. la opción de rechazar el consentimiento solamente en la segunda capa del banner tras seleccionar el enlace “CONFIGURAR O RECHAZAR SU USO”, mientras que la opción para aceptar estuvo disponible en la primera capa (Infracción tipo A); b. un simple enlace C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 para acceder, en una segunda capa, a la opción de rechazar el consentimiento, cuando la opción de consentir fue visualmente resaltada a través de un botón interactivo (Infracción tipo C); y c. una opción destacada para consentir, sin mostrar una opción para la retirada del consentimiento que brinda la misma facilidad (Infracción tipo K). En consideración de lo anterior, esta parte solicitó (i) una investigación por parte de la autoridad de control competente, (ii) que la autoridad de control competente ordene al responsable que deje de tratar los datos personales al amparo del artículo 58

(2)(f) RGPD y (iii) que la autoridad Página 4 de 12 de control competente ordene al responsable la supresión de sus datos personales de acuerdo con el artículo 17 RGPD y la notificación de dicha supresión según el artículo 19 RGPD. Se adjuntaron diversos ficheros, entre otros una captura de pantalla mostrando el banner de consentimiento en el momento de la visita de la persona interesada, un fichero HAR que permite reconstruir la visita de esta parte de forma detallada y un fichero con más de cien cookies que se habían instalado en el dispositivo de la persona representada durante su visita. SEGUNDO – Envío de la reclamación a la AEPD Tras haber contactado con la DSB el día 16 de mayo de 2023 a fin de obtener información sobre el estado de la tramitación de la reclamación, dicha autoridad informó el día 1 de junio de 2023 que esperaba respuesta de la Agencia Española de Protección de Datos (en adelante, AEPD) que aparentemente consideró autoridad de control principal. TERCERO – Resolución de la AEPD En fecha 11 de octubre de 2023, la AEPD dictó la resolución aquí recurrida en el expediente EXP202307481 (AI/00289/2023). La AEPD basó su decisión en su propia visita de la página web del responsable en fecha de 19 de septiembre de
  1. Remitiéndose a las Directrices 03/2022 sobre patrones engañosos del Comité Europeo de Protección de Datos (en adelante, CEPD), a la Guía de la AEPD sobre el uso de las cookies publicada en el año 2020 (en adelante, la Guía) y a las disposiciones aplicables de la LSSI, la AEPD no apreció una infracción de la normativa que considera aplicable y procedió al archivo de la reclamación. Dicha resolución fue notificada a esta parte el día 13/10/
  2. A los antecedentes de hecho son de aplicación los siguientes: FUNDAMENTOS JURÍDICOS PREVIA – Declaración de intenciones A esta parte le ha sorprendido el archivo de la reclamación. Consideramos, sin lugar a dudas, que en este caso se trata de una infracción de la normativa de protección de datos. Pretendemos llegar a una resolución que manifiesta esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 circunstancia y que, además, obliga al responsable a cumplir con sus obligaciones. Esta parte valoraría la reevalución del criterio de la resolución recurrida para evitar la interposición de recursos contencioso-administrativos, así como la saturación del sistema judicial. Además, esta parte considera que en la tramitación de la reclamación se incurrió en diversas infracciones de índole procesal. Detallamos a continuación las razones de nuestro punto de vista. A. ASPECTOS PROCESALES PRIMERO – Falta de notificación por parte de la DSB
  3. Esta parte presentó una reclamación, al amparo del artículo 77
(1)RGPD ante la DSB, la autoridad austriaca de control, el día 11 de agosto de 2021. Dicha autoridad consideró, aparentemente, que la AEPD es la autoridad de control principal, de acuerdo con el artículo 56
(1)RGPD, reenviando la reclamación a la AEPD a través del sistema IMI en junio
  2. Con celeridad destacable la AEPD adoptó y notificó su resolución a principios de octubre
  3. No obstante, de acuerdo con el artículo 60
(8)RGPD es la DSB quién debería haber adoptado y notificado la resolución a la persona interesada en este caso. Este mecanismo de ventanilla única (“OneStop-Shop”) se estableció con el fin de salvaguardar los derechos (en particular los lingüísticos y a la tutela judicial efectiva en su foro) de la parte representada.
  1. En el presente caso, la AEPD no debería haber adoptado una decisión que supuestamente deviene firme en un plazo determinado desde su notificación, sino desde la notificación de la decisión por parte de la DSB a la persona representada. Si no fuese por su representante, en el presente caso la persona interesada carecería incluso de los medios para entender la lengua de la resolución aquí recurrida. En otros casos, un reclamante o una reclamante no entendería ni la resolución adoptada – no se puede pretender que quién presenta una reclamación ante una autoridad de control extranjera contra un responsable establecido en España comprenda la lengua castellana.
  2. Por tanto, la resolución fue dictada (y notificada) por una autoridad manifiestamente incompetente por razón del territorio, ya que es la DSB quien debe de adoptar y notificar dicha resolución de acuerdo con el artículo 60
(8)RGPD, y, por tanto, es nula de pleno derecho, según el art 47
(1)(b) LPACAP.
  1. Sin perjuicio de lo anterior, y en caso de que la AEPD (y la DSB) considere que no se trata de un caso de tratamiento transfronterizo, esta parte expone a continuación otros motivos por los que considera que el criterio adoptado por la AEPD no cumple con la normativa aplicable. SEGUNDO – La AEPD no consideró los hechos de la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20
  2. La AEPD no consideró las circunstancias específicas de la visita de la página web de esta parte, expuestos en la reclamación con detalle. En cambio, parece ser que la AEPD decidió basándose en el banner que apareció en la página web del responsable durante su propia visita (“En la comprobación realizada por esta Agencia en la página web en cuestión se pudo constatar que [...]” – página 10 de la resolución recurrida).
  3. Aunque sea loable que la AEPD revisó aspectos de la página web que ni se mencionaron en la reclamación como la instalación de cookies previo al consentimiento (página 10 de la resolución recurrida) o el texto de información del banner (página 11 de la resolución recurrida), no se debe de olvidar que la autoridad de control debe dar respuesta efectiva a la situación individual del interesado. Así el Considerando 141 RGPD resalta en su primera frase que se deben de proteger los derechos del interesado: “Todo interesado debe tener […] derecho a la tutela judicial efectiva […] en caso de que la autoridad de control […] no actúe cuando sea necesario para proteger los derechos del interesado.”
  4. También el artículo 77
(1)RGPD se refiere en particular a los datos personales tratados del interesado: “[…] si considera que el tratamiento de datos personales que le conciernen infringe el presente Reglamento.” 9. Además, evaluándose la admisión a trámite de una reclamación, en las circunstancias donde resulta de aplicación el artículo 65
(3)(b) de la Ley Orgánica 3/2018, de 5 de diciembre de protección de datos personales y garantía de los derechos digitales (LOPDGDD), la AEPD debe considerar el caso individual del interesado para valorar si sus derechos quedan plenamente garantizados.
  1. Cabe añadir que el Abogado General Priit Pikamäe en las Conclusiones en los Asuntos acumulados C-26/22 y C-64/22, SCHUFA, 1 destaca de manera convincente en los parágrafos 37 a 45 que una reclamación no es una petición (véase en particular parágrafo 45). En la práctica la AEPD debe de “subsanar la insuficiencia constatada” en la situación del interesado, como exige el TJUE en la Sentencia en el asunto C-311/18, Schrems II, parágrafo 111.2
  2. Por tanto, deben tenerse en cuenta las circunstancias individuales sobre las que versa la reclamación presentada por el interesado. Esta interpretación es aún más pertinente a la luz del objetivo establecido en el artículo 1
(2)RGPD que es la protección de las personas físicas, “[…] y, en particular, su derecho a la protección de los datos personales.”
  1. Aunque la AEPD haya materialmente examinado el banner de consentimiento de la página web criticada en el marco del procedimiento referenciado al margen, no ha tenido en cuenta los hechos ocurridos durante la visita de la persona representada. Es evidente que la AEPD puede comprobar la página web también por su cuenta para corroborar la versión del interesado (y, en su caso, para revisar otros aspectos ex officio). No obstante, los hechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 relevantes para dar respuesta a la reclamación deben de ser los que resultan de la situación fáctica expuesta en la reclamación.
  2. En línea con lo que acabamos de exponer, el Comité Europeo de Protección de Datos (en adelante, el CEPD), expone que las autoridades de control deben de adoptar un “acto legalmente atacable” habiendo considerado los hechos mencionados en la reclamación y decidiendo en base a ellos.
  3. La resolución recurrida resulta anulable según el art. 48
(1)LPACAP.
  1. Hasta en el caso de considerar que el resultado de examinar el banner de consentimiento hubiese sido el mismo teniendo en cuenta la situación de la persona representada, la AEPD no ha dado respuesta a lo solicitado por esta parte, como se expone a continuación. TERCERO – La AEPD no consideró el petitum de la reclamación
  2. Esta parte solicitó en su reclamación diversas medidas a adoptar por parte de la AEPD (véase Hecho Primero). El petitum formulado determina lo solicitado de forma concreta y subraya la necesidad de una evaluación de la situación individual de esta parte. ***URL.2; ECLI:EU:C:2020:559 3 Documento interno 02/2021 del CEPD sobre las obligaciones de las autoridades de control en relación con presuntas infracciones del RGPD [Internal EDPB Document 02/2021 on SAs duties in relation to alleged GDPR infringements], paras. 49, 68; https://edpb.europa.eu/system/files/202207/internal_edpb_document_022021_on_sas_duties_in_relation_to_alleged_gd pr_infringements_en.pdf
  3. A la luz de la configuración de la reclamación ex artículo 77
(1)RGPD como un “un auténtico recurso administrativo” queda fuera de toda duda que la AEPD debería haber dado respuesta a lo solicitado por esta parte. Ello concuerda directamente con lo dispuesto en el artículo 88
(2)LPACAP: “En los procedimientos tramitados a solicitud del interesado, la resolución será congruente con las peticiones formuladas por éste [...].”
  1. No obstante, la resolución de la AEPD no da respuesta a las solicitudes de esta parte, adoptándose una decisión que queda principalmente abstracta.
  2. No se investigó el caso concreto de la persona representada. Por tanto, no se determinó si el tratamiento de sus datos personales fue ajustado a Derecho. De ahí, que tampoco se pudo decidir si una orden de dejar de tratar sus datos personales o la supresión de sus datos personales resultaba (o no) adecuada.
  3. Aparte de lo anterior, la resolución no da respuesta formal a lo solicitado por esta parte tampoco. Simplemente se omite cualquier referencia a lo solicitado.
  4. La AEPD se centró en su propia visita para evaluar la página web del responsable, olvidándose de las peticiones de esta parte, lo que se puede clasificar como incongruencia extra petita partium (fuera de lo pedido). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20
  5. La resolución debe de anularse de acuerdo con el artículo 48
(1)LPACAP.
  1. Evidentemente dar respuesta a lo solicitado por esta parte no impide a la AEPD adoptar otras medidas o investigaciones ex officio. B. ASPECTOS MATERIALES CUARTO – El RGPD resulta de aplicación
  2. En la resolución recurrida la AEPD se limita a aplicar la LSSI y su Guía del año 2020 sin consideración de la Directiva e-Privacy, ni del RGPD.
  3. Sin embargo, la reclamación inicial de esta parte expone con gran detalle (y anexos relevantes) las infracciones de la normativa vigente, en particular, las disposiciones del RGPD.
  4. Como se desprende de los ficheros presentados juntos a la reclamación, el responsable trató datos personales de la persona representada: En particular los identificadores alfanuméricos contenidos en las cookies (valor de las Por tanto, el RGPD resulta de aplicación (artículo 1
(2)RGPD).
  1. La DSB también consideró que el RGPD resultaba de aplicación ya que reenvió la reclamación a la AEPD como autoridad de control principal. La Directiva ePrivacy, en cambio, no prevé un mecanismo de cooperación entre las diferentes autoridades encargados de velar por su cumplimiento. QUINTO – La AEPD aplica un criterio erróneo
  2. Como ya hemos expuesto arriba, la AEPD se limita en la resolución aquí recurrida a aplicar la LSSI y su Guía del año
  4. Como es sabido, las transposiciones nacionales de Directivas deben interpretarse a la luz de lo dispuesto en ellas. En este sentido conviene recordar lo que dispone el Considerando 66 de Directiva 2009/136/CE que modificó la Directiva ePrivacy en el año 2009 acerca de la posibilidad de rechazar el consentimiento: “Resulta, por tanto, capital que los usuarios reciban una información clara y completa cuando realicen una acción que pueda dar lugar a dicho almacenamiento u obtención de acceso. El modo en que se facilite la información y se ofrezca el derecho de negativa debe ser el más sencillo posible para el usuario.”
  5. El artículo 22
(2)LSSI, que nace justamente del artículo 5
(3)de la Directiva ePrivacy, debe de interpretarse de acuerdo con este Considerando que revela la intención del legislador.
  1. De una lectura conjunta se deduce claramente que un responsable, cuándo solicita el consentimiento para la instalación de cookies u otras tecnologías C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 comparables, tiene que ofrecer el modo “más sencillo posible” para que el usuario pueda rechazar dicho consentimiento.
  2. Un banner de consentimiento que oculta la opción para rechazar el consentimiento en la segunda capa (mientras ofrece una opción altamente resaltada para consentir en la primera capa) no es, bajo ningún concepto, el modo “más sencillo posible” para rechazar dicho consentimiento. Es más que evidente que el modo “más sencillo posible” es ofrecer dicha opción en la primera capa del banner, con la misma prominencia que la opción de consentir. De esta manera se puede seleccionar, con una
(1)simple acción, si se desea aceptar o rechazar el consentimiento
  1. Lo que no cabe en este supuesto es interpretar la LSSI (y el RGPD) de acuerdo con la Guía de la AEPD. El principio jerárquico inherente al ordenamiento jurídico prescribe justo lo contrario: ¡La Guía sobre cookies del año 2020 debe de interpretarse conforme a la LSSI (y al RGPD), unas normas de rango superior – y no al revés, como aquí ocurrió! A riesgo de exponer lo obvio, el valor jurídico de la Guía parece ser orientativo y ni tan siquiera vinculante.
  2. Además de lo anterior, también deben tenerse en cuenta las disposiciones del RGPD. Por una parte, un consentimiento solicitado al amparo del artículo 22
(2)LSSI debe de cumplir con los requisitos establecidos en el RGPD (véase artículo 2(f) Directiva ePrivacy). Por otra parte, a cualquier tratamiento de datos personales posterior al almacenamiento u obtención de acceso al dispositivo resulta de aplicación el RGPD (véase Dictamen 5/2019 del CEPD, 35. Ya hemos expuesto que incluso si solamente seguimos el criterio de la Directiva ePrivacy, debe de ofrecerse una opción de rechazar el consentimiento igualmente destacada en la primera capa del banner de consentimiento. Todavía queda más claro si tenemos en cuenta el principio de lealtad y de transparencia del artículo 5
(1)(a) RGPD: ¿Cómo será la solicitud de consentimiento transparente, si, de entrada, solamente se ofrece la opción de consentir? ¿Cómo será el responsable leal (o fair en la versión en lengua inglesa del RGPD) si me oculta la opción de rechazar mi consentimiento en un sub-menu? Obstaculizar la libre elección entre dos opciones, no es otra cosa que un acto intransparente y desleal frente a la persona representada (y, en realidad, cualquier usuario de la página web). Engañar a la persona representada a través de la impresión de que solamente puede consentir, a no ser que dedique su tiempo valioso y limitado a la búsqueda de otras opciones, no puede ser otra cosa que desleal.
  1. Justamente estas consideraciones también llevan a la conclusión de que la opción de consentir y la opción de rechazar el consentimiento, cuando existan en la misma capa, deben de presentarse visualmente en las mismas condiciones (mismo tamaño, diseño, contraste, color). Un simple enlace, como en la página web del responsable, no constituye un elemento que es percibido como interactivo, sino como elemento que lleva a más información (como es habitual en internet) – por tanto, es justo lo contrario de un botón que señala claramente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 que con un solo clic se puede consentir. En resumen, un enlace no es suficiente para garantizar una verdadera elección, ya que no hay dos opciones equivalentes y, por ende, resulta también intransparente y desleal.
  2. Finalmente, la retirada del consentimiento, que según el artículo 7
(3)RGPD debe de ser tan fácil como dar el consentimiento, tampoco quedó garantizado en la página web del responsable.
  1. El enlace a pie de página requiere una mirada especialmente atenta. Sólo será descubierto por alguien que conozca bien la legislación sobre protección de datos o que haya buscado en toda la numerosa información a pie de página (es decir, la "letra pequeña").
  2. Además, el nombre del enlace "Política de cookies" no tiene necesariamente sentido ni siquiera para un especialista en protección de datos. ¿Se trata de un documento? ¿Cómo se sabe que incluye la opción de retirar el consentimiento?
  3. Por último, cabe señalar que el banner de consentimiento ocupa una gran parte de la página. Se fuerza visualmente la interacción con el interesado. Un enlace a pie de página es todo lo contrario. Por lo tanto, ningún responsable solicitará voluntariamente el consentimiento (que sin duda se espera y pretende obtener) ofreciendo una opción de consentimiento en la letra pequeña.
  4. Para evitar repeticiones innecesarias nos referimos a la reclamación inicial, donde detallamos más argumentos sobre las infracciones de tipo A, C y K.
  5. En resumen, el responsable no obtuvo un consentimiento válido y carece de base legal para tratar los datos personales de esta parte. Las infracciones de la normativa aplicable (LSSI/Directiva ePrivacy, RGPD) persisten, ya que el responsable no ha suprimido los datos personales de esta parte que sigue tratando de manera ilícita.
  6. De lo expuesto en los Fundamentos Jurídicos Cuarto y Quinto resulta que el criterio adoptado en la resolución recurrida es contrario al ordenamiento jurídico y debe de ser anulado. SEXTO – La AEPD se contradice
  7. En su resolución, ahora recurrida, la AEPD no menciona al “Informe sobre el trabajo realizado por el grupo de trabajo Cookie Banner” de 17 de enero 2023 (en adelante, el Informe). En la elaboración de este informe, que refleja el “denominador común” acordado por las autoridades de control de los Estados Miembros en cuánto a banners de consentimiento, la AEPD se expresó a favor de una opción de rechazar el consentimiento en la primera capa. Asimismo, según la versión actualizada de la Guía sobre el uso de las cookies de la AEPD (de julio 2023), el diseño del banner en cuestión infringiría la normativa aplicable por no ofrecer una opción de rechazar el consentimiento en la primera capa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 5 CEPD, Informe sobre el trabajo realizado por el Grupo de Trabajo Cookie Banner [Report of the work undertaken by the Cookie Banner Taskforce], p. 3; ***URL.3 6 Nataliia Bielova, Cristiana Santos, Colin M. Gray
(2023), Two worlds apart! Closing the gap between regulating EU consent and user studies, 37 Harvard Journal of Law & Technology [pendiente de publicación], p.
  2. No obstante, en la resolución recurrida, la AEPD adoptó otro criterio, basándose en su Guía del año
  4. Aparte del criterio equivocado de la Guía del año 2020, la argumentación que debe de respetarse el plazo de adopción para la Guía actualizada no convence. Sería más sencillo y conveniente que la AEPD adoptase una resolución requiriendo al responsable que cambiase su banner según lo dispuesto en la Guía de 2023, en vez de hacerlo meses más tarde. Ello también resultaría beneficioso para el responsable, quién tuviera unas claras instrucciones a seguir. Que la AEPD ordene adaptar el banner, no implica que también se debe de imponer una sanción. Simplemente garantiza el cumplimiento de la normativa.
  5. En vez de basarse en una Guía desactualizada y anticuada, como propuesto por el responsable con quién la AEPD mantiene una cuenta bancaria abierta, la AEPD debería exigir consecuentemente el criterio que ya defendió hace meses en el seno del CEPD. En virtud de lo expuesto en este escrito, y de conformidad con las disposiciones mencionadas, esta parte SOLICITA I. Que se tenga por interpuesto, en tiempo y forma, RECURSO DE REPOSICIÓN contra la resolución de la Directora de la Agencia Española de Protección de Datos de 11 de octubre de 2023 en el marco del procedimiento con número de expediente EXP202307481, y, tras la admisión del mismo y de la práctica de las actuaciones de investigación que sean necesarias, de conformidad con las normas de procedimiento y materiales aplicables, se anule la resolución impugnada por los motivos expuestos en los fundamentos jurídicos de este recurso y se proceda a la continuación del procedimiento. FUNDAMENTOS DE DERECHO I Competencia. Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) y el art. 43.1, párrafo segundo, de la de la LSSI. II Contestación a las alegaciones Primero: Alega la parte recurrente en el apartado “Primero, puntos 1-5” de los FD de su escrito de recurso que, la resolución de archivo dictada por esta AEPD fue realizada por una autoridad manifiestamente incompetente por razón del territorio, ya que debería de haber sido, según se manifiesta en el escrito, la autoridad austríaca de control de protección de datos (DSB) quien hubiera adoptado dicha resolución de acuerdo con el artículo 60
(8)RGPD. Mientras que en el apartado “Cuarto, puntos 24 a 27” la parte recurrente manifiesta que “la AEPD aplica un criterio erróneo pues se limita a aplicar la LSSI y su Guía del año 2020 sin consideración de la Directiva e-Privacy, ni del RGPD, sin embargo, la reclamación inicial expone con gran detalle (y anexos relevantes) las infracciones de la normativa vigente, en particular, las disposiciones del RGPD” Para responder a estas dos cuestiones debemos empezar indicando que en el Derecho español rige el “Principio de Especialidad Normativa”, el cual hace referencia a que una ley especial prevalece sobre una ley general. Este principio no supone que, en el supuesto de aplicación de ambas normas (una norma general y otra especial), la primera queda derogada, sino que persiste la vigencia simultánea de ambas normas, si bien la ley especial se aplicará con preferencia a la ley general en aquellos supuestos que se contemplen en ella. Pues bien, respecto al caso que nos ocupa, existe tal coincidencia, esto es, en el Ordenamiento Jurídico Español, coexisten dos normas, una de carácter general como es el RGPD y otra de carácter especial, como es la LSSI. Si observamos lo que establece el artículo 1 del RGPD, su objeto es el siguiente: 1.El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos. 2.El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales. 3.La libre circulación de los datos personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales. Mientras que el objeto de la LSSI, establecido en su artículo 1, indica que:
  1. Es objeto de la presente Ley la regulación del régimen jurídico de los servicios de la sociedad de la información y de la contratación por vía electrónica, en lo referente a las obligaciones de los prestadores de servicios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 incluidos los que actúan como intermediarios en la transmisión de contenidos por las redes de telecomunicaciones, las comunicaciones comerciales por vía electrónica, la información previa y posterior a la celebración de contratos electrónicos, las condiciones relativas a su validez y eficacia y el régimen sancionador aplicable a los prestadores de servicios de la sociedad de la información.
  2. Las disposiciones contenidas en esta Ley se entenderán sin perjuicio de lo dispuesto en otras normas estatales o autonómicas ajenas al ámbito normativo coordinado, o que tengan como finalidad la protección de la salud y seguridad pública, incluida la salvaguarda de la defensa nacional, los intereses del consumidor, el régimen tributario aplicable a los servicios de la sociedad de la información, la protección de datos personales y la normativa reguladora de defensa de la competencia. Por su parte, el artículo 2 de la citada norma establece que:
  3. Esta Ley será de aplicación a los prestadores de servicios de la sociedad de la información establecidos en España y a los servicios prestados por ellos. Se entenderá que un prestador de servicios está establecido en España cuando su residencia o domicilio social se encuentren en territorio español, siempre que éstos coincidan con el lugar en que esté efectivamente centralizada la gestión administrativa y la dirección de sus negocios. En otro caso, se atenderá al lugar en que se realice dicha gestión o dirección. Por tanto, en aplicación del principio de especialidad normativa, procede la aplicación de la norma específica, esto es, la Ley LSSI, sobre la norma general, el RGPD, a tener la entidad CAIXABANK su sede en territorio español, así como el dominio de su página web (.es). Respecto de la competencia para conocer el caso, el artículo 43.1 de la LSSI, establece: (…) Igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3 c), d) e i) y 38.4 d), g) y h) de esta Ley(…). y lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, Mientras que el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Y la Disposición adicional cuarta de dicha norma establece, respecto de las competencias atribuidas a la AEPD por otras leyes, que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 Por tanto, en el presente caso, es competente para conocer la reclamación la AEPD en base a lo establecido en el 43.1 de la LSSI, artículo 63.2 de la LOPDGDD y Disposición adicional cuarta de dicha norma. Mientras que, respecto a la aplicación de la LSSI en detrimento del RGPD, debe ser aplicada la primera norma en base al principio de especialidad normativa. Segundo: Alega la parte recurrente en los apartados “Segundo, puntos 6-15” y “tercero, puntos 16-23”, y apartado “Quinto, puntos 28 a43” de los FD de su escrito de recurso, en esencia que, “la AEPD no consideró las circunstancias específicas de la visita a la página web de la parte recurrente, basándose solamente, para la resolución del expediente, en el banner de información que aparece en la página web, sin dar respuesta a lo solicitado en la reclamación, olvidándose de las peticiones de parte y reivindicando para ello lo estipulado en el Considerando 141 RGPD: “Todo interesado debe tener […] derecho a la tutela judicial efectiva La AEPD se centró en su propia visita para evaluar la página web del responsable, solicitando que la resolución debe de anularse de acuerdo con el artículo 48
(1)LPACAP”. Pues bien, recordemos que en la reclamación que se presentó la parte recurrente el 11/08/21 ante la autoridad austríaca de control de protección de datos (DSB) contra CaixaBank, S.A. manifestaba como hechos presuntamente sancionables, reiterados en el escrito de recurso (puntos “primero” y “segundo” de los Hechos que, “el banner de consentimiento para instalar cookies u utilizar otras tecnologías en el dispositivo de la visitante estaba diseñado y configurado de tal manera que el visitante de la web no podía prestar un consentimiento válido ya que dicho banner presentaba un diseño engañoso, ofreciendo la opción de rechazar el consentimiento solamente en la segunda capa mientras que la opción para aceptar las cookies estaba disponible en la primera capa resaltada a través de un botón interactivo” En el caso que nos ocupa, la recurrente manifestó en su reclamación de fecha 11/08/21 como hechos irregulares al acceder a la web, los siguientes: - Al utilizar este banner, el controlador intentó establecer una base jurídica con arreglo al artículo 6, apartado 1, del RGPD para tratar los datos personales del denunciante y una base jurídica en virtud del artículo 5, apartado 3, de la Directiva sobre la privacidad y las comunicaciones electrónicas (2002/58/CE) (o la aplicación nacional pertinente) y del artículo 6, apartado 1, letra a), del RGPD para almacenar información o acceder a la información almacenada en el equipo terminal del denunciante. - Además, el denunciante identificó flujos de datos que se refieren a información almacenada en su equipo terminal, en el sentido del artículo 5, apartado 3, de la Directiva sobre la privacidad y las comunicaciones electrónicas, y contenían datos personales en el sentido del artículo 4, apartado 1, del RGPD: Y como solicitud, reclamaba que la autoridad de control competente investigase la reclamación con arreglo al artículo 58, apartado 1, del RGPD, y ordenase al responsable del tratamiento que detuviera todas las actividades de tratamiento de datos; ordenase la supresión de todos los datos personales pertinentes y comunicase dicha supresión a los destinatarios a los que se hayan comunicado los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/20 Pues bien, como indicamos en el punto anterior, en el Derecho Administrativo Español rige el “Principio de Especialidad Normativa”, el cual, en el supuesto de que dos normas rijan en un mismo ámbito, la ley especial, en el caso que nos ocupa, la LSSI, se aplicará con preferencia a la ley general, esto es, al RGPD, en aquellos supuestos contemplados en aquella norma y en base a ello, esta Agencia baso su resolución en lo siguiente: a).- Respecto de las 3 cookies detectadas al acceder a la web sin el previo consentimiento del usuario, se constató que la finalidad de dos de ellas era de carácter técnico (“utag_main” y “userAgentlnfo”), mientras que la finalidad de la tercera cookie detectada, (__bg_cxbnk_fpcachecc), no pudo ser identificada, por lo que, de las evidencias obtenidas, la utilización de cookies por parte de la página web en cuestión, previo al consentimiento del usuario, no contradice lo estipulado en la norma específica que rige en España, la LSSI. b).- Respecto al banner de información sobre cookies que aparece en la página principal de la web en cuestión cuando se accede a ella por primera vez, la resolución de esta Agencia se basó exclusivamente en lo estipulado en las obligaciones previstas en el apartado segundo del artículo 22 de la LSSI y en su relación con el RGPD y la LOPDGDD, teniendo presente el carácter de norma especial de la regulación establecida en la LSSI. Todo ello conforme con las soluciones propuestas en la Guía sobre Cookies, elaborada por esta Agencia en el año 2020, en la versión vigente en el momento en que se realizaron las comprobaciones por esta Agencia y que se transcriben a continuación. En aplicación de la normativa aplicable al caso y atendiendo a las recomendaciones GT29 (Grupo de Trabajo del artículo 29), creado en virtud del artículo 29 de la Directiva 95/46/CE como órgano consultivo independiente de la UE en materia de protección de datos e intimidad, recomendaba el uso de declaraciones o avisos de privacidad por niveles, esto es, que contuvieran la información en capas, de modo que se permitiera al usuario ir a aquellos aspectos de la declaración o aviso que fueran de mayor interés para él, evitando así la fatiga informativa, y ello sin perjuicio de que la totalidad de la información se encontrase disponible en un único lugar o en un documento completo (Política de Cookies) al que se pueda acceder fácilmente si el interesado desea consultarlo en su totalidad. Pues bien, este sistema puede consistir en mostrar la información esencial en una primera capa, cuando se accede a la página o aplicación, y completarla en una segunda capa mediante una página en la que se ofrezca información más detallada y específica sobre las cookies. En la primera capa, que para mayor claridad podrá identificarse bajo un término de uso común (como, por ejemplo, “cookies”), se incluiría la siguiente información:
  1. a)Identificación del editor responsable del sitio web. No será necesaria la denominación social, siempre que sus datos identificativos completos figuren en otras secciones del sitio web (aviso legal, política de privacidad, etc.) y su identidad pueda desprenderse de forma evidente del propio sitio web (por ejemplo, cuando el propio dominio se corresponda con el nombre del editor o la marca con la que se identifica frente al público o dicho nombre o marca figuren claramente en el sitio web).
  2. b)Identificación de las finalidades de las cookies que se utilizarán.
  3. c)Información sobre si las cookies C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/20 son propias (del responsable de la página web) o también de terceros asociados a él, sin que sea necesario identificar a los terceros en esta primera capa.
  4. d)Información genérica sobre el tipo de datos que se van a recopilar y utilizar en caso de que se elaboren perfiles de los usuarios (por ejemplo, cuando se utilicen cookies de publicidad comportamental).
  5. e)Modo en el que el usuario puede aceptar, configurar y rechazar la utilización de cookies, con la advertencia, en su caso, de que si se realiza una determinada acción, se entenderá que el usuario acepta el uso de las cookies.
  6. f)Un enlace claramente visible dirigido a una segunda capa informativa en la que se incluya una información más detallada, utilizando, por ejemplo, el término “Cookies”, “Política de cookies” o “Más información, pulsa aquí”. Este mismo enlace podrá utilizarse para conducir al usuario al panel de configuración de cookies, siempre que el acceso al panel de configuración sea directo, esto es, que el usuario no tenga que navegar dentro de esta segunda capa para localizarlo. Esta información se facilitará antes del uso de las cookies, incluida, en su caso, su instalación, a través de un formato que sea visible para el usuario y que deberá mantenerse hasta que el usuario realice la acción requerida para la obtención del consentimiento o su rechazo. Este mismo enlace podrá utilizarse para conducir al usuario al panel de configuración de cookies, siempre que el acceso al panel de configuración sea directo, esto es, que el usuario no tenga que navegar dentro de esta segunda capa para localizarlo. Esta información se facilitará antes del uso de las cookies, incluida, en su caso, su instalación, a través de un formato que sea visible para el usuario y que deberá mantenerse hasta que el usuario realice la acción requerida para la obtención del consentimiento o su rechazo. Como puede observarse, en este ejemplo se ofrece información sobre el uso por el editor y por terceros de cookies analíticas y de publicidad comportamental, y se obtiene el consentimiento explícito de los usuarios que acepten el uso de cookies haciendo clic en el botón. Si no se pulsa el botón “Aceptar cookies”, el usuario no está autorizando el uso de cookies (por lo tanto, no está legitimado el uso de cookies si el usuario no pulsa el botón para aceptar cookies y simplemente continúa navegando). En todo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/20 caso, será necesario que el usuario realice una acción que pueda calificarse como una clara acción afirmativa para que el consentimiento se considere válidamente otorgado. La obtención del consentimiento mediante una conducta de los usuarios distinta de un botón de aceptación, pero que consista en una clara acción afirmativa, será admisible siempre que las condiciones en que se produzca la conducta ofrezcan suficiente certeza de que se presta un consentimiento informado e inequívoco y pueda probarse que dicha conducta se ha realizado. En cualquier caso, el mero hecho de permanecer visualizando la pantalla, hacer scroll o navegar por el sitio web no se considerará una clara acción afirmativa bajo ninguna circunstancia. Será necesario que la información de la primera capa se complete con un sistema o panel de configuración en el que el usuario pueda optar entre aceptar o no las cookies de forma granular, o un enlace que conduzca a dicho sistema o panel. También puede darse al usuario una tercera opción, consistente en incluir dos botones, para que acepte o configure/rechace las cookies: La opción “Aceptar” podrá sustituirse por términos equivalentes, tales como “Aceptar y continuar”, “OK” o “Aceptar y cerrar”. Del mismo modo, y también a título de ejemplo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/20 la opción “Configurar” podrá sustituirse por términos como “Opciones”, “Más opciones”, “Otras opciones” o “Configuración de privacidad”. Estas opciones serán admisibles siempre que se haya informado con claridad de las consecuencias de la elección respecto de la aceptación o configuración de las cookies. El enlace o botón para administrar preferencias debe llevar al usuario directamente al panel de configuración, sin que tenga que desplazarse por grandes cantidades de texto buscando la información, que deberá seguir siendo accesible de forma permanente. El panel podrá integrarse en la segunda capa informativa. Para facilitar la selección, en el panel podrán implementarse dos botones, uno para aceptar todas las cookies y otro para rechazarlas todas, siendo esta opción recomendable cuanto mayor sea el número distinto de cookies que se utilicen. Si se utiliza el segundo o tercer ejemplo como forma de obtención del consentimiento, deberá incluirse en el panel un botón para rechazar todas las cookies, para respetar el requisito de que sea tan fácil retirar el consentimiento como darlo. A estos efectos, por ejemplo, se considerará satisfecho este requisito si el panel de configuración incluye un botón de “Rechazar todas las cookies” o un botón para guardar la elección realizada por el usuario y, en este segundo caso, además se indica expresamente que, si el usuario guarda su elección sin haber seleccionado ninguna posibilidad, debe recordarse que en ningún caso son admisibles las casillas premarcadas a favor de aceptar cookies. Para este supuesto del botón de guardado, podrá indicarse lo siguiente: Pues bien, si ahora comprobamos el banner de información sobre cookies de la página principal de la web objeto de la reclamación, ***URL.1, (***URL.4) diligenciada por esta Agencia el 19/09/23: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/20 Por tanto, en la resolución de archivo del expediente AI/00289/2023 de fecha 11/10/23, al planteamiento del reclamante de que denunciaba como hechos presuntamente sancionables, reiterados en el escrito de recurso (puntos “primero” y “segundo” de los Hechos que, “el banner de consentimiento para instalar cookies u utilizar otras tecnologías en el dispositivo de la visitante estaba diseñado y configurado de tal manera que el visitante de la web no podía prestar un consentimiento válido ya que dicho banner presentaba un diseño engañoso, ofreciendo la opción de rechazar el consentimiento solamente en la segunda capa mientras que la opción para aceptar las interactivo”, se consideró que el banner de información sobre cookies existente en la primera capa de la web en cuestión, tanto en su formato como en la información suministrada no se contradecía con lo estipulado en la LSSI, al ser acorde con el ejemplo 3 de la Guía sobre Cookies. En otro orden de cosas, la parte recurrente manifiesta también en el punto “segundo” de su escrito de recurso que el día 16/05/23 se puso en contacto con la autoridad austríaca de control de protección de datos a fin de obtener información sobre el estado de la tramitación de la reclamación y dicha autoridad informó el día 01/06/23 que esperaba respuesta de la Agencia Española de Protección de Datos. Pues bien, indicar que no fue hasta el día 02/06/23 cuando esta Agencia recibió con número de registro de entrada: REGAGE23e00035235184, el escrito de reclamación a través de COMISION EUROPEA SISTEMAS DE INTERCAMBIO DE MERCADO INTERIOR (IMI- Austria). Tercero: Manifiesta la parte recurrente en el apartado “Sexto, puntos 44 a 47” que “La AEPD se contradice pues “no menciona al Informe sobre el trabajo realizado por el grupo de trabajo Cookie Banner de 17 de enero 2023 y según la versión actualizada de la Guía sobre el uso de las cookies de la AEPD (de julio 2023), el diseño del banner en cuestión infringiría la normativa aplicable por no ofrecer una opción de rechazar el consentimiento en la primera capa. No obstante, en la resolución recurrida, la AEPD adoptó otro criterio, basándose en su Guía del año 2020”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/20 Pues bien, indicar que la Agencia Española de Protección de Datos ha actualizado la Guía sobre el uso de las cookies para adaptarla a las Directrices 03/2022 sobre patrones engañosos del Comité Europeo de Protección de Datos (CEPD). El Comité Europeo de Protección de Datos publicó en febrero de 2023 las Directrices 03/2022 sobre patrones engañosos en redes sociales. La Agencia incorpora a la nueva versión de la Guía el criterio del Comité Europeo, que recoge que las acciones de aceptar o rechazar cookies tienen que presentarse en un lugar y formato destacados, y ambas acciones deben estar al mismo nivel, sin que sea más complicado rechazarlas que aceptarlas. La Guía incluye nuevos ejemplos sobre cómo deben mostrarse estas opciones ofreciendo indicaciones como el color, tamaño y lugar en el que aparecen. Los criterios recogidos en la Guía deberán implementarse, a más tardar, el 11 de enero de 2024, estableciéndose así un periodo transitorio de seis meses para introducir los cambios necesarios para la utilización de cookies. Mientras tanto, se seguirá aplicando los criterios marcados en la Guía sobre el uso de cookies publicada en el año 2020. Y en el caso que nos ocupa, al ser la resolución de archivo del expediente AI/00289/2023 el 11/10/23, era aplicable la Guía sobre el uso de cookies publicada en el año 2020. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la AEPD está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el artículo 21.1 de la citada Ley. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/20 Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos: RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Dª A.A.A., a través de la COMISION EUROPEA SISTEMAS DE INTERCAMBIO DE MERCADO INTERIOR (IMI- Austria), contra la resolución de archivo dictada por la Directora de la Agencia Española de Protección de Datos el 11/10/23, en el expediente EXP202307481 (AI/00289/2023) SEGUNDO: NOTIFICAR la presente resolución a Dª A.A.A., TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  7. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.