← España

REPOSICION-PS-00032-2020

1/16  Procedimiento PS/00032/2020 180-100519 Resolución del Recurso de Reposición Nº- RR/582/2020 Examinado el recurso de reposición interpuesto por la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL (IBERIA) con CIF: A85850394, titular de la página web: www.iberia.com, (en adelante, “la entidad reclamada”), contra la resolución, dictada por la Directora de la Agencia Española de Protección de Datos, en el procedimiento sancionador PS/00032/2020, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 16/10/20 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00032/2020, por la que se acordaba Imponer a la entidad IBERIA, una sanción de 30.000 euros (treinta mil euros), por infracción del artículo 22.2. de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, (LSSI). Dicha resolución, fue notificada a la entidad recurrente, con fecha 20/10/20, según aviso de recibo que figura en el expediente. SEGUNDO: Como hechos probados del citado procedimiento sancionador, quedó constancia en la resolución, de los siguientes: 1.- Con fecha 23/10/19, la reclamante denuncia que, en la web www.iberia.com , “si se quiere seguir navegando se debe aceptar obligatoriamente la política de cookies no dando opción alguna a rechazarlas”, por ello, con fecha 29/11/19, se da traslado de dicha denuncia a la entidad reclamada, indicándola que, “en el portal web de IBERIA no se proporciona la opción de oponerse o no prestar consentimiento al tratamiento de datos personales realizado mediante "cookies", instalándose éstas desde el momento que se produce la visita a la página inicial” y requiriendo a la compañía que informase de la decisión adoptada a propósito de la reclamación; las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y los controles efectuados para comprobar su eficacia. 2.- Con fecha 28/01/20, la entidad reclamada, en contestación al requerimiento de esta Agencia, reconoce que, “llevaba trabajando desde junio de 2019 en el diseño de la solución de adaptación de la política de cookies a las exigencias del RGPD y a la LOPDGDD; y que desde mediados de enero de 2020 la página web de Iberia cumple con la normativa vigente y con las recomendaciones publicadas por la Agencia Española de Protección de Datos, (guía sobre cookies, publicada en noviembre de 2019)”. 3.- No obstante, con fecha 31/01/20 y 06/02/20, en el trascurso de la investigación realizada por la Subdirección General de Inspección de Datos de esta Agencia, se comprobó que se seguían produciendo diversas deficiencias en la página web denunciada como, por ejemplo, que el banner sobre cookies de la primera capa proporcionaba inC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 formación poco concisa, poco transparente e inteligible, en contra de lo recomendado en el punto 3.1.2.1 de la guía de la AEPD. Además, seguía existiendo el “muro de de cookies”, no se permitía seguir navegando por la web, con lo que no se daba la opción, al usuario, de rechazar el uso de cookies, tal y como se recomendaba en el ejemplo 2, del punto 3.1.2.2. de la guía de la AEPD. No obstante, si se entraba en la segunda capa, a través del enlace, <<configuración de cookies>> o a través del enlace <<política de cookies>>, se permitía la configuración de las cookies de forma granular, pero no se permitía el rechazo de todas las periodo de conservación de las cookies instaladas en el equito terminal del usuario, (a excepción de las utilizadas para equilibrar la carga en la infraestructura del sitio web). 4.- Después de haber iniciado el expediente sancionador PS/0032/2020 por los hechos indicados anteriormente, se comprobó que, la política sobre cookies de la página web www.iberia.com , había sido modificada, presentando las siguientes características: a).- En la primera capa (página inicial) aparece un banner sobre cookies, en la parte central de la página, con la leyenda: “Las cookies son importantes para ti, influyen en tu experiencia de navegación. Usamos cookies analíticas, de personalización y publicitarias (propias y de terceros) para hacer perfiles basados en hábitos de navegación y mostrarte contenido útil. Puedes aceptar este tipo de cookies pulsando el botón “Aceptar” o configurarlas o rechazar su uso en Configuración de cookies”. Para más información, <<Lea la Política de Cookies de Iberia>> <<Aceptar todas las cookies>> b).- En la segunda capa, accesible a través del enlace correspondiente, se despliega una nueva página con diferentes apartados: b.1.-En el apartado de “Privacidad del Usuario”. Se informa de: “Como respetamos su privacidad, puede aceptar o rechazar nuestra utilización de de cada una de las líneas de abajo. Cada vez que se te ofrezca aceptar o rechazar la utilización de determinadas categorías de cookies, te proporcionaremos la información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 esencial que necesites saber para efectuar tu elección. Sin embargo, si bloquea algunos tipos de cookies, puede que su experiencia de uso de la web se vea afectada y también los servicios que podemos ofrecerle. Para obtener más información sobre la gestión de cookies que realiza Iberia acceda a nuestra política. Más información”. Si se hace clic en “Más Información”, que la web redirige a “política de cookies”. En la parte inferior del apartado existen dos opciones: <<Confirmar mis preferencias>> <<Rechazarlas todas>> b.2.- En el apartado “Cookies Técnicas y Necesarias”. Se informa que están activas siempre y que: “Estas cookies son necesarias para que el sitio web funcione y no se pueden desactivar en nuestros sistemas. Se configuran en respuesta a sus acciones realizadas al solicitar servicios, como establecer sus preferencias de privacidad, iniciar sesión o completar formularios. Puede configurar su navegador para bloquear o alertar sobre estas <<Confirmar mis preferencias>> <<Rechazarlas todas>> b.3.- En el apartado “Cookies de Rendimiento”. Se informa que permiten contar las visitas y fuentes de tráfico para poder evaluar el rendimiento de nuestro sitio y mejorarlo. Se permite desactivarlas haciendo clic sobre el interruptor azul situado en la esquina superior derecha. En la parte inferior del apartado existen dos opciones: <<Confirmar mis preferencias>> <<Rechazarlas todas>> b.4.- En el apartado “Cookies Dirigidas”, (de publicidad dirigida). Se informa que pueden ser establecidas a través del sitio por socios publicitarios. Pueden ser utilizadas por esas empresas para crear un perfil de sus intereses y mostrar anuncios relevantes. Permite desactivarlas haciendo clic sobre el interruptor azul situado en la esquina superior derecha. En la parte inferior del apartado existen dos opciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 <<Confirmar mis preferencias>> <<Rechazarlas todas>> b.5.- En el apartado “Cookies de Funcionalidad”. Se informa que permiten que el si-tio ofrezca una mejor funcionalidad y personalización. Pueden ser establecidas por el titular de la página o por terceras partes cuyos servicios han agregado a la página. Se indica que si no se permiten estas cookies algunos de sus servicios no funcionarán correctamente. Permite desactivarlas haciendo clic sobre el interruptor azul situado en la esquina superior derecha. En la parte inferior del apartado existen dos opciones: <<Confirmar mis preferencias>> <<Rechazarlas todas>> c).- Si se accede a la “Política de Cookies”, a través del enlace correspondiente, existente en la página de inicio o a través del enlace (más información), existente en la página de “configuración de cookies”, la web redirige a una nueva página donde se ofrece información sobre: cómo y para qué se emplean las cookies; qué son las cookies; los tipos de cookies de la web y sus finalidades; a qué destinatarios se comunicarán los datos; las cookies utilizadas. c.1.- En la opción de “cómo gestionar las cookies” se proporciona la siguiente información: Puedes permitir, bloquear o eliminar las cookies instaladas en su equipo mediante la configuración de las opciones de tu navegador de Internet. En caso de que no permitas la instalación de cookies en tu navegador es posible que no puedas acceder a algunos de los servicios y que tu experiencia en nuestra web pueda resultar menos satisfactoria. ¿Cómo rechazo o no doy mi consentimiento para el uso de cookies? Puede negarse a aceptar las cookies modificando los ajustes de su navegador de Internet (por ejemplo, Internet Explorer, Chrome o Firefox). Tenga en cuenta que, si no permite el uso de cookies en algunas áreas de nuestro sitio web, es posible que el contenido no sea accesible o no funcione correctamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 En los siguientes enlaces tienes a tu disposición toda la información para configurar o deshabilitar tus cookies en cada navegador (…): Por último y en caso de que tenga algún problema relacionado con el uso de las TERCERO: La entidad reclamada, ha presentado, con fecha 20/11/20, recurso de reposición fundamentándolo, básicamente, en que: La página web de IBERIA www.iberia.com ya cumplía, a 30 de enero, con el artículo 22.2. LSSI y con la guía interpretativa publicada entonces por la Agencia. La resolución que se recurre indica en su Hecho Probado Tercero lo siguiente: 3.- No obstante, con fecha 31/01/20 y 06/02/20, en el trascurso de la investigación realizada por la Subdirección General de Inspección de Datos de esta Agencia, se comprobó que, el banner sobre cookies de la primera capa proporcionaba información poco concisa, poco transparente e inteligible, en contra de lo recomendado en el punto 3.1.2.1 de la guía de la AEPD. Además, si no se pulsaba el botón de “aceptar” o el botón de “configuración de cookies”, no se permitía seguir navegando, con lo que no se da la opción al usuario de rechazar el uso de cookies, tal y como se recomienda en el ejemplo 2, del punto 3.1.2.2. de la guía de la AEPD. Por otra parte, si se entraba en la segunda capa, a través del enlace, “configuración de cookies” o en la página de “política de cookies”, se permitía la configuración de las cookies de forma granular, pero no se permitía el rechazo de todas las cookies a la vez. En base a esto es por lo que la Agencia entiende que hay un incumplimiento del art. 22.2 LSSI. Lo que exige la LSSI es que el destinatario/usuario pueda dar su consentimiento al uso de las cookies y esto ya se cumplía en la versión existente del banner de cookies a finales de enero y principios de febrero de 2020 puesto que a través del mismo se permitía bien aceptar todas las cookies, bien rechazar en bloque cada una de las tipologías de cookies no técnicas (necesarias) que se manejan en la web para seguidamente confirmar dichas preferencias pulsando el botón habilitado correspondiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 Si no se deseaba aceptar TODAS las cookies, se podía acceder al botón de configuración de cookies: Como se puede ver, el interesado tenía la opción de rechazar la utilización de cookies “no técnicas/no necesarias” de los distintos tipos contemplados (originalmente tres, posteriormente cuatro), simplemente deslizando en cada una de ellas la pestaña correspondiente hacia posición “rechazar” y presionando la opción de “confirmar mis preferencias”. Por lo tanto, en febrero de 2020 no se producía incumplimiento del art. 22.2 LSSI, aunque por entonces aún no se hubiera implantado el botón de “RECHAZAR TODAS LAS Recordemos, además, que el botón de “rechazar todas las cookies” no era la única opción permitida y contemplada en la Guía Interpretativa publicada por la Agencia y vigente aún entre febrero y junio de 2020 (antes de la publicación de la nueva Guía interpretativa en julio). La resolución sancionadora impugnada en este recurso indica en su fundamento II lo siguiente: …. unos días después, el 06/02/20, para comprobar la veracidad o no de la información suministrada por la entidad reclamada a esta Agencia, se comprobó que, en la página web www.iberia.com, además de seguir sin ofrecer la opción de rechazar todas las cookies, tal y como se denunciaba… Este fundamento incluye una doble falsedad: - No es cierto que en el requerimiento de marras se hubiera denunciado que se debiera ofrecer la opción de rechazar todas las cookies con un único botón; y - No es cierto que, en aquel momento, la inclusión de un único botón que permitiera rechazar todas las cookies con un solo clic fuera la única opción permitida para dar cumplimiento a lo dispuesto en el artículo 22.2. LSSI. Los motivos de este procedimiento sancionador no guardan relación con el hecho que consta en la denuncia que supuestamente lo origina y que fue corregido desde enero de 2020. Los motivos de supuesta infracción alegados en fase de instrucción quedaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 ron reducidos a dos y sin embargo se mantuvo la misma propuesta de resolución y la cuantía de la multa. La propuesta de sanción no está debidamente fundamentada y es incongruente con la instrucción practicada. No se ha aplicado lo dispuesto en los artículos 39bis y 40 LSSI ni por la Agencia ni por el Sr. Instructor De todos los puntos que se indicaban en la comunicación de inicio del expediente sancionador de referencia, tras las alegaciones presentadas por IBERIA el pasado día 15 de junio y las nuevas comprobaciones que el instructor habría realizado el pasado día 22 de julio de 2020, la propuesta de resolución sancionadora ha quedado limitada en su fundamentación, exclusivamente, a dos únicos supuestos incumplimientos respecto de cada uno de los cuales adelantamos resumidamente nuestras alegaciones también a continuación: - En primer lugar, transcribimos el apartado “b)” de la página 15 de la comunicación de propuesta de resolución: “b.- Respecto a la información facilitada sobre la política de nuestros sitios web, y ofrecerle la mejor experiencia de navegación posible (…)”, por el mensaje utilizado, a fecha 20/07/20: “(…) Usamos cookies analíticas, de personalización y publicitarias (propias y de terceros) para hacer perfiles basados en hábitos de navegación y mostrarte contenido útil (…)”. No obstante, en esta la primera capa, se indica que para “Aceptar” todas las cookies se debe hacer clic en “aceptar” y posibilita así, seguir navegando. Pero, si el usuario desea rechazar todas las cookies debe acceder a la página de “configuración de partir de entonces, seguir navegando por las diferentes páginas de la web. Sigue, por tanto, sin adecuarse a lo recomendado en el ejemplo 2, del punto 3.1.2.2. de la guía sobre cookies de la AEPD.” Sin embargo, como ya explicamos en nuestro escrito de alegaciones presentado en agosto de 2020, la herramienta de aceptación, rechazo y/o configuración de cookies según su tipología que Iberia instauró durante el pasado mes de enero de 2020 cumplía a este respecto ya por entonces con el art. 22.2 LSSI y con los criterios del European Data Protection Board (EDPB), que la propia Agencia Española ha hecho suyos en la última actualización de su Guía Interpretativa publicada este pasado mes de julio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 - En segundo lugar, transcribimos la propuesta de resolución en su página 16, apartado “c)”: Respecto a la configuración de las cookies, se constata que se permite la configuración de las cookies de forma granular o el rechazo de todas las cookies de una sola vez, en la segunda capa, pero, aunque existe información sobre las cookies propias y de terceros, no existe suficiente información sobre el tiempo que permanecen activas en el equipo terminal.” Como explicaremos posteriormente y siguiendo el talante plenamente colaborador de IBERIA con la Agencia, a la fecha de presentación de este escrito de alegaciones ya se ha incorporado a la herramienta de gestión de cookies por parte de los interesados, a través de la información facilitada en la Política de Cookies de Iberia, información detallada sobre el tiempo de permanencia activa de cada una de las cookies en la web de Iberia. Debemos incidir en tres ideas fundamentales: - La denuncia de la reclamante, que supuestamente da origen a este procedimiento sancionador, versa sobre un hecho muy concreto (“denuncio a la empresa Iberia ya que al buscar un viaje no me da la opción de rechazar las cookies y me dice que tengo que aceptarlas para seguir navegando”). - Las herramientas de gestión de cookies implantadas por Iberia en su página web desde enero de 2020, tal y como ya se informó en su día a esta Agencia, corrigen por completo el hecho denunciado ya que dan la opción de aceptar todas las cookies o alternativamente de configurarlas según su tipología; y en este segundo paso, además, se brinda la opción bien de rechazarlas todas, bien de guardar la configuración personalizada para cada tipología de cookie tal y como la haya dejado indicada el propio interesado. Elegir entre cualquiera de estas tres opciones (aceptar todas las cookies, rechazarlas todas, o personalizar su configuración) es necesario para poder seguir navegando en la web de Iberia. Por tanto, desde el primer requerimiento se corrigió la situación planteada por la denunciante, cumpliéndose no sólo con el art. 22.2 LSSI sino también con los criterios del European Data Protection Board (EDPB), que la propia Agencia Española ha hecho suyos en la última actualización de su Guía Interpretativa publicada este pasado mes de julio. - Aparte de lo indicado en el apartado

  1. b)de la propuesta de sanción -si bien el Sr. Instructor yerra de pleno en su aseveración como hemos explicado arriba y posteriormente acreditaremos- ninguna de las irregularidades indicadas por la Agencia posteriormente, en la comunicación de inicio de procedimiento sancionador y durante toda su instrucción hasta este momento tiene nada que ver con el hecho que consta en la denuncia que origina este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 En otro orden de cosas y con independencia de lo anterior, el propio instructor reconoce el esfuerzo realizado por IBERIA en cumplir con todas las indicaciones planteadas por la Agencia para dar cumplimiento al art. 22.2 LSSI a la luz de las sucesivas actualizaciones de la Guía Interpretativa de la Agencia sobre las cookies. No obstante, a pesar de haberse visto drásticamente reducidos en número e importancia los presuntos aspectos contrarios a la normativa puestos de manifiesto por la Agencia y del reconocimiento de la voluntad mostrada por IBERIA de colaborar y corregir todos aquellos aspectos que –a juicio de la Agencia- así lo requerían, la sanción finalmente propuesta por el Instructor es exactamente la misma que al inicio del procedimiento, lo que equivale a decir que para la Agencia tanto una cosa como la otra han sido totalmente irrelevantes al objeto de baremar la infracción y fijar el importe de la sanción que hubiera de llevar aparejada. Claramente, la propuesta elevada por el Sr. Instructor en este expediente es contraria a derecho, y especialmente contraria a lo que la propia Ley de Servicios de la Sociedad de Información (LSSI) establece en materia de infracciones y sanciones: - El instructor propone una sanción por importe de 30.000 euros, que es la cuantía máxima contemplada al inicio del expediente. - Sin embargo, los dos únicos puntos tenidos finalmente en cuenta constituirían en el peor de los casos, a los efectos del artículo 38.4.
  2. g)LSSI, una única infracción leve (no obstante, en indefensión de IBERIA, la propuesta de resolución nada en absoluto dice a este respecto). - El artículo 39.1.
  3. c)LSSI dispone que las infracciones leves son sancionables con multa de “hasta 30.000 euros”. - El instructor no ha aplicado ningún tipo de minoración del importe de la sanción propuesta a pesar de que Iberia ha cumplido con todos los criterios del artículo 40 LSSI:
  4. i)no ha tenido intencionalidad en los hechos (al contrario, ha observado voluntad de cumplir antes y después de recibirse siquiera la primera comunicación a finales de 2019);
  5. ii)las supuestas infracciones se habrían cometido durante apenas unas pocas semanas; iii) no registra en su historial ningún tipo de reincidencia en materia de la supuesta infracción cometida es cero. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 - Por último, tanto la Agencia como el instructor respectivamente, considerando que nos encontramos en cualquier caso –antes y después de la propuesta de resolución emitida- ante la supuesta comisión de una infracción LEVE, no han cumplido con lo dispuesto en el artículo 39.bis LSSI (“Moderación de sanciones”), apartados .1 (aplicar la cuantía de la sanción de la escala de la clase de infracciones precedente) o .2 (no iniciar siquiera procedimiento sancionador y sustituirlo por un apercibimiento con acciones a cumplir en un determinado plazo), a pesar de que:
  6. i)IBERIA cumple con todos los requisitos del art. 40 (“Graduación de las sanciones”) antes mencionados, para la aplicación de dicho artículo 39bis; y
  7. ii)IBERIA ha regularizado de forma diligente, una por una, todas las presuntas deficiencias denunciadas por la Agencia (sin perjuicio de lo que más adelante en este escrito se dirá respecto de la falta de información sobre el tiempo de permanencia activa de cookies y sobre en qué condiciones se permite o no seguir navegando en la web de Iberia). Entendemos, por tanto, como punto de partida a estas alegaciones, que: - La propuesta de sanción no está debidamente fundamentada, puesto que no se indica qué tipo de infracción se ha cometido según el precepto legal correspondiente, ni tampoco entra a evaluar los criterios de graduación de la sanción aplicable, sino que, se limita a aplicarla en su grado máximo; - En línea con lo anterior, la propuesta de sanción es incongruente con las alegaciones, averiguaciones y hechos probados en fase de instrucción, amén de contra los propios actos de la Agencia y del Sr. Instructor; - La propuesta de sanción va en contra de lo dispuesto en la propia LSSI en lo que respecta a la baremación del importe de la sanción propuesta, a la vista de la instrucción efectuada; y - Como hemos mantenido desde el primer momento, el procedimiento sancionador iniciado en sí mismo va en contra de lo dispuesto en el art. 39.bis.2 y –salvo que en este caso concreto en el espíritu de la Agencia primase el ánimo recaudatorio a través de sus facultades sancionadoras- nunca debió haberse iniciado puesto que:
  8. i)el único supuesto incumplimiento alegado en instrucción que se corresponde realmente con la denuncia que lo habría originado en ningún caso es tal incumplimiento puesto que desde enero de 2020 un usuario no está obligado a aceptar las cookies para poder seguir navegando, sino que ha de elegir entre aceptarlas todas, rechazarlas todas o configurarlas según su tipología a su conveniencia; y
  9. ii)al ser todos los demás supuestos incumplimientos manifiestamente diferentes y, en el mejor de los casos, accesorios al incumplimiento principal y nunca susceptibles en su conjunto de una calificación más allá de infracción leve de la LSSI, un requerimiento de subsanación habría sido más C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 que suficiente para obtener la corrección de la presunta situación contraria no a la LSSI sino, en el mejor de los casos, a los criterios de la Guía Interpretativa sobre el uso de las cookies promulgada por la Agencia, la cual por otra parte ha sido recientemente objeto de actualización por la propia Agencia. Por todo lo anterior SOLICITAMOS DE LA SRA. DIRECTORA DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS que tenga por recibido este escrito de alegaciones en respuesta a la propuesta de sanción emitida, las admita y en su virtud: - Declare de oficio la NULIDAD del expediente sancionador incoado por estar fundamentado en un requerimiento previo de la Agencia a IBERIA que sí habría sido atendido en tiempo y forma, habiéndose subsanado el motivo de la denuncia en que dicho requerimiento se sustentaba. - En su defecto, declare de oficio la NULIDAD del expediente sancionador incoado por incumplimiento de lo dispuesto en el artículo 39.bis.2 en relación con el resto de supuestos incumplimientos que se citan en la comunicación de inicio de dicho expediente sancionador. - En su defecto, proceda al archivo de dicho expediente sin imposición de sanción alguna a cargo de IBERIA por:
  10. i)haberse acreditado que el motivo de la denuncia que da origen al procedimiento sancionador ya había sido subsanado con anterioridad a su inicio; y
  11. ii)el resto de supuestos incumplimientos por parte de IBERIA, totalmente ajenos a la citada denuncia, también habrían sido ya solventados por IBERIA, sin que por tanto exista razón de ser de dicho expediente. Asimismo, solicitamos la SUSPENSION DE LA EJECUTIVIDAD de la sanción toda vez que ha sido interpuesto este recurso de reposición y es intención de mi representada presentar recurso contencioso-administrativo ante la Audiencia Nacional en caso de que este último recurso en vía administrativa sea finalmente desestimado. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 En relación con las manifestaciones efectuadas por la entidad reclamada, en su escrito de recurso de reposición, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho de la resolución del expediente sancionador, PS/00032/2020, el 16/10/20. No obstante, se debe aclarar varios puntos sobre el mismo: 1º.- Con fecha 28/01/20, la entidad reclamada, en contestación al requerimiento hecho por esta Agencia, reconoce, en el mismo que, “llevaba trabajando desde junio de 2019 en el diseño de la solución de adaptación de la política de cookies a las exigencias del RGPD y a la LOPDGDD”. Es llamativo, y demuestra una importante falta de diligencia debida, que una entidad como IBERIA, con la cantidad de datos personales que trata de los usuarios de sus servicios, llevara más de 7 meses, “trabajando en su página web”, para adaptarla a la normativa vigente en materia de protección de datos. Aparte de ello, afirma la entidad que: “desde mediados de enero de 2020 la página web de Iberia cumple con la normativa vigente y con las recomendaciones publicadas por la AEPD, (guía sobre cookies, publicada en noviembre de 2019)”. Pues bien, el 31/01/20 y 06/02/20, veinte días después de que la entidad recurrente afirmase que, “su página web”, cumplía la normativa vigente en materia de protección de datos, habiéndola adaptado a las recomendaciones publicadas por esta Agencia en su “guía sobre cookies”, publicada en noviembre de 2019, por parte de esta Agencia, se comprobó que estas afirmaciones no eran ciertas pues, en su web se seguían produciendo diversas deficiencias, como por ejemplo, que el banner sobre cookies de la primera capa proporcionaba información poco concisa, poco transparente e inteligible, en contra de lo recomendado en el punto 3.1.2.1 de la guía de la AEPD, y que seguía existiendo el “muro de cookies”, esto es, la imposibilidad de seguir navegando si no se pulsaba el botón de “aceptar” o el botón de “configuración de cookies”, ejemplo 2, del punto 3.1.2.2. de la guía de la AEPD. Este hecho es incluso reconocido por la propia entidad recurrente en su escrito de recurso de reposición, cuando afirma que: “Por lo tanto, en febrero de 2020 no se producía incumplimiento del art. 22.2 LSSI, aunque por entonces aún no se hubiera implantado el botón de “RECHAZAR TODAS LAS COOKIES”, que desde el mes de junio de 2020, sí que está operativo en el banner de cookies de Iberia”, reconociendo que el “botón de rechazar todas las cookies”, no se introdujo en la página web hasta junio de 2020. Si a esta fecha, junio de 2020 cuando la entidad reconoce que implanta el “botón de rechazar todas las cookies”, la comparamos con la primera fecha que indica la entidad, esto es, mediados de 2019, cuando afirma que fue “cuando empezó a adaptar su página web a la normativa vigente”, comprobamos como ha tardado exactamente un año en adaptar su web a la normativa sobre protección de datos, página web, que recordeC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 mos es utilizadas por miles de usuarios diariamente para gestionar los servicios ofrecidos por la entidad. Sobre las alegaciones que realiza la entidad recurrente al indicar que: “Recordemos, además, que el botón de “rechazar todas las cookies” no era la única opción permitida y contemplada en la Guía Interpretativa publicada por la Agencia y vigente aún entre febrero y junio de 2020 (antes de la publicación de la nueva Guía interpretativa en julio)”. Recordar, que la guía en vigor, en aquel entonces, indicaba, respecto del ejemplo 2, del punto 3.1.2.2. (página 20), aplicable a la web en cuestión, que: “Como en el ejemplo anterior, si no se pulsa el botón de “aceptar”, el usuario no está aceptando el uso de cookies, (por lo tanto, no está legitimado el uso de cookies si el usuario no pulsa el botón de aceptar las cookies, y simplemente continúa navegando). Situación que no era permitida a los usuarios de la web, pues tenía implantado, el conocido como, “muro de cookies”, por el cual, si el usuario no acepta el uso de las cookies o se dirige a la página de la “política de cookies”, la web no le permite seguir navegando. Situación existente en la web de la entidad recurrente a finales de enero de 2020, aunque afirmase que su web cumplía perfectamente con la legislación vigente. En este caso, si el usuario, deseaba rechazar todas las cookies, debía acceder a la segunda capa, pero incluso en está tampoco existía el mecanismo que permitiese rechazar todas las cookies, mecanismo que se instaló, según reconoce la propia entidad, “en junio de 2020”, siendo una situación totalmente desfavorable al usuario, pues en este caso, “no era tan sencillo oponerse a la instalación de las cookies en el equipo terminal como aceptarlas, pues debían ser rechazadas grupo a grupo, hasta cuatro grupos en total”, contraviniendo totalmente, lo recomendado en la guía sobre cookies publicada por la AEPD cuando se indicaba que: “debía ser tan fácil rechazar la instalación de cookies en el equipo terminal, como el aceptar su instalación” y esto no ocurría, ni cuando se interpuso la reclamación, en octubre de 2019, ni en febrero de 2020, cuando se afirmó, desde la entidad, que su página web cumplía fielmente con las recomendaciones hechas por la AEPD en su guía. Lo indicado anteriormente, fundamenta por si solo la explicación realizada en la propuesta de resolución cuando se indicó que: “No obstante, en esta la primera capa, se indica que para “Aceptar” todas las cookies se debe hacer clic en “aceptar” y posibilita así, seguir navegando. Pero, si el usuario desea rechazar todas las cookies debe acceder a la página de “configuración de cookies” y elegir la opción de, <<rechazar todas las cookies>>, permitiendo solo, a partir de entonces, seguir navegando por las diferentes páginas de la web. Sigue, por tanto, sin adecuarse a lo recomendado en el ejemplo 2, del punto 3.1.2.2. de la guía sobre cookies de la AEPD”, por lo que, en base a ello, no se puede tener en cuenta la argumentación que hace la entidad recurrente al afirmar que la propuesta de resolución “incluye una doble falsedad…”. Sobre la afirmación que realiza la entidad recurrente al indicar que “La propuesta de sanción no está debidamente fundamentada y es incongruente con la instrucción pracC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 ticada. No se ha aplicado lo dispuesto en los artículos 39bis y 40 LSSI ni por la Agencia ni por el Sr. Instructor”. Debemos indicar que, es cierto que: “(…) El instructor no ha aplicado ningún tipo de minoración del importe de la sanción propuesta”, pero no es cierto, como sigue afirmando la entidad que, ha sido, “pesar de que Iberia ha cumplido con todos los criterios del artículo 40 LSSI”, pues si repasamos lo estipulado en dicho artículo, la entidad recurrente: a).- Sí ha tenido intencionalidad en los hechos, pues según indicó a esta Agencia, aseguraba que la web estaba perfectamente adaptada a la normativa vigente a mediados de enero de 2020, que llevaban trabajando en ella, más de siete meses, comprobándose, a primeros de febrero, por parte de esta Agencia que esa afirmación no era cierta. b).- No es cierto que “las supuestas infracciones se habrían cometido durante apenas unas pocas semanas” pues según reconoce la entidad recurrente, llevaba desde mediados del año 2019 adaptando su página web a la normativa vigente. Por tanto, no eran pocas semanas, sino muchos meses de incumplimiento. c).- Por lo que respecta a que, “no registra en su historial ningún tipo de reincidencia en materia de cookies (esta es la primera incidencia registrada)”, se debe recordar que la web denunciada, perteneciente a una de las empresas más importantes de nuestro país, como es la compañía IBERIA SA, recibe miles y miles de visitas diarias de usuarios, los cuales, al igual que la reclamante, deben padecer las mismas irregularidades. d).- Sobre los perjuicios causados a los usuarios de la página web durante los meses que estuvo irregularmente configurada fueron, ni más ni menos que, el incumplimiento por parte de la entidad, de los establecido en la normativa vigente sobre protección de datos. Por otra parte, tanto la Agencia como el instructor han cumplido escrupulosamente, en contra de lo afirmado por la entidad, con lo dispuesto en el artículo 39.bis LSSI, pues en el caso que nos ocupa, la entidad no ha cumplido con ninguno de los requisitos del art. 40, como se ha indicado anteriormente y no ha sido hasta la presentación de este escrito de recurso de reposición cuando la entidad ha regularizado su página web adaptándola a la normativa vigente, tal y como ha reconocido la propia entidad en este escrito: “(…) a la fecha de presentación de este escrito de alegaciones ya se ha incorporado a la herramienta de gestión de cookies por parte de los interesados, a través de la información facilitada en la Política de Cookies de Iberia, información detallada sobre el tiempo de permanencia activa de cada una de las cookies en la web de Iberia”. En lo que respecta a la siguiente irregularidad detectada en la segunda capa, esto es, a la falta de información sobre la correcta identificación de la cookies propia y de terceros (tiempo que permanecen activas e instaladas en el equipo terminal), no ha sido hasta la presentación de este recurso de reposición, cuando la entidad ha subsanado esta deficiencia, once meses después de haber asegurado que su página web cumplía fielmente lo estipulado en la normativa vigente en materia de protección de datos y en las recomendaciones hechas por esta Agencia en su “guía sobre cookies”, y así lo reconoce en el mismo escrito de recurso de reposición: “ (…) a la fecha de presentación de este escrito de alegaciones ya se ha incorporado a la herramienta de gestión de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 de Cookies de Iberia, información detallada sobre el tiempo de permanencia activa de cada una de las cookies en la web de Iberia”. Por tanto, no es hasta un año y medio después de que la entidad asegurara que estaba modificando su página web y adaptándola a la normativa vigente, cuando parece haber terminado de adaptarla. Es por ello que, no se puede tener en considerado la afirmación que hace la entidad recurrente al afirmar que “La propuesta de sanción no está debidamente fundamentada, puesto que no se indica qué tipo de infracción se ha cometido según el precepto legal correspondiente, ni tampoco entra a evaluar los criterios de graduación de la sanción aplicable sino que se limita a aplicarla en su grado máximo” y que “la propuesta de sanción es incongruente con las alegaciones, averiguaciones y hechos probados en fase de instrucción, amén de contra los propios actos de la Agencia y del Sr. Instructor”; En base a todo lo expuesto anteriormente, no se puede atender a lo solicitado por la entidad reclamante en los puntos: Declarar de oficio la NULIDAD del expediente sancionador incoado por estar fundamentado en un requerimiento previo de la Agencia a IBERIA que sí habría sido atendido en tiempo y forma, habiéndose subsanado el motivo de la denuncia en que dicho requerimiento se sustentaba o en lo dispuesto en el artículo 39.bis.2. Pues los actos administrativos realizados en este procedimiento no han sido contrarios a lo indicado en el artículo 47 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Únicas situaciones donde al Administración puede declarar nulo el “expediente sancionador”. Tampoco procede declarar el archivo de dicho expediente sin imposición de sanción alguna a cargo de la entidad, ya que se ha acreditado que el motivo de la denuncia que da origen al procedimiento sancionador no fue subsanado hasta que la entidad conoció la existencia de un expediente sancionador abierto contra ella, por dichos, haciendo caso omiso a los requerimientos realizados por esta Agencia con anterioridad a la apertura del expediente y aunque el resto de supuestos incumplimientos por parte de entidad hubieran sido ajenos a la citada denuncia, no quita para que la web denunciada estuviera cometiendo una infracción de ley Por lo demás, como los hechos que han sido declarados probados no han sido puestos en cuestión por la entidad recurrente y del escrito de recurso de reposición presentado por la entidad, no se desprenden nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL (IBERIA) con CIF: A85850394, titular de la página web: www.iberia.com, contra la Resolución de esta Agencia Española de Protección de Datos dictada, con fecha 16/10/20, en el procedimiento sancionador PS/00032/2020 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 SEGUNDO: NOTIFICAR la presente resolución a la entidad, IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL (IBERIA) De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.