REPOSICION-PS-00299-2019

1/7  Procedimiento PS/00299/2019 180-100519 RESOLUCIÓN DEL RECURSO DE REPOSICIÓN Nº- RR/00276/2020 Examinado el recurso de reposición interpuesto por la entidad TWITTER INTERNATIONAL COMPANY, titular de la página web: ***URL.1, (en adelante “la entidad reclamada”), contra la resolución, dictada por la Directora de la Agencia Española de Protección de Datos, en el procedimiento, PS/00299/2019, y en base a los siguientes, ANTECEDENTES PRIMERO: con fecha 04/05/18, D. A.A.A., (en adelante, “el reclamante”), presentó escrito ante la Agencia Española de Protección de Datos, en la que, entre otras, denunciaba: “La red Twitter facilita información inadecuada sobre las cookies que utiliza, lo que afecta a usuarios y no usuarios de la red social. Twitter no identifica con claridad todos los usos y socios de Twitter que podrían utilizar esta información de las cookies. También existen cookies que se cargan directamente, sin acción alguna por parte de la persona que accede a la página inicial”. SEGUNDO: Con fecha 04/10/18 y 13/06/19, por los Servicios de Inspección de la Agencia Española de Protección de datos, se practican diligencias de investigación, teniendo conocimiento de lo siguiente: a).- Al acceder al sitio web ***URL.1, (página de bienvenida), y sin haber realizado ningún tipo de acción, se comprueba que se almacenan automáticamente en el navegador, las siguientes cookies: permanent e Uso _ga 2 años Está asociado con Google Universal Analytics, que es una actualización importante del servicio de análisis más comúnmente utilizado por Google. Esta aleatoriamente como un identificador de cliente. Se incluye en cada solicitud de página en un sitio y se utiliza para calcular los datos de visitantes, sesiones y campañas para los informes de análisis de sitios. . El propósito principal de esta _gat 1 minuto Este nombre de cookie está asociado con Google Universal Analytics, de acuerdo con la documentación que se utiliza para regular la tasa de solicitud, lo que limita la recopilación de datos en sitios de alto tráfico. Caduca a los 10 minutos. El propósito principal de esta cookie es: Rendimiento. _gid 1 dia Este nombre de cookie está asociado con Google Universal Analytics. Esto parece ser una nueva cookie y desde la primavera de 2017 no hay información disponible de Google. Parece almacenar y actualizar un valor único para cada página visitada. El propósito principal de esta cookie es: Rendimiento. _twitter_sess Caduca al fin d sesión permite que los visitantes del sitio web utilicen las funciones relacionadas con Twitter desde la página que visitan. El propósito principal de esta cookie es: Funcionalidad. Ct0 6 horas Aún no hay información general sobre esta cookie basada únicamente en su nombre. El propósito principal de esta cookie es: Desconocido. Guest_id 2 años Esta cookie está configurada por Twitter para identificar y rastrear al visitante del sitio web. El objetivo principal de esta cookie es: segmentación / publicidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Personalization_id 2 años Esta cookie lleva a cabo información sobre cómo el usuario final utiliza el sitio web y cualquier publicidad que el usuario final haya visto antes de visitar dicho sitio web. El objetivo principal de esta cookie es: segmentación / publicidad. b).- En esa primera página (primera capa), el banner sobre cookies es el siguiente: “Al usar los servicios de Twitter, aceptas nuestra política de cookies. Twitter y sus socios operan a nivel global y utilizan cookies para análisis, personalización y anuncios entre otras cosas. CERRAR. No existe ningún tipo de link, dentro del banner anterior, que redirija a una segunda capa para recibir más información sobre las cookies y para poder gestionar su uso. c).- No obstante, existe un link en la parte lateral de la página de inicio, con el título de “cookies”, pero fuera del banner indicado en el punto anterior, a través del cual, se puede acceder a la política de cookies. En esta segunda capa, se informa de: - Qué son las cookies, los píxeles y el almacenamiento local. Por qué y dónde usan estas tecnologías. Cuáles son las opciones de privacidad. Sobre las opciones que existen para controlar o limitar el uso de las cookies, se informa en los siguientes de los pasos que debe seguir el usuario: - - - Para controlar si Twitter almacenará información sobre otros sitios web en los que has visto contenido de Twitter, ajusta la configuración Registrar dónde ves contenido de Twitter en la web en la configuración de Personalización y datos. Si tienes esta configuración desactivada, o si te encuentras en la Unión Europea o en alguno de los estados miembro de la Asociación Europea de Libre Comercio, Twitter no almacenará ni usará las visitas a dichas páginas web para mejorar tu experiencia en el futuro. Si almacenamos anteriormente tu historial de navegación web, tu experiencia puede seguir siendo personalizada sobre la base de la información que ya se infirió de dicho historial. Si no quieres que Twitter te muestre anuncios basados en intereses dentro ni fuera de Twitter, hay varias maneras de desactivar esta función: En tu configuración de Twitter, ve a los ajustes de Personalización y datos y modifica la opción Personalizar anuncios. Desde la web, puedes visitar la herramienta de preferencias de los consumidores de Digital Advertising Alliance en optout.aboutads.info para desactivar los anuncios de Twitter basados en los intereses en tu navegador actual. Si no quieres que Twitter te muestre anuncios basados en los intereses en la aplicación de Twitter para iOS de tu dispositivo móvil actual, activa la opción “Limitar seguimiento de anuncios” en la configuración de tu teléfono iOS. Si no quieres que Twitter te muestre anuncios basados en los intereses en la aplicación de Twitter para Android de tu dispositivo móvil actual, activa la opción “Inhabilitar personalización de anuncios” en tu teléfono Android. Para controlar la personalización en todos los dispositivos en Twitter, ve a la configuración de Personalización datos y modifica la configuración Personaliza en todos tus dispositivos. Esta configuración determina si podemos vincular tu C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 - cuenta con otros navegadores o dispositivos diferentes de los que usas para iniciar sesión en Twitter (o bien, si no iniciaste sesión, si podemos vincular el navegador que estás usando con otros navegadores o dispositivos). Si deseas controlar los anuncios segmentados en función de los intereses que recibes de determinados socios de publicidad externos, puedes obtener más información sobre cómo dejar de recibir este tipo de anuncios en optout.aboutads.info y en www.networkadvertising.org/choices. Si estás en la versión web, también puedes deshabilitar Google Analytics si instalas el complemento de inhabilitación para navegadores de Google, y puedes cancelar el servicio de anuncios de Google basados en intereses mediante la configuración de anuncios de Google. Para el control del uso de las cookies, la página informa: - Para controlar las cookies, puedes modificar tu configuración en la mayoría de los navegadores web para aceptar o rechazar cookies, o para que se solicite tu autorización cada vez que un sitio web intente establecer una cookie. Aunque las cookies no son necesarias en algunas partes de nuestros servicios, es posible que Twitter y Periscope no funcionen correctamente si las desactivas por completo. Por ejemplo, no podrás iniciar sesión en twitter.com o en pscp.tv si desactivaste el uso de cookies por completo. TERCERO: Con fecha 13/09/19, la Directora de la Agencia Española de Protección de Datos (AEPD), acordó iniciar procedimiento sancionador contra la entidad reclamada, en virtud de los poderes establecidos en el artículo 43.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), por presunta infracción del artículo 22.2 de la citada norma, fijando una sanción inicial de 30.000 euros. Respecto a la notificación de la incoación del expediente, el Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, certificó que: “A través de dicho servicio se envió la notificación: - Referencia: ***REFERENCIA.1 Administración actuante: Agencia Española de Protección de Datos (AEPD) Titular: B86672318 Asunto: "Notificación disponible en la Carpeta o DEH del titular indicado" Con el siguiente resultado: Fecha de puesta a disposición: Fecha de rechazo automático: 13/09/2019 11:44:15 24/09/2019 00:00:00 El rechazo automático se produce, de forma general, tras haber transcurrido diez días naturales desde su puesta a disposición para su acceso según el párrafo 2, artículo 43, de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Y de forma particular, superado el plazo establecido por la Administración actuante de acuerdo a la normativa jurídica específica que sea de aplicación. Lo que se certifica a los efectos oportunos en Madrid a 24 de septiembre de 2019” CUARTO: En base a lo estipulado en el artículo 64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPAC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 CAP), con fecha 09/03/20, la Directora de la AEPD dicta resolución del expediente, PS/00299/2019, imponiendo a la entidad TWITTER INTERNATIONAL COMPANY, titular de la página web: ***URL.1, una sanción de 30.000 euros (treinta mil euros), por infracción del artículo 22.2 de la LSSI, argumentándolo, al igual que en la incoación del expediente, en que: “Si se accede a la página web, y sin haber realizado ningún otro tipo de acción se comprueba que se instalan cookies no necesarias en el equipo terminal. El mensaje que se edita para advertir sobre las cookies en la primera capa indica que, “si se sigue navegando se aceptan la utilización de cookies” pero no existe, en el banner, ningún link para acceder a la segunda capa. Para acceder a esta segunda capa se debe realizar a través de un link existente en la parte lateral de la página, con el título de “cookies”. En esta segunda capa, se proporciona información sobre las cookies pero remite a la configuración de los navegadores para eliminarlas o bloquearlas, no ofreciendo la posibilidad de denegar el consentimiento para su uso o de retirar el prestado”. Respecto a la notificación de la incoación del expediente, el Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, certificó que: “A través de dicho servicio se envió la notificación: - Referencia: ***REFERENCIA.2 Administración actuante: Agencia Española de Protección de Datos (AEPD) Titular: B86672318 Asunto: "Notificación disponible en la Carpeta o DEH del titular indicado". Con el siguiente resultado: Fecha de puesta a disposición: Fecha de rechazo automático: 10/03/2020 11:52:04 07/06/2020 00:00:00 El rechazo automático se produce, de forma general, tras haber transcurrido diez días naturales desde su puesta a disposición para su acceso según el párrafo 2, artículo 43, de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Y de forma particular, superado el plazo establecido por la Administración actuante de acuerdo a la normativa jurídica específica”. QUINTO: Con fecha 01/07/20, se recibe en esta Agencia recurso de reposición, enviado por la entidad reclamada, contra la resolución dictada por la Directora de la AEPD, en el que expone, entre otras, lo siguiente: “D. B.B.B., en nombre y representación de TWITTER INTERNATIONAL COMPANY ("Twitter-R INTERNATIONAL"), con domicilio social en ***DIRECCIÓN.1, Irlanda, en condición Delegado de Protección de Datos de Twitter International Company, ante la Agencia Española de Protección de Datos (la "AEPD") comparece y como mejor proceda en Derecho: Como cuestión preliminar debe señalarse que Twitter Spain SL. es una sociedad española que no es prestadora de los servicios de la sociedad de la información en cuestión (i.e. el servicio de Twitter prestado a través del sitio web ***URL.1). Como se indica claramente en las condiciones de uso de Twitter y como se ha confirmado en ocasiones anteriores a la AEPD, el único prestador del servicio de Twitter en la UE no es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Twitter Spain sino Twitter International, una sociedad con domicilio y registrada en Irlanda. Twitter International presta y gestiona el servicio de Twitter en relación con todos los usuarios que se encuentran en la UE (incluidos los usuarios españoles). Se adjunta como una captura de pantalla de las condiciones del servicio de en las que se identifica a Twitter International como prestador del servicio respecto de los usuarios de la UE. Además, Twitter Spain no es una sucursal, representante o establecimiento de Twitter Internacional ya que las dos sociedades son dos entidades jurídicas distintas -aunque formen parte del mismo grupo de empresas- sin ninguna relación jerárquica ni de partición accionarial directa entre ellas, Además, en la norma sustantiva supuestamente infringida por Twitter International (LSSI) no se prevé ninguna regla relativa a la asunción de responsabilidades de empresas del grupo (o reglas equivalentes) por los servicios prestados por otra sociedad (en este caso, Twitter International). De la escasa información que Twitter International ha podido obtener hasta la fecha en relación con el Procedimiento, se desprende que la AEPD ha entregado o ha intentado entregar todas las notificaciones relativas al Procedimiento a Twitter Spain, sin tener en cuenta que esta sociedad no es ni la prestadora del servicio de Twitter ni la sociedad que supuestamente infringe la normativa de cookies de acuerdo con la Resolución. Si se confirma esta circunstancia, la AEPD ha eludido la entrega de cualesquiera notificaciones y escritos relativos a la apertura, desarrollo y resolución del Procedimiento (las "Notificaciones") a Twitter Internacional, que es la empresa (o una de las empresas) que parece haber sido sancionada. Esto infringe todas las garantías legales aplicables a los procedimientos sancionadores conforme a la legislación española y reconocidas por la Constitución y su normativa de desarrollo, y en particular, entre otros, los artículos 40 y 53 de la Ley 39/2015, por lo que debe acarrear la nulidad de la Resolución. De hecho, las únicas noticias que ha tenido Twitter International en relación con el inicio, existencia y finalización del Procedimiento y la Resolución han sido consecuencia de los directos realizados por periodistas a Twitter International y de las noticias publicadas en los medios de comunicación en torno a la sanción impuesta. Esto llevó a Twitter International a buscar e identificar la publicación de la Resolución en la página web de la AEPD, pero una vez ya había finalizado el Procedimiento y la Resolución había sido adoptada y publicada en la AEPD. Incluso una vez Twitter International tuvo conocimiento de la Resolución tras su publicación, todos los intentos de Twitter International de acceder al expediente completo y de que se le entregasen directamente las notificaciones relativas al Procedimiento han sido rechazados por el AEPD. Tal es el caso, por ejemplo, del escrito presentado por Twitter International a la AEPD el 12 de junio de 2020 (cuya copia se adjunta como 2) en el que Twitter International pidió que se le entregase una copia completa del expediente administrativo directamente a Twitter International por diferentes medios, solicitud que no ha sido concedida por la AEPD. Por lo tanto, los intentos de Twitter International de facilitar cualquier tipo de comunicación directa -incluso por medios directos y expeditivos, como el correo electrónico, han sido rechazados por la AEPD sin más explicaciones, a pesar de que la AEPD ha sancionado a Twitter International. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 No cabe en derecho que la AEPD pueda sancionar a Twitter International sin ninguna notificación, y luego se niegue a proporcionar a Twitter International cualquier documentación al respecto cuando se le es solicitada- Además, como no se ha facilitado a Twitter International una copia del expediente administrativo, se ha obstaculizado materialmente el presente derecho a recurrir de Twitter International, ya que Twitter International carece, a esta fecha, de la información básica sobre la presunta infracción o sobre las pruebas recabadas por la AEPD, y que forman parten del expediente, siendo toda esta información esencial para su defensa. Como resultado de que la AEPD designase incorrectamente la parte a la que dirigir todas las notificaciones relativas a las actuaciones (las "Notificaciones"), Twitter International ha sido privada de sus derechos a participar y formar parte en el Procedimiento y a defender su posición contra la infracción alegada por la AEPD Esta privación equivale a una infracción material de las normas más esenciales previstas en la Constitución Española (por ejemplo, los artículos 25 y 9.3) y sus de desarrollo respecto a sobre cómo debe desarrollarse el procedimiento administrativo sancionador, incluidas las normas que establecen las garantías de los interesados a ser parte en el procedimiento y a poder defenderse recogidas en la Ley 39/2015. Estos hechos deben resultar en la declaración de la nulidad del Procedimiento y de la Resolución, Conforme al artículo 35 de la Ley 39/2015, los actos administrativos deben ser necesariamente motivados. Sin embargo, la Resolución no motiva ni identifica claramente siquiera la entidad que es sancionada, al imponer la sanción a "Twitter International Comp.my (Twitter Spain, SL). Dada la falta de motivación suficiente de la Resolución, Twitter International ni siquiera puede identificar claramente el sujeto sancionado por la Resolución o descartar que la voluntad de la AEPD sea sancionar a ambas entidades jurídicas, Twitter International y Twitter Y, si ese fuera el eso, cuáles son los hechos que se atribuyen a cada una de las dos empresas. La falta de cualquier tipo de motivación o claridad de la Resolución esta cuestión básica y esencial en cualquier procedimiento supone la infracción de todos los principios básicos aplicables a los procedimientos incluidos los principios de culpabilidad y personalidad de la pena, reconocidos por la Constitución española, las normas de desarrollo y la jurisprudencia aplicable, incluida, entre otras la Sentencia del Tribunal Constitucional de 26 de abril de 1990”. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). II En relación con las manifestaciones efectuadas por la entidad recurrente en su escrito de recurso de reposición que se han incluido es esta resolución, y considerando dichas alegaciones, se debe estima el presente recurso de reposición, dejando sin efecto la resolución sancionadora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR el recurso de reposición interpuesto por TWITTER INTERNATIONAL COMPANY contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 09/03/20, en el procedimiento sancionador PS/00299/2019, indicando al sancionado que queda sin efecto la obligación de abonar la multa impuesta en la resolución recurrida. SEGUNDO: NOTIFICAR la INTERNATIONAL COMPANY. presente resolución a la entidad, TWITTER De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es