REPOSICION-PS-00349-2022

1/29  Expediente nº.: EXP202306257 (RR/00640/2023) IMI Reference: A56ID 438120 – A60DD 448732 – Case Register - 448157 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por VACACIONES EDREAMS, S.L. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 26 de julio de 2023, y en base a los siguientes HECHOS PRIMERO: Con fecha 26 de julio de 2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202306257, en virtud de la cual se ordenaba a VACACIONES EDREAMS, S.L., por una infracción del Artículo 44 del RGPD, tipificada en el Artículo 83.5 del RGPD, adaptar la actividad de tratamiento de datos realizada mediante el servicio de Google Analytics a lo dispuesto en los artículos 44 y siguientes del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, en particular mediante el cese de la transferencia internacional de datos hasta que se acredite que el servicio de Google Analytics cumple con las citadas disposiciones del Reglamento. Dicha resolución, que fue notificada a la parte recurrente en fecha 31 de julio de 2023, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00349/2022, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO: A.A.A. (la parte reclamante) el 14/08/2020 a las 4:44:00 hs, visitó el sitio web ***URL.1 mientras estaba conectado a la cuenta de Google asociada a la dirección ***EMAIL.1 perteneciente a la parte reclamante. A través de código HTML incrustado en la página web “***URL.1”, se han recogido datos personales (al menos, la dirección IP y "cookies") de la parte reclamante y se han transferido a Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, EE. UU., a través de los servicios de Google Analytics y Google Ads contratados por el responsable del portal, EDREAMS. Al visitar la parte reclamante la citada página web se han realizado las siguientes peticiones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/29 1. Una petición GET a la URL ***URL.2, donde se incluyen cookies y campos de la petición con, entre otros, los siguientes valores: Campo User-Agent Valor (…) _ga __gads _gid (…) (…) (…) 2. Una petición GET a la URL ***URL.3 , donde se incluyen cookies y campos de la petición con, entre otros, los siguientes valores: Campo UserAgent NID acceptlanguage u1 Valor (…) (…) (…) (…) 3. Una petición POST a la URL ***URL.4 con la siguiente cabecera y parámetros codificados en el payload, entre otros: Cabecera (…) Campo UserAgent gjid cid tid _gid acceptlanguage Valor (…) (…) (…) (…) (…) (…) SEGUNDO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, EDREAMS ha introducido el código de la herramienta Google Analytics en su sitio web ***URL.1 y en la actualidad lo sigue incrustando. TERCERO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, las estadísticas de Google Analytics fueron recogidas de interesados en los Estados Miembros donde EDREAMS concentra su actividad; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/29 Alemania, Austria, Chequia, Dinamarca, España, Francia, Finlandia, Grecia, Hungría, Italia, Países Bajos, Polonia, Portugal, Rumania, Suecia. CUARTO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, los datos de la herramienta Google Analytics se acceden principalmente desde las oficinas de EDREAMS de España liderada por la responsable del equipo de Analytics, pero también desde Francia y Alemania por el equipo director de cada país. QUINTO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, EDREAMS solo comunican los datos recopilados a través de Google Analytics a GOOGLE. Y en el caso de que el usuario proporcione su consentimiento para cookies de publicidad y no bloquee las cookies en su navegador, serán también destinatarias las herramientas Google Ad Manager y Google Ads. SEXTO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, la base legal de la incorporación de la Herramienta es el doble legítimo interés de entender cómo se usa el sitio web de EDREAMS y proporcionar un mejor servicio a los usuarios. SÉPTIMO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, la base legal inicial de la transferencia internacional de datos por parte de EDREAMS recaía en el Certificado del Escudo de Privacidad hasta su nulidad y las cláusulas tipo de protección de datos adoptadas por la Comisión ("Cláusulas Contractuales Tipo", o "CCT"), desde agosto de 2020, junto con las medidas complementarias adecuadas proporcionadas por Google. OCTAVO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, EDREAMS no tuvo la opción de transferir o no datos fuera del EEE al utilizar Google Analytics, dado que la configuración de la herramienta no lo permite. NOVENO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, EDREAMS trata los datos de navegación y comportamiento de los clientes en sus sitios web seudonimizados mediante un identificador cookie “Cookie ID” que le permite analizar cómo el usuario a través de su dispositivo accede e interactúa con su sitio web y su identificador interno para analizar los resultados a nivel estadístico. El “Booking ID” (identificador interno de reservas) es utilizado por EDREAMS para identificar la ratio de conversión de ventas. Así como el “Checked Booking ID” les permite saber cuántas personas han entrado en la sección de “Gestionar mi reserva” y han seleccionado cancelar o modificar la misma. Los "Session, Session or eDOuser ID" permiten limitar al máximo la cantidad de datos que EDREAMS tiene en Google Analytics y los utilizan para resolver problemas técnicos. Por todo ello, los datos se circunscriben a cómo los usuarios, mediante sus dispositivos, interactúan con el sitio web de EDREAMS (datos de navegación internos al sitio web). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/29 En ningún caso se tratan categorías especiales de datos definidas en el artículo 9.1 del RGPD, ni se procesan datos de personas particularmente vulnerables. Tampoco se procesan datos no seudonimizados. DÉCIMO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, GOOGLE puede tener conocimiento de los datos personales de los usuarios de forma automática, al guardarse la información en su propia plataforma. El código de la herramienta Google Analytics se integra directamente cuando el usuario accede al sitio web de EDREAMS. Cualquier finalidad que se aleje de analizar el uso del citado sitio web, como por ejemplo, la publicitaria, no se activará hasta que no haya el previo consentimiento del usuario. Esto es, en el caso en el que el usuario no proporcione consentimiento, Google Analytics no se conectará con Google Ad Manager y Google Ads de ninguna forma. DÉCIMO PRIMERO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, los datos se almacenan por el plazo de 26 meses, que es el plazo que les permite hacer comparativas versus el año anterior. DÉCIMO SEGUNDO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, los datos se almacenaban según cláusula 10.3 del vigente documento “Condiciones para el tratamiento de datos de Google Ads”, cuyos términos o configuración no permitían el cambio por parte de EDREAMS. DÉCIMO TERCERO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, de los cinco fines para compartir datos con GOOGLE exclusivamente EDREAMS tenía activado el de servicio técnico de GOOGLE para que puedan resolver cualquier incidencia, sin que GOOGLE lo pueda usar para otros fines. DÉCIMO CUARTO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, las cookies no se refrescan pese a que el usuario vuelva a visitar el sitio web por lo que la duración de 13 meses es estática. DÉCIMO QUINTO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, aparte del propio servicio de la herramienta Google Analytics, se conectan los datos con otros servicios cuando medie previo consentimiento con: Google Ads Linking: que vincula la cuenta Google Ads a la de Analytics permitiendo ver el ciclo completo del cliente, desde cómo los usuarios interactúan con el marketing hasta cómo finalmente se consiguen los objetivos que se han establecido en el sitio web. Adsense Linking: que permite ver los datos de AdSense en Analytics, así como las métricas clave de Analytics en las tarjetas de la página de inicio de AdSense. Google Ad Manager Linking: una vez que se enlazan las cuentas de Ad Manager y Analytics, las métricas de Ad Manager estarán disponibles en Analytics. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/29 Optimize and Tag Manager linking: Google Optimize permite probar y personalizar el sitio web utilizando los datos de Google Analytics para la medición y targeting. Ad Exchange Linking: que permite recibir datos del Ad Exchange dentro de la cuenta de Analytics respecto a datos estadísticos de publicidad. Campaign Manager 360 Linking: que permite habilitar la importación a Analytics 360 de datos estadísticos de campañas de Campaign Manager 360 y datos de costes. DÉCIMO SEXTO: A 10/12/2020, EDREAMS tenía los siguientes servicios enlazados con la herramienta Google Analytics: a. “AdSense. Vinculado activamente. Recibiendo información. AdSense te ayuda a ganar dinero al mostrar anuncios en tu sitio web que son relevantes para tu audiencia.[…]” b. “Google Adds. Vinculado activamente. Enviando y recibiendo información. Google Ads es un programa de publicidad online que te ayuda a alcanzar a tus clientes y hacer crecer tu negocio, mejora tus campañas de anuncios y analiza el viaje completo del cliente- desde que pincha en el anuncio a la conversión.” c. “Ad Exchange. Vinculado activamente. Recibiendo información. Ad Exchange te ayuda a ganar dinero al mostrar anuncios en tu sitio web que son relevantes para tu audiencia. Correlaciona las métricas clave de AdExchange, como eCPM e impresiones unitarias, con más datos de Analytics”. d. “Campaign Manager 360. Vinculado activamente. Recibiendo información. Campaign Manager 360 es una solución de gestión y publicación de anuncios que ayuda a las agencias y anunciantes a gestionar el alcance total de los programas de publicidad digital. Esta integración permite a los clientes de Google Analytics 360 ver y analizar los datos de Campaign Manager 360 en Analytics.” e. “Google Optimize and Tag Manager for website and app optimization. Vinculado activamente. Recibiendo información. Google Optimize te permite probar y personalizar tu sitio web usando Google analytics para medir y personalizar. […]” f. “Search Console. Vinculado activamente. Recibiendo información. Search Console te puede ayudar a entender cómo los usuarios encuentran tu sitio web a través de Google búsquedas, identificar formas de atraer más atención a tu sitio web y priorizar los esfuerzos de desarrollo.” DÉCIMO SÉPTIMO: A 10/12/2020, EDREAMS tenía la siguiente configuración de la cuenta de Google Analytics en el apartado de “Data Sharing Settings”: a. “Google product&services”. No seleccionado. b. “Benchmarking”. No seleccionado. c. “Technical Support”. Seleccionado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/29 d. “Account specialists”. No seleccionado. e. “Give all Google sales experts Access to your data and account so you can get more in Depth analysis, insights and recommendations across Google products”. No seleccionado. 26 meses era el periodo de retención siendo el periodo mínimo seleccionable de 14 meses y el máximo de 50 meses. Y existía la opción seleccionable de no borrar automáticamente los datos tras un periodo concreto, pero no estaba seleccionada. DÉCIMO OCTAVO: A 10/12/2020, GOOGLE IRELAND LTD. actuaba como encargado del tratamiento. DÉCIMO NOVENO: A 10/12/2020, en el Contrato de adhesión propuesto por GOOGLE “Condiciones para el tratamiento de datos de Google Ads”, del enlace https://privacy.google.com/businesses/processorterms/, constaba que: “[…] 2.5 En caso de que estas Condiciones del tratamiento de datos fuesen traducidas a cualquier otro idioma y se diese alguna discrepancia entre la versión en inglés y el texto traducido, la versión en inglés será la aplicable. […]” VIGÉSIMO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, desde el mismo día en que se publicó la STJUE C311/18, EDREAMS consideró que debían actualizar su contratación eliminado la base legal del Escudo de Privacidad e incluyendo las Cláusulas Contractuales Tipo, que debían analizar los riesgos para los interesados teniendo en cuenta el tipo de datos personales tratados, que debían revisar las medidas adicionales a las ya contenidas en las Cláusulas Contractuales Tipo. Y, respecto al Escudo de Privacidad, GOOGLE propuso en un mes (16 de agosto de 2020) su nueva versión con los cambios en las “Condiciones para el tratamiento de datos de Google Ads”. Y se eliminó la transferencia de la IP de quien visita la web. VIGÉSIMO PRIMERO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, en un email enviado entre EDREAMS y GOOGLE en fecha 24 de septiembre, GOOGLE declaró haber implementado las siguientes salvaguardas adicionales para garantizar la protección de datos de Google Analytics: i. Google Analytics garantiza la transmisión segura de sus bibliotecas de Javascript y de los datos de medición a través del protocolo HTTP Strict Transport Security (HSTS). ***URL.5. ii. Anonimización de IP. GOOGLE ofreció la posibilidad de anonimizar las IP. Si se activa esta opción, las IP se borran inmediatamente después de la recolección y nunca se almacenan en disco. Que esta medida fue implementada desde eDreams. ***URL.6 iii. Google ha obtenido la certificación ISO 27001 en relación a Google Analytics. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/29 iv. Según GOOGLE, tienen un equipo que revisa cuidadosamente cada solicitud de datos de los usuarios que reciben de las autoridades gubernamentales. Informe de transparencia en ***URL.7 y sus políticas en ***URL.8. v. Encriptación para proteger los datos personales contra la interceptación en tránsito. VIGÉSIMO SEGUNDO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, la base legal para la transferencia internacional de datos tiene como base legal el Escudo de Privacidad hasta su nulidad y las cláusulas contractuales tipo adoptadas por la Comisión desde agosto de 2020, junto con las medidas complementarias adecuadas proporcionadas por GOOGLE. Las cláusulas contractuales tipo se localizan en ***URL.9. VIGÉSIMO TERCERO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, en caso de que cualquier agencia estadounidense de seguridad quisiera obtener acceso a los datos recogidos por EDREAMS en la Herramienta Google Analytics, en primer lugar, no podría hacerlo de forma directa, sin enviar solicitud a Google, ya que dichos datos están encriptados. Asimismo, Google tiene procesos internos para cuestionar cualquier requerimiento de la administración norteamericana que considere desproporcional o incompatible con la normativa de protección de datos europea o con las Cláusulas Contractuales Tipo. Pero en el hipotético caso de que la agencia estadounidense correspondiente terminase accediendo a los datos, no podrá saber qué persona concreta se encuentra detrás de los datos recogidos en la Herramienta a través de los identificadores, ya que solo los datos personales que permitirían una identificación directa están protegidos por EDREAMS y almacenados dentro del Espacio Económico Europeo. VIGÉSIMO CUARTO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, “La OE 123331 (...) organiza y asigna funciones y responsabilidades a la comunidad de inteligencia de los Estados Unidos y articula principios de alto nivel que toda actividad de inteligencia debe cumplir. Las actividades específicas de inteligencia realizadas en virtud de la OE NO 12333 están sujetas a procedimientos de aplicación más específicos (que pueden ser clasificados) que incluyen salvaguardias y protecciones apropiadas para ese tipo de actividad de inteligencia. La OE 12333 rige principalmente las actividades de inteligencia que se realizan fuera de los Estados Unidos. Se entiende que la OE 12333 permite a los Estados Unidos llevar a cabo una vigilancia electrónica fuera de los Estados Unidos de conformidad con los requisitos legales de los Estados Unidos; no autoriza la vigilancia electrónica dentro de los Estados Unidos ni impone requisitos a los proveedores de servicios dentro o fuera de los Estados Unidos. El artículo 702 de la Ley de enmiendas de la FISA, que también exige al Gobierno de los Estados Unidos que reduzca al mínimo el uso y la difusión de datos, tiene dos componentes: El artículo 702 "Upstream" autoriza a las autoridades de los Estados Unidos a recopilar datos que viajan a través de la infraestructura "troncal" de Internet controlada por los 1 Orden Ejecutiva 12333 de los Estados Unidos (en adelante, OE 12333 o EO 123333) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/29 proveedores de servicios de comunicación electrónica de los Estados Unidos (por ejemplo, los proveedores de telecomunicaciones de los Estados Unidos). En la medida en que los datos de cualquier usuario o cliente atraviesen las redes sujetas a la recopilación de la sección 702 de Upstream, esos datos se cifran en tránsito como se ha descrito anteriormente. La sección 702 "Downstream" autoriza a las autoridades de los Estados Unidos a obtener datos específicos directamente de los proveedores de servicios de comunicación electrónica. En la medida en que Google LLC pueda estar sujeto a solicitudes específicas relacionadas con los datos de los clientes de Google en virtud de la sección 702 Downstream, revisamos detenidamente cada solicitud que recibimos en virtud de la normativa FISA de acuerdo con las directrices descritas a continuación para asegurarnos de que cumple todos los requisitos legales aplicables y las políticas de Google". VIGÉSIMO QUINTO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, Google declara que si cualquier gobierno solicitara acceder a datos personales almacenados en los sistemas de Google en el curso de una investigación, un equipo dedicado de abogados de Google y personal especialmente capacitado revisará cuidadosamente la solicitud para verificar que sea legal, proporcionada y que cumpla con las políticas de Google. Google declara que la infraestructura de Google no está diseñada para, y no da al gobierno de los Estados Unidos ni a ningún otro gobierno "puerta trasera" acceso a los datos de los clientes o a sus servidores que almacenan datos de los clientes. Además, Google declara que utiliza sólidas medidas técnicas (como la encriptación) para protegerse contra la interceptación en tránsito, incluidos los intentos de vigilancia de las autoridades gubernamentales de todo el mundo. Google declara que Google Analytics utiliza por defecto el protocolo HTTP Strict Transport Security (HSTS), que indica a los navegadores que soportan HTTP sobre SSL (HTTPS) que utilicen ese protocolo de encriptación para todas las comunicaciones entre los usuarios finales, los sitios web y los servidores de Google Analytics. Google declara que protege las comunicaciones de servicio a servicio en la capa de aplicaciones mediante un sistema de autenticación mutua y de encriptación de Google declara que después de que un protocolo de handshake entre el cliente y el servidor se completa y el cliente y el servidor negocian los secretos criptográficos compartidos necesarios para encriptar y autenticar el tráfico de la red, AL TS asegura el tráfico RPC (Remote Procedure Call) forzando la integridad, y la encriptación opcional, usando los secretos compartidos negociados. Google soporta múltiples protocolos para garantizar la integridad, por ejemplo, AES-GMAC (Advanced Encryption Standard) con claves de 128 bits. Siempre que el tráfico sale de una frontera física controlada por o en nombre de Google, por ejemplo, en tránsito a través de WAN (Wide Area Network) entre centros de datos, todos los protocolos se actualizan automáticamente para proporcionar cifrado así como garantías de integridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/29 Google declara que cifra los datos de Google Analytics que se almacenan en reposo en sus centros de datos mediante el estándar de cifrado avanzado. Cada centro de datos está protegido con seis capas de seguridad física diseñadas para impedir el acceso no autorizado. La encriptación "en reposo" en esta sección significa la encriptación utilizada para proteger los datos del usuario que se almacenan en un disco (incluidas las unidades de estado sólido) o en un medio de copia de seguridad. Todos los datos del usuario se cifran a nivel de almacenamiento, generalmente utilizando el estándar de cifrado avanzado (AES256). Los datos suelen estar cifrados en varios niveles en la pila de almacenamiento de producción de Google en los centros de datos, incluso a nivel de hardware, sin que sea necesaria ninguna acción por parte de los clientes de Google. Google declara que utiliza bibliotecas criptográficas comunes que incorporan el módulo validado FIPS 140-2 de Google, para implementar la encriptación de manera consistente en todos los productos. El uso consistente de bibliotecas comunes significa que sólo un pequeño equipo de criptógrafos necesita implementar y mantener este código estrechamente controlado y revisado. Google declara que construye servidores exclusivos para sus centros de datos y mantiene un equipo de seguridad líder en el sector para garantizar que los centros de datos de Google se encuentren entre los más seguros del mundo. Los centros de datos de producción de Google están protegidos por varias capas de seguridad para evitar cualquier acceso no autorizado a los datos. Google declara que limita el acceso a los datos personales de publicidad y análisis de Google al personal de Google que los necesita para realizar su trabajo. Google declara que los clientes que utilizan Google Analytics pueden activar la anonimización de IP para indicar a Google que anonimice todas las direcciones IP inmediatamente después de que se recojan. Si se activa, en ningún momento se escribe la dirección IP completa en el disco, ya que toda la anonimización se produce en la memoria casi instantáneamente después de recibir la solicitud. Google declara que en la medida en que los datos de Google Analytics para la medición transferidos por los clientes son datos personales, tendrían que ser considerados como seudónimos. Las condiciones de servicio de Google Analytics ordenan que no se transfieran a Google datos que Google pueda utilizar o reconocer como información personal identificable (PII). Google ha obtenido la certificación ISO 27001 y permitirá a los clientes o a un auditor de terceros designado por un cliente realizar auditorías (incluidas inspecciones) para verificar el cumplimiento de las obligaciones de Google. VIGÉSIMO SEXTO: A 3 de febrero de 2021, en el enlace ***URL.1 en la política de privacidad de EDREAMS constaba que: “[…] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/29 V. Actividades de marketing. Utilizamos tu información con fines de marketing, entre otros: […] II. Información que recopilamos automáticamente cuando utilizas nuestros servicios. a. Información de tu dispositivo (por ejemplo, tu dirección de IP, el tipo de navegador, los proveedores de servicios de Internet, la ubicación geográfica, la información técnica del dispositivo, la hora y la duración de la solicitud y la visita y el método utilizado para enviar tu solicitud al servidor). Cuando visitas nuestros sitios web o nuestra app, recopilamos automáticamente determinada información de tu dispositivo. Ten en cuenta que es posible que asociemos dicha información con tu cuenta. b. Otra información técnica, por ejemplo, cómo ha interactuado tu dispositivo con nuestro sitio web o nuestra app (por ejemplo, las páginas a las que has accedido, los enlaces en los que has hecho clic, etc.) u otros medios. […] Si te registras en nuestro sitio web con la cuenta de una red social, vinculas la cuenta que usas en nuestro sitio web con tu cuenta de la red social o utilizas alguna otra de nuestras funciones de redes sociales, podemos acceder a información sobre ti a través de dicho proveedor de redes sociales, de acuerdo con las políticas de dicho proveedor. La información puede incluir tu nombre, dirección de e-mail, foto de perfil, género, lista de amigos y cualquier otra información que nos autorices a recibir. Parte de esta información puede recopilarse mediante cookies o con tecnología de seguimiento similar. El tratamiento de la información recopilada a través de cookies se basa en distintos fundamentos legales (por ejemplo, puede ser necesario para proporcionar nuestros servicios en base a tu consentimiento). Para obtener más información, consulta nuestra Política de cookies. […] III. Transferencias internacionales de datos. Nuestros servidores están ubicados en la Unión Europea. Sin embargo, para facilitar nuestras operaciones mundiales (realizadas por proveedores de servicios externos) la transmisión de datos personales a los destinatarios anteriormente descritos puede incluir transferencias internacionales de datos personales a países cuya normativa de protección de datos no es tan completa como la de los países dentro de la Unión Europea. En estas situaciones, según se requiera, realizamos acuerdos contractuales para garantizar que tus datos personales siguen protegidos de acuerdo con los estándares europeos. […]” VIGÉSIMO SÉPTIMO: A 3 de febrero de 2021, en la url ***URL.10 constaba que (traducción no oficial, en inglés en el original): “Términos del Tratamiento de Datos de Google Ads: Cláusulas Modelo del Contrato C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/29 Cláusulas Contractuales Estándar (Encargados) Para la transferencia de datos personales a encargados establecidos en terceros países que no aseguran un nivel adecuado de protección de datos Nombre de la organización que exporta los datos: la entidad identificada como el “Cliente” en los Términos del Tratamiento de Datos (el exportador de datos) y Nombre de la organización que importa los datos: Google LLC, 1600 Amphitheatre Parkway, Mountain View, California 94043 USA (el importador de datos) […] Cláusula 4 Obligaciones del exportador de datos El exportador de datos acuerda y garantiza: (

1. a)que el tratamiento, incluida la transferencia en sí, de los datos personales ha sido y será llevada a cabo de acuerdo con las disposiciones relevantes de la legislación de protección de datos aplicable (y, en su caso, haya sido notificado a las autoridades relevantes del Estado Miembro donde esté establecido el exportador de datos) y no viola las disposiciones relevantes de ese Estado; (
2. b)que ha instruido y durante la duración de los servicios de tratamiento de los datos personales instruirá al importador de datos para que trate los datos personales transferidos solo por cuenta del exportador de datos y de acuerdo con la legislación de protección de datos aplicable y las Cláusulas; (
3. c)que el importador de datos dará garantías suficientes respecto de las medidas de seguridad técnicas y organizativas especificadas en el Apéndice 2 de este contrato; (
4. d)que luego de analizar los requerimientos de la legislación de protección de datos aplicable, las medidas de seguridad son adecuadas para proteger los datos personales contra destrucción accidental o ilícita o pérdida accidental, alteración, revelación no autorizada o acceso, en particular si el tratamiento implica la transmisión de datos por una red, y contra toda otra forma de tratamiento ilícito, y que estas medidas aseguran un nivel de seguridad apropiado a los riesgos que presenta el tratamiento y la naturaleza de los datos a proteger teniendo en cuenta el estado del arte y el coste de su implementación; […] Cláusula 5 Obligaciones del importador de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/29 El importador de datos acuerda y garantiza: (
5. a)tratar los datos personales solo por cuenta del exportador de datos y en cumplimiento de sus instrucciones y las Cláusulas; si no pudiera cumplir por cualquier razón, acuerda informar debidamente al exportador de datos de su imposibilidad de cumplir, en cuyo caso el exportador de datos puede suspender la transferencia de los datos y/o finalizar el contrato; (
6. b)que no tiene razones para creer que la legislación aplicable le impide cumplir con las instrucciones recibidas del exportador de datos y sus obligaciones bajo el contrato y que en el supuesto de un cambio en esta legislación que es probable que tenga un efecto adverso sustancial sobre las garantías y obligaciones establecidas por la Cláusulas, notificará inmediatamente el cambio al exportador de datos tan pronto como tenga conocimiento, en cuyo caso el exportador de datos puede suspender la transferencia de los datos y/o finalizar el contrato; (
7. c)que ha implementado las medidas de seguridad técnicas y organizativas especificadas en el Apéndice 2 antes de tratar los datos personales transferidos; (
8. d)que notificará inmediatamente al exportador de datos sobre: (
9. i)cualquier solicitud legalmente vinculante de divulgación de los datos personales por parte de una autoridad encargada de hacer cumplir la ley a menos que esté prohibido, como una prohibición bajo […] […] Cláusula 8 Cooperación con las autoridades de supervisión 1. El exportador de datos acuerda depositar una copia de este contrato en la autoridad de supervisión si esta solicitud o depósito fuera obligatorio bajo la legislación de protección de datos aplicable. 2. Las partes acuerdas que la autoridad de supervisión tiene el derecho a llevar a cabo una auditoría del importador de datos, y de cualquier sub-encargado, que tiene el mismo alcance y está sujeto a las mismas condiciones que aplicaría a una auditoría del exportador de datos bajo la legislación de protección de datos aplicable. […] Apéndice 2 a las Cláusulas Contractuales Estándar Este Apéndice forma parte de las Cláusulas. Descripción de las medidas de seguridad técnicas y organizativas implementadas por el importador de datos de acuerdo con las Cláusulas 4(
10. c)y 5(
11. c)(o documento/legislación adjunto): El importador de datos actualmente cumple con las Medidas de Seguridad establecidas en el Apéndice 2 de los Términos del Tratamiento de Datos en ***URL.11. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/29 […]” VIGÉSIMO OCTAVO: A 3 de febrero de 2021 en la url ***URL.12 constaba: “Condiciones para el tratamiento de datos de Google Ads Google y la contraparte que acepta las presentes Condiciones (el "Cliente"), han celebrado un contrato para la prestación de los Servicios del encargado del tratamiento (con sus enmiendas puntuales, el "Contrato”) Las presentes Condiciones del tratamiento de datos de los anuncios de Google, (las "Condiciones del tratamiento de datos") se suscriben por Google y el Cliente y complementan al Contrato. […] Introducción Las presentes Condiciones del tratamiento de datos reflejan el acuerdo de las partes sobre las condiciones que rigen el tratamiento de determinados datos personales en relación con la Legislación europea de protección de datos y con determinada Legislación no europea de protección de datos. Definiciones e interpretación […] "Leyes Europeas o Nacionales": según corresponda: (
12. a)las leyes de la UE o sus Estados Miembros (si el RGPD UE aplica al tratamiento de Datos Personales del Cliente); y/o (
13. b)la ley de Reino Unido o una parte de Reino Unido (si el RGPD de Reino Unido aplica al tratamiento de Datos Personales del Cliente). […] "Google": la Entidad de Google que sea parte del Contrato. "Subencargados del tratamiento de datos de filiales de Google" tiene el significado dado en la Sección 11.1 (Consentimiento para la contratación del Subencargado del tratamiento de datos). "Entidad de Google": Google LLC (anteriormente conocido como Google Inc.), Google Ireland Limited o cualquier otra Filial de Google LLC. […] 5. Tratamiento de datos 5.1 Roles y cumplimiento normativo; autorización. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/29 5.1.1 Responsabilidades del encargado del tratamiento y del responsable del tratamiento. Las partes reconocen y aceptan que: (
14. a)El Apéndice 1 describe el objeto y los detalles del tratamiento de los Datos personales del cliente; (
15. b)Google es un encargado del tratamiento de Datos personales del cliente con arreglo a la Legislación europea de protección de datos; (
16. c)El Cliente es un responsable del tratamiento o encargado del tratamiento, según corresponda, de Datos personales del cliente con arreglo a la Legislación europea de protección de datos; y (
17. d)cada parte cumplirá las obligaciones que le correspondan en virtud de la Legislación europea de protección de datos con respecto al tratamiento de Datos personales del cliente. […] 5.2. Instrucciones del cliente. Al celebrar las presentes Condiciones del tratamiento de datos, el Cliente instruye a Google para que efectúe el tratamiento de los Datos personales del cliente solo de acuerdo con la legislación aplicable: (a)para proporcionar los Servicios del encargado del tratamiento y cualquier soporte técnico relacionado; (
18. b)tal y como se especifica más a través del uso por parte del Cliente de los Servicios del encargado del tratamiento (incluida la configuración y otras funcionalidades de los Servicios del encargado del tratamiento) y cualquier soporte técnico relacionado; (
19. c)según se documenta por medio del Contrato, incluidas las presentes Condiciones del tratamiento de datos; y (
20. d)tal y como se documenta en otras instrucciones proporcionadas por escrito por el Cliente y reconocidas por Google como instrucciones constitutivas para los propósitos de las presentes Condiciones del tratamiento de datos. 5.3. Cumplimiento de las instrucciones por parte de Google. Google cumplirá las instrucciones descritas en la Sección 5.2 (Instrucciones del cliente) (incluidas las relativas a transferencias de datos), a menos que las Leyes Europeas o Nacionales a las que está sujeta Google requiera otro tratamiento de datos personales por parte de Google, en cuyo caso Google informará al Cliente (a menos que alguna de dichas leyes prohíba a Google hacerlo por motivos importantes de interés público). […] 10. Transferencias de datos 10.1 Almacenamiento de datos e instalaciones de tratamiento. El Cliente acepta que Google, sin perjuicio de la Sección 10.2 (Transferencias de Datos), almacene y efectúe el tratamiento de Datos personales del cliente en cualquier país en el que Google o cualquiera de sus Subencargados del tratamiento de datos mantenga instalaciones. 10.2 Transferencias de Datos. Si el almacenamiento y/o tratamiento de los Datos personales del cliente implica transferencias de Datos Personales del Cliente desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/29 EEE, Suiza o el Reino Unido a cualquier país tercero que no esté sujeto a una decisión de adecuación bajo la Legislación europea de protección de datos: (
21. a)Se considerará que el cliente (como exportador de datos) ha suscrito las Cláusulas Contractuales Tipo con Google LLC (como importador de datos); (
22. b)las transferencias estarán sujetas a las Cláusulas Contractuales Tipo; y (
23. c)Google se asegurará de que Google LLC cumpla con sus obligaciones en virtud de dichas Cláusulas Contractuales Tipo con respecto a dichas transferencias. […] 11. Subencargados del tratamiento de datos. 11.1 Consentimiento para la contratación del Subencargado del tratamiento de datos. El Cliente autoriza específicamente la contratación de las filiales de Google como Subencargados del tratamiento de datos ("Subencargados del tratamiento de datos de filiales de Google"). Además, el Cliente generalmente autoriza la contratación de otros terceros como Subencargados del tratamiento de datos ("Subencargados del tratamiento de datos terceros"). Si se aplican las Cláusulas Contractuales Tipo en virtud de la Sección 10.2 (Transferencias de datos), las autorizaciones anteriores constituyen el consentimiento previo por escrito del Cliente para la subcontratación por parte de Google LLC del tratamiento de los Datos personales del Cliente. […] VIGÉSIMO NOVENO: A 3 de febrero de 2021 en la url ***URL.8constaba: “[…] Solicitudes de agencias gubernamentales de EE. UU. en casos que involucran seguridad nacional En investigaciones relacionadas con la seguridad nacional, el gobierno de los EE. UU. puede utilizar una Carta de Seguridad Nacional (NSL) o una de las autorizaciones otorgadas en virtud de la Ley de Vigilancia de Inteligencia Extranjera (FISA) para obligar a Google a proporcionar información del usuario. Una NSL no requiere autorización judicial y solo puede usarse para obligarnos a proporcionar información limitada del suscriptor. Las órdenes y autorizaciones de FISA se pueden usar para obligar a la vigilancia electrónica y la divulgación de datos almacenados, incluido el contenido de servicios como Gmail, Drive y Photos.” […]” (traducción no oficial, en inglés en el original) TRIGÉSIMO: A 3 de febrero de 2021 en la url ***URL.13 constaba: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/29 “[…] Conceptos básicos sobre la información personal identificable en los contratos y las políticas de Google. En muchos contratos, términos del servicio y políticas de los productos de publicidad y medición de Google se hace referencia a la "información personal identificable" (IPI). Se trata de una categorización de datos diferente a lo que el Reglamento General de Protección de Datos (RGPD) considera "datos personales". Tenga en cuenta que, aunque Google no identifique ciertos datos como información personal identificable, es posible que el RGPD sí lo haga o que esos datos se consideren información personal de conformidad con la Ley de Privacidad del Consumidor de California (CCPA), y pueden estar sujetos a esas leyes. […] Google considera "información personal identificable" la información que se pueda usar por sí sola para identificar o ubicar con precisión a una persona, o para ponerse en contacto con ella de forma directa. Entre otros datos, incluye lo siguiente: • Direcciones de correo electrónico • Direcciones de correo postal • Números de teléfono • Ubicaciones precisas (por ejemplo, coordenadas GPS, salvo en los casos que se mencionan más abajo) • Nombres completos (nombre y apellidos) o nombres de usuario. […] Entre otros, Google no considera información personal identificable los siguientes datos: • ID de cookie seudónimos • ID de publicidad seudónimos • Direcciones IP • Otros identificadores de usuario final seudónimos Por ejemplo, si se envía una dirección IP con una solicitud de anuncio (algo que sucede con casi todas las solicitudes de anuncios como consecuencia de los protocolos de Internet), ese envío no incumplirá ninguna prohibición relacionada con el envío de información personal identificable a Google. Tenga en cuenta que, aunque Google no identifique ciertos datos como información personal identificable, es posible que el RGPD, la CCPA u otras leyes de privacidad los consideren datos personales o información personal. […]” TRIGÉSIMO PRIMERO: A 1 de febrero de 2021, tras visitar la web ***URL.1 estando logado en una cuenta de prueba de Google, constaba reflejado dentro del apartado “Actividad en la Web y Aplicaciones” la visita realizada a dicha web. TRIGÉSIMO SEGUNDO: El 17 de febrero de 2021 se comprueba, tras borrar cookies, que: 1. Tras realizar login en una cuenta de Google, se encuentran instaladas en el navegador cookies como NID, LSID, SID, __Secure-3PSID, __Secure-3PAPISID todas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/29 ellas de más de 30 caracteres alfanuméricos donde se permiten mayúsculas y minúsculas y un periodo de caducidad desde 6 meses a varios años. No constan 2. Que estando logado en la cuenta de Google y tras visitar ***URL.1, rechazando todas sus cookies y realizar una navegación correspondiente a una búsqueda de un coche de alquiler desde Madrid-Aeropuerto a Málaga-Aeropuerto con fecha de inicio del alquiler el 25/02/2021 y fecha de fin el 28/02/2021 se comprueba que se instalan las cookies _ga, _gid entre otras. También se comprueba que consta una petición HTTP GET al dominio google-analytics.com en cuyos parámetros dentro de la url de la petición constan, entre otros, datos como: a. la cookie _ga dentro del parámetro cid y la cookie _gid. b. la url visitada (***URL.14) y, entre otros datos, la operación realizada dentro de la misma, codificada como: “pickupDateTime”: “2021-02-25” “returnDateTime”: “2021-02-28” “pickupName”: “%3DMadrid%2520-%2520Aeropuerto” “returnName”: “%3DM%25C3%25A1laga%2520-%2520Aeropuerto” c. el parámetro “sr”. 3. Que en las cabeceras del HTTP GET constan asimismo datos como “useragent” y “accept-language”. TRIGÉSIMO TERCERO: El 04 de marzo de 2021 se comprueba que, tras hacer login en una cuenta de Google, seguido de un logout y seguido a continuación de una navegación en ***URL.1 correspondiente a una búsqueda de vuelo más hotel del 19 al 21 de marzo y seleccionando como origen Madrid y destino Málaga: 1. Consta una petición HTTP POST al dominio google-analytics.com donde se envía datos como payload, entre otros: “***URL.1” “sr=1920x1080” el parámetro “cid” que coincide con el valor de la cookie _ga el parámetro _gid que coincide con el valor de la cookie _gid la fecha de salida y de vuelta, así como la ciudad de salida y la de llegada. 2. Que en las cabeceras del HTTP POST constan asimismo datos como “useragent” y “accept-language”. TRIGÉSIMO CUARTO: El 23 de junio de 2021 se comprueba que, tras hacer login en una cuenta de Google, a continuación se realiza una navegación por la web ***URL.1: 1. Que consta una petición HTTP GET al dominio adservice.google.com donde se envía como parámetro u1 el mismo valor que el contenido en la cookie _ga así como los parámetros “user-agent” y “accept-language”. Que en esta misma petición HTTP GET se envía también la cookie NID. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/29 Se comprueba, en distintas fechas, que el dominio 18oogle-analytics.com así como varias direcciones IP correspondientes a ese dominio, constan asignadas a GOOGLE LLC TRIGÉSIMO QUINTO: Según consta en su escrito de 12 de mayo de 2021, la cifra total de usuarios en el periodo desde el 1 de abril de 2020 al 31 de marzo de 2021 de la página web ***URL.1 así como de otras versiones de la página orientadas a otros países es, por ejemplo, en el mercado alemán de 1.623.842 visitas, en el español 13.344.019 visitas y en el mercado francés de 12.682.624 visitas. Y la cifra de usuarios totales en el periodo descrito es de 72.648.400 visitas. TRIGÉSIMO SEXTO: Según consta en su escrito de 12 de mayo de 20212, la versión que usaba EDREAMS era Google Analytics 360, desde julio del año 2012. TRIGÉSIMO SÉPTIMO: Según consta en su escrito de 28 de mayo de 2021, los establecimientos de EDREAMS en los que tratan datos personales en el contexto de la presente reclamación son Alemania, España, Francia, Italia, Reino Unido. TRIGÉSIMO OCTAVO: Según consta en su escrito de 28 de mayo de 2021, (…). TRIGÉSIMO NOVENO: El 27 de octubre de 2021 se comprueba que en el plenario del Comité Europeo de Protección de datos de fecha 2 de septiembre de 2020, se decidió crear un grupo de trabajo para asegurar una aproximación coherente entre las autoridades de datos europeas para gestionar las 101 reclamaciones de NOYB, que versan sobre cuestiones similares (quien reclama ha visitado una página web de un responsable de tratamiento mientras había iniciado sesión en su cuenta de Google o Facebook, vinculada a su dirección de correo electrónico. Y el responsable de tratamiento había embebido código de servicios de Google o Facebook, que habían transferido sus datos personales a Estados Unidos, sin tener base jurídica para ello). CUADRAGÉSIMO: Según diligencia del 27 de octubre de 2021, GOOGLE LLC remitió a la autoridad austríaca de protección de datos un documento de fecha 09 de abril de 2021, la cual lo comparte con el resto de autoridades a través del Grupo de trabajo para las 101 reclamaciones de NOYB en el contexto de la sentencia del TJUE Schrems II (“101 taskforce”, en adelante, grupo de trabajo TF101). En el documento en cuestión consta la siguiente información y manifestaciones (de su traducción no oficial del inglés): (…). CUADRAGÉSIMO PRIMERO: A 2 de noviembre 2021, la página web ***URL.1 está disponible también para los siguientes países del EEA: República Checa, Francia, Italia, Rumanía, Alemania, Grecia, Holanda, Polonia, Hungría, Portugal. CUADRAGÉSIMO SEGUNDO: A 2 de noviembre de 2021, en la url ***URL.15 constaba la existencia de solicitudes de información FISA (Foreign Intelligence Surveillance Act) y NSL (National Security Letters) dirigidas a GOOGLE sobre información de usuarios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/29 CUADRAGÉSIMO TERCERO: A 24 y 25 de marzo de 2022, en la descripción de Google Analytics localizable en las urls ***URL.16 y ***URL.17 constaba, entre más información, que las cookies _ga y _gid se usaban para distinguir usuarios y que el parámetro “sr” se refería a la resolución de pantalla. Y que, mediante la ejecución de comandos tracert hacia varias direcciones IP asignadas a GOOGLE LLC en relación al dominio google-analytics.com, los tiempos RTT son demasiado bajos para estar dichas IP de destino geográficamente ubicadas en Estados Unidos. TERCERO: Con fecha 30 de agosto de 2023 la parte recurrente ha presentado recurso de reposición ante esta Agencia, fundamentándolo, básicamente, en que se ha producido indefensión, con infracción del derecho de defensa, con una denegación injustificada del período de prueba. Además, considera que la resolución sancionadora es incongruente y carece de la necesaria motivación, y que la sanción impuesta tiene efectos antijurídicos y de contenido imposible. Por último, se alega la falta de objeto del procedimiento sancionador y del elemento subjetivo y culpabilidad. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas en el recurso de reposición Con relación a las alegaciones efectuadas por la parte recurrente en el recurso de reposición, se procede a dar respuesta a las mismas según el orden expuesto por EDREAMS: “PRIMERO.- Indefensión. Infracción de derecho de defensa. Denegación injustificada del período de prueba.” Según EDREAMS, esta Agencia ha generado indefensión a EDREAMS al retrasarle injustificadamente el acceso al Expediente, al limitar injustificadamente los plazos de ampliación para la presentación de alegaciones y, más aún, al no acordar esta AEPD la apertura del período de prueba solicitado expresamente por EDREAMS en varias ocasiones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/29 A continuación, se procede a dar debida respuesta a estos argumentos. Respecto al rechazo de petición de prueba formulada por EDREAMS, ésta ignora en su planteamiento lo dispuesto en el punto 10 de los “Términos del Tratamiento de Datos de Google Ads”, según el cual el responsable del tratamiento ha acordado que Google pueda almacenar y tratar datos personales del cliente (en el presente caso, datos personales de la parte reclamante) en cualquier país en el que Google o cualquiera de sus subencargados de tratamiento de datos mantengan instalaciones. Cuando se recopila esta información, se transmite a los servidores de Google Analytics. Concretamente, el documento obrante en el expediente enviado por Google LLC con fecha 9 de abril de 2021, en el último párrafo a la respuesta de la pregunta 8, Google manifiesta que todos los datos recopilados a través de Google Analytics están alojados en los Estados Unidos. Por lo tanto, los datos recopilados en el sitio web «***URL.1» a través de Google Analytics se transfieren a los Estados Unidos. Acreditado documentalmente la transferencia internacional de datos personales a los Estados Unidos, no era necesario realizar una prueba técnica de un hecho que ha sido reconocido por Google, y es que, en último término, todos los datos tratados por Google Analytics están alojados en los EE. UU. De acuerdo con lo dispuesto en el artículo 77.3 de la LPACAP, “el instructor del procedimiento sólo podrá rechazar las pruebas propuestas por los interesados cuando sean manifiestamente improcedentes o innecesarias, mediante resolución motivada”, de esta forma, no se establece un derecho “omnímodo” a la práctica de la prueba, que pretende EDREAMS, sino que puede rechazarse de forma motivada, como así se hizo en la resolución, en los términos que han vuelto a reproducir en este párrafo. En cuanto a lo que EDREAMS denomina “retraso injustificado en el acceso al Expediente”, la forma de entrega del expediente vino motivada por la imposibilidad técnica de ponerlo a disposición de EDREAMS a través de la sede electrónica, debido al tamaño del documento, ante lo cual se decidió remitir la copia del expediente en soporte electrónico mediante mensajería. Fue voluntad de esta Agencia que EDREAMS tuviera acceso a la copia del expediente EDREAMS lo antes posible, para lo cual el personal de encargado de su envío confirmó telefónicamente el domicilio al que debía ser remitido con personal de EDREAMS que, en ese momento, constaba en la base de datos de esta Agencia, al cual se remitió el envío el día 12 de diciembre de 2022. Pese a la citada comprobación, tal y como consta en el justificante expedido por la empresa de mensajería obrante en el expediente, el 13 de diciembre de 2022, cuando aún restaban 6 días hábiles para la finalización del plazo para presentar alegaciones, el repartidor de la empresa de mensajería no pudo entregar el envío por la siguiente causa: “Destinatario desconocido en el domicilio de entrega”. Tras este primer intento de entrega, se volvió a contactar de nuevo con EDREAMS para confirmar el domicilio. Por lo tanto, el retraso en la entrega de la copia del expediente se debe a que EDREAMS, no había notificado a esta Agencia el cambio de domicilio. El día 15 de diciembre de 2022, personal de EDREAMS compareció ante esta Agencia, cuando restaban cuatro días hábiles para el último día de presentación de alegaciones. A dicha representación de EDREAMS se le facilitó la copia del expediente de forma presencial, no pudiendo facilitarse la copia dos días antes, cuando compareció ante esta Agencia sin acreditar dicha representación. Sin duda, esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/29 circunstancia también fue causa de la demora en la entrega de la copia del expediente. En cualquier caso, desde el 15 de diciembre de 2022, día en el que se le entregó la copia del expediente, EDREAMS ha dispuesto de un plazo bastante amplio para revisar los documentos obrantes en el expediente; prueba de ello, a modo de ejemplo, lo constituye el informe pericial que adjunta a sus alegaciones (documento adjunto nº 3), donde en 134 páginas se analizan cuestiones técnicas de algunos de los documentos obrantes en el expediente. Por último, en cuanto a lo que EDREAMS denomina “limitación injustificada” de la ampliación del plazo para presentar alegaciones a la propuesta de resolución, dispone el artículo 32.1 de la LPACAP que “La Administración, salvo precepto en contrario, podrá conceder… una ampliación de los plazos establecidos…”, por lo que no está obligado a ello.” En el presente caso, el plazo de alegaciones al acuerdo de inicio fue ampliado cinco días hábiles, el plazo máximo que permite el artículo 32.1 de la LPACAP, teniendo en cuenta que el plazo inicial era de diez días hábiles, y, en el plazo de alegaciones a la propuesta de resolución se han concedido dos días hábiles adicionales, por lo que se ha garantizado que EDREAMS tenga plazo más que suficiente para aducir alegaciones. Por todo lo expuesto, se desestima la presente alegación. “SEGUNDO.- Falta de motivación de la Resolución Sancionadora.” En este apartado EDREAMS reitera la falta de prueba de los hechos constitutivos de la infracción, sin que esta Agencia haya podido demostrar técnicamente que se produzcan transferencias internacionales de datos a los EE. UU. EDREAMS considera que la configuración de privacidad con la que utiliza el servicio de Google Analytics impide las transferencias internacionales de datos. Asimismo, según EDREAMS, en la resolución recurrida se sanciona mediante la prohibición futura del tratamiento, sin haber realizado este análisis de riesgos de cómo es el riesgo en la actualidad. Por último, se repiten otros argumentos ya sostenidos en los apartados anteriores, como la ausencia de prueba en el procedimiento y la configuración de la Privacidad en el uso de Google Analytics por EDREAMS, los cuales ya han sido objeto de respuesta. En contestación a esta alegación, en primer lugar, se debe aclarar con relación a la valoración realizada por el Inspector que realizó en las actuaciones previas de investigación (página 5373 del expediente) a la que alude EDREAMS en su recurso de reposición que, con independencia de que esta Agencia haya sido capaz de demostrar técnicamente que se producen transferencias internacionales de datos a los EE. UU., éstas han quedado acreditadas documentalmente, tal y como se ha razonado en la contestación a la alegación de EDREAMS en el apartado anterior a este, en el cual se hace referencia al punto 10 de los “Términos del Tratamiento de Datos de Google Ads”, según el cual el responsable del tratamiento ha acordado que Google pueda almacenar y tratar datos personales del cliente en cualquier país en el que Google o cualquiera de sus subencargados de tratamiento de datos mantengan instalaciones y que, específicamente, el documento obrante en el expediente enviado por Google LLC con fecha 9 de abril de 2021, en el último párrafo a la respuesta de la pregunta 8, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/29 Google manifiesta que todos los datos recopilados a través de Google Analytics están alojados en los Estados Unidos. Ya se justificó en la resolución recurrida que la configuración de Google Analytics utilizada por EDREAMS en su web, sin tener habilitado Google Signal, no impedía el tratamiento de datos personales. En el documento de fecha 09 de abril de 2021 que GOOGLE LLC remite a la autoridad austríaca de protección de datos, en el que se GOOGLE LLC responde una serie de preguntas formuladas por la autoridad austriaca con relación a una reclamación sustancialmente similar a la del presente procedimiento, y al cual EDREAMS ha tenido acceso ya que está incorporado al expediente; en el punto número 9 (página 5234 del expediente), se dice lo siguiente: (traducción no oficial): “En la presente reclamación, la parte reclamante estaba logado en su cuenta de Google al visitar el sitio web específico del propietario del sitio. ¿La implementación de los servicios de Google (incluido Google Analytics) permite a Google recibir información de que un determinado usuario de una cuenta de Google ha visitado un sitio web concreto? En caso afirmativo, por favor describa cómo y qué información sobre el usuario de la cuenta de Google es recogida. No, la implementación de Google Analytics como tal no permite que Google reciba la información que un determinado usuario de Google ha visitado un sitio web específico. La implementación de Google Analytics en un sitio web permite a Google recibir la información de que un determinado usuario de Google ha visitado un sitio web específico, sólo si se cumplen las siguientes condiciones adicionales: