1/9 Procedimiento nº.: PS/00390/2016 ASUNTO: Recurso de Reposición Nº RR/00220/2017 Examinado el recurso de reposición interpuesto por la entidad A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00390/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 26 de enero de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00390/2016, en virtud de la cual se imponía a la entidad A.A.A., por una infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4
- g)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI en adelante) , una multa de 3.000 euros ( tres mil euros) de conformidad con lo establecido en el artículo 40 de la citada LSSI. Dicha resolución, que fue notificada al recurrente en fecha 30/01/2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00390/2016, quedó constancia de los siguientes: procedimiento sancionador, UNO.- Con fecha de 4/04/2016 se constata que las páginas web florahorro.es y florbarata.es son titularidad de la denunciada, constando en red.es respecto de la titularidad de los dominios, informaron que permite vincularlos con la denunciada, como titular y como contacto administrativo. DOS.- En la misma fecha se verifica que ambos sitios web utilizan DARD con las siguientes finalidades: 1. Analítica web de tercera parte 2. Para la implementación de chat gestionado por una tercera entidad. 3. Otras finalidades desconocidas ya que no se ha podido localizar información sobre éstas ni en el sitio denunciado ni en el del dominio al que están vinculados dichos DARD. TRES.- En la misma fecha, se constata en relación a la información sobre DARD: 1. Consta un aviso de primera capa en la página Florahorro: (…)FlorAhorro utiliza utilizadas para mantener la sesión y personalizar la experiencia del usuario, así como para obtener estadísticas anónimas de uso de la web.(…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 2. Consta un aviso de primera capa en la página Florbarata:(…) Este sitio web utiliza cookies. Si continúa navegando por esta página, acepta su uso (…) CUATRO.- En la misma fecha, se verifica que no consta en ninguna de las dos páginas un enlace que haga referencia a política de cookies en el aviso de primera capa o en el sitio web una vez aceptado el uso de cookies. Ni consta en ninguna de las dos páginas un aviso de segunda capa. CINCO.- En fecha de 1/12/2016 se accede al sitio web florahorro.es y se verifica que al acceder se descargan DARD similares a las verificadas en la anterior prueba realizada, con independencia de realizar acción positiva alguna que suponga continuar navegando. SEIS.- En la misma fecha, se constata en relación a la información sobre DARD de florahorro.es: Consta un aviso de primera capa (…) Este sitio web utiliza cookies para que tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento(…).- y un hipervínculo: -más información- que redirige la navegación a Política de Cookies donde consta la definición de la cookies, las utilizadas en la web divididas entre propias y de terceros, y un apartado denominado desactivación o eliminación de cookies configurando el navegador. SIETE.- En fecha de 1/12/2016 se accede al sitio web florbarata.es y se verifica que al acceder se descargan DARD similares a las verificadas en la anterior prueba realizada, con independencia de realizar acción positiva alguna que suponga continuar navegando. OCHO.- En la misma fecha, se constata en relación a la información sobre DARD de florabarata.es: Consta un aviso de primera capa (…) Solicitamos su permiso para obtener datos estadísticos de su navegación en esta web, en cumplimiento del Real Decreto-ley 13/2012. Si continua navegando consideramos que acepta el uso de cookies (…)- y un hipervínculo -más información- que redirige la navegación a Política de Cookies en idénticas condiciones que consta en el hecho probado seis. TERCERO: A.A.A. (la recurrente en adelante) ha presentado en fecha 28/02/2017, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en las formuladas durante el procedimiento sancionador y añadiendo lo siguiente: Tras recibir la notificación de la propuesta de resolución, se modificó la información ofrecida en la página web, sin que se produjera comprobación alguna por parte de la AEPD antes de firmar la resolución final del procedimiento sancionador. Se cumple con lo establecido en el precepto ya que cualquier usuario que se encuentre navegando en las páginas analizadas está en condiciones de conocer que se utilizan cookies. La resolución sostiene que no se acredito que se hubiera solicitado cambio alguno al informático responsable, sin embargo prueba de ello es que actualmente se encuentran realizados los cambios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 El importe de la sanción resulta inadecuado atendiendo a los criterios de graduación por no existir intencionalidad ni perjuicio al denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por la recurrente, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II, IV, V y VI, de la Resolución recurrida, tal como se transcribe a continuación: <<II En el presente procedimiento se imputa a A.A.A.,, la comisión de una infracción del artículo 22.2 de la LSSI, que dispone que: “2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre , de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” El citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo las cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 No hay que olvidar que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. IV En el presente supuesto, a través de la valoración conjunta de las actuaciones practicadas y la documentación obrante en el expediente, ha quedado acreditado que al inicio de las actuaciones de inspección, el sitio web denunciado no ofrecía información respecto de la instalación de dispositivos de almacenamiento y recuperación de datos que cumpliera con el mandato del art. 22.2 de la LSSI. El modo de ofrecer la información del citado artículo no obedece a supuestos tasados, lo relevante es cualquier fórmula que satisfaga la finalidad del precepto es perfectamente válida. Y si bien como sostiene la denunciada, las recomendaciones de la AEPD – Guía de Cookies- no tiene naturaleza de norma, es éste organismo a quién le compete velar por el cumplimiento de la obligación de informar a fin de que los usuarios otorguen su consentimiento en óptimas condiciones y por tanto la interpretación del artículo, es decir, que exista información clara y completa, por lo que cualquier información no es suficiente, sino que deberá estar estrechamente vinculada con el tipo de DARD que se descarguen en los terminales de los usuarios. En este sentido debe recordarse que la “Guía sobre el uso de cookies”, ofrece indicaciones al respecto, proponiendo un sistema de información por capas. De modo que la segunda capa complemente a la primera. En la primera capa debe mostrarse la información esencial sobre la existencia de como los modos de prestar el consentimiento. En cuanto a la información ofrecida en la segunda capa, esta Agencia ha venido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 indicando, singularmente en la Guía sobre el uso de cookies, que dicha información adicional y complementaria de la primera, debería versar sobre qué son y para qué se utilizan las cookies, los tipos de cookies utilizadas y su finalidad, así como la forma de desactivar o eliminar la cookies enunciadas a través de las funcionalidades facilitadas por el editor, las herramientas proporcionadas por el navegador o el terminal o a través de las plataformas comunes que pudieran existir, para esta finalidad o en su caso, la forma de revocación del consentimiento ya prestado. Finalmente, debe en esta segunda capa ofrecerse información sobre la identificación de quien utiliza las cookies, esto es, si la información obtenida por las cookies es tratada solo por el editor y/o también por terceros. Con la identificación de aquellos con los que haya contratado o cuyos servicios ha decidido integrar el editor. Por tanto, el suministro de la información adicional en una segunda capa por grupos de produzca ambigüedad, y en todo caso se indique si son de primera o de tercera parte, con identificación del tercero, y su finalidad, así como con alusión a los mecanismos de rechazo de las cookies enunciadas y la forma de revocación del consentimiento ya prestado. La normativa estudiada pretende que el usuario sea suficientemente informado sobre la utilización de dispositivos de almacenamiento y recuperación de datos en su equipo terminal, siendo esencial que dicha información verse sobre las finalidades de dichos dispositivos, pero sin exigir que la información detalle los nombres de todas y cada una de las cookies no exentas descargadas. Ahora bien, nada obsta a que dicha información adicional se ofrezca, a los efectos de dar cumplimiento a los requisitos de la segunda capa, en un cuadro adjunto que señale el dominio bajo el cual figura la cookie, su finalidad concreta, y si es propia o de tercera parte, con identificación, en su caso, del tercero en cuestión. Es decir, aunque dicho sistema no sea exigible la Agencia entiende que la descripción contenida en el citado cuadro puede dar cumplimiento a los requisitos de la segunda capa relativos a los tipos de cookies utilizadas y su finalidad así como sobre quién utiliza las cookies, en la medida en que contenga la información exigible antes especificada. V Relacionando dichas exigencias con la información ofrecida por A.A.A. en las pruebas realizadas sobre DARD en su página web se efectúan las siguientes consideraciones: En fecha de 4/04/2016 se verificó que las páginas web analizadas descargaban DARD respecto de las que no se deducía su existencia (y por tanto su finalidad) derivada de la información ofrecida en la primera capa utilizada, ya que eran con finalidad de analítica web y de implementación de un chat gestionado por una tercera entidad, así como desconocidas. Términos inconcretos como personalizar la experiencia del usuario o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 simplemente este sitio web utiliza cookies, no permite al usuario otorgar un consentimiento informado respecto del uso de DARD. Además ni constaba una segunda capa informativa que pudiera completar el primer aviso ni información respecto del modo de configurar los principales navegadores de internet para eliminar o impedir el uso de DARD. En fecha de 1/12/2016 2016 se verificó que las páginas web analizadas descargaban DARD respecto de las que no se deducía su existencia (y por tanto su finalidad) derivada de la información ofrecida en la primera capa utilizada, ya que eran con finalidad de analítica web y de implementación de un chat gestionado por una tercera entidad, así como desconocidas. Términos inconcretos como para que tenga la mejor experiencia de usuario o simplemente solicitamos su permiso para obtener datos estadísticos de su navegación no permite al usuario otorgar un consentimiento informado respecto del uso de DARD. Asimismo se verificó la descarga de DARD con independencia de continuar navegando, es decir, al acceder a la página web – no se supedito el uso de DARD al consentimiento informado del usuario-. Por tanto no puede entenderse que la página web proporcionara información suficiente al usuario para otorgar su consentimiento informado, para permitir el uso de DARD. La conducta descrita está tipificada como leve en el artículo 38.4.
- g)de la citada norma, que señala como tal “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.” VI A tenor de lo establecido en el artículo 39.1.
- c)de la LSSI, las infracciones leves podrán ser sancionadas con multa de hasta 30.000 euros, fijándose los criterios para su graduación en el artículo 40 de la misma norma, que dispone lo siguiente: “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
- a)La existencia de intencionalidad.
- b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
- c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
- d)La naturaleza y cuantía de los perjuicios causados.
- e)Los beneficios obtenidos por la infracción.
- f)Volumen de facturación a que afecte la infracción cometida.
- g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 En relación con el apartado
- b)en cuanto al tiempo que se viene cometiendo la infracción, y el apartado a), en la medida que se verifico que en el mes de diciembre de 2016 y ya con conocimiento de la existencia de un procedimiento sancionador, continuaban las carencias informativas que prevé el art. 22.2 de la LSSI. Asimismo por lo dispuesto en el apartado
- e)en cuanto a los beneficios obtenidos por la infracción, que no tienen por qué ser económicos, y en este caso la información relativa a la estadística del uso de sus páginas webs y el uso de chats, revierte, por un lado información sobre la presencia en internet de su producto y promueve las consultas a tiempo real respecto de sus productos. Asimismo, en cuanto al grado de intencionalidad relacionado con el elemento subjetivo en la comisión de la infracción y la diligencia a exigir, no puede obviarse que el modelo de negocio de la denunciada es la venta online de sus productos, por lo que la diligencia exigible ha de ser mayor al someterse plenamente a los mandatos de la LSSI, como prestador de los servicios de la sociedad de la información, no solo en el ámbito de los arts. 21 y 22 sobre cuya competencia tiene esta Agencia, sino sobre todo lo relacionado con el comercio electrónico- base de su negocio-. Finalmente señalar que constan en esta Agencia, antecedentes de la denunciada en cuanto a la vulneración de la LSSI, como el procedimiento de Apercibimiento A/00253/2015. La denunciada manifiesta en sus alegaciones formuladas a la propuesta de Resolución que ha comunicado a la persona con conocimientos técnicos suficientes las deficiencias a fin de solucionarlas, sin embargo nada aporta – ningún elemento de prueba - que apoye tal manifestación. Por todo ello, de acuerdo con los criterios establecidos en los apartados a),
- b)y
- e)procede determinar la imposición de la sanción en la cuantía de 3.000 euros. >> III En relación con las manifestaciones de la recurrente respecto de la no comprobación por parte de la Agencia Española de Protección de Datos, de los cambios realizados en la página web tras la propuesta de resolución, debe señalarse en primer lugar, que el soporte fáctico que sirve de análisis al procedimiento se da en un estadio anterior, durante las actuaciones previas de inspección y en la fase de prueba tras las alegaciones formuladas al acuerdo de inicio del procedimiento, por lo que tras la notificación de la propuesta de resolución, los hechos ya se encuentran fijados. Cuestión distinta es que en las alegaciones formuladas a la citada propuesta de resolución se acredite por parte del expedientado circunstancias que puedan modular la calificación jurídica teniendo presente en todo caso, que dicho trámite corresponde a la citada parte quien debe aportar lo que estime conveniente en defensa de sus pretensiones. No puede pretenderse trasladar al órgano resolutorio del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 actuaciones procedimentales propias de la entidad denunciada, en virtud del principio del derecho procesal affirmanti incumbit probatio (quien afirma un hecho debe probarlo). En segundo lugar, debe señalarse que la infracción se produce cuando es constatada por los servicios de inspección de esta Agencia y que constituye el soporte de la imposición de la sanción, por lo que difícilmente un cambio posterior a dicha acreditación elimina el acaecimiento de la conducta típica, culpable y antijurídica. En tercer y último lugar, señalar que si en la actualidad – como manifiesta la recurrente - existen los cambios en las páginas web no supone per se que en el momento de las alegaciones formuladas a la propuesta de resolución y con anterioridad a la firma de la Resolución recurrida, ya existieran a dicha fecha, pues como se ha señalado, dicha circunstancia correspondía probarla a la recurrente. IV Por lo tanto, en el presente recurso de reposición, la recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 26 de enero de 2017, en el procedimiento sancionador PS/00390/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es