1/17
Expediente Nº: EXP202103886
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 28 de marzo de 2022, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a VUELING AIRLINES,
S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe:
<<
Procedimiento Nº: PS/00032/2022 (EXP202103886)
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos ante
la entidad VUELING AIRLINES, S.A., con CIF.: A63422141 titular de la página web
***URL.1 (en adelante “la parte reclamada”), en virtud de la reclamación presentada
por D. A.A.A., por la presunta vulneración de la normativa de protección de datos:
Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16,
relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de
Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica
3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los
Derechos Digitales (LOPDGDD), y contra la Ley 34/2002, de 11 de julio, de Servicios
de la Sociedad de la Información y Comercio Electrónico (LSSI), y atendiendo a los
siguientes:
HECHOS
PRIMERO: Con fecha 22/08/21, tuvo entrada en esta Agencia, escrito presentado por
el reclamante, en la que indicaba, entre otras, lo siguiente:
“En la compra de un billete a través de la página web de ***URL.1 no solo no se
permite eliminar cookies al acceder a la web, sino que resulta imposible comprar un
billete de avión sin aceptar el envío de datos comerciales y promociones. Ya que, si no
marcas la casilla, no se continúa con la compra”.
SEGUNDO: Con fecha 04/11/21, de conformidad con lo estipulado en el artículo 65.4
de la Ley LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/17
TERCERO: Con fecha 21/12/21, la entidad reclamada presenta ante esta Agencia,
escrito de contestación a la solicitud realizada donde, entre otras, indica lo siguiente:
“Por tanto, por parte de Vueling se ha procedido a realizar una revisión de los
siguientes aspectos de su página web: El proceso de compra de billetes y las cookies
utilizadas, y en su caso, instaladas en los dispositivos de los visitantes. A
continuación, se exponen las conclusiones de las revisiones que se han llevado a
cabo.
1) Revisión del proceso de compra de billetes.-
Según se ha verificado, el usuario que compra billetes a través de la página web,
***URL.1 puede aceptar o no una casilla con el siguiente texto: “Sí, deseo estar al día
de las ofertas y novedades de Vueling. Ver condiciones”.
Los usuarios que no marcan esta casilla no reciben comunicaciones comerciales. A
pesar de lo que señala la parte reclamante, es posible completar el proceso de
compra del billete sin marcar esta casilla.
Adicionalmente, existen dos casillas de marcación obligatoria, en las que el usuario
declara haber leído y aceptar la política de privacidad y el contrato de transporte.
El Documento Nº 1 incluye capturas de pantalla de todo el proceso de compra, y que
ponen de manifiesto que el usuario puede adquirir un billete sin aceptar el envío de
comunicaciones comerciales.
En la política de privacidad de la página web, que se encuentra accesible en todo
momento durante la navegación, y que está dividida en apartados desplegables para
mayor facilidad de acceso a los contenidos, se indica que los datos personales de los
afectados podrán utilizarse, entre otras, para las siguientes finalidades:
“Para realizar encuestas relacionadas con la experiencia a bordo de Vueling.
Basándonos en el consentimiento que previamente nos haya otorgado, podremos
contactar con usted para que pueda participar en encuestas relacionadas con la
experiencia a bordo de vuelos de Vueling, así como para ofrecerle la oportunidad de
participar en estudios de mercado realizados por Vueling o por un tercero.
Para realizar actividades de marketing y mantenerle informado sobre los productos y
servicios de Vueling. Basándonos en el consentimiento que previamente nos haya
otorgado, podremos enviarle información sobre nuestros productos y servicios por
correo electrónico, mensajes push de nuestra app o mensaje de texto.
También podremos enviarle comunicaciones personalizadas tras identificar aquellos
productos y servicios que puedan interesarle. Esto significa que crearemos un perfil
suyo para conocerle mejor como cliente y personalizar las comunicaciones que le
enviamos.
Para conocer lo que es relevante para usted, utilizamos herramientas que analizan los
datos que obtenemos de información proporcionada por usted (a través de
encuestas), su navegación, sus preferencias de compra o servicios prestados en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/17
pasado para elaborar perfiles que permitan identificarle con segmentos de clientes con
similares características a las suyas y enviarle promociones u ofertas personalizadas
que creamos que pueden interesarle. Tiene derecho a revocar su consentimiento para
el tratamiento de datos con la finalidad de realizar dichas actividades de marketing en
cualquier momento, así como en cada comunicación.”
Además, existe un apartado denominado “Consentimiento” en el que se señala el
mecanismo habilitado para la revocación del consentimiento: “Si la base del
tratamiento de sus datos personales fuera su consentimiento, podrá revocarlo en
cualquier momento, poniéndose en contacto con nosotros a través la dirección
Delegado de Protección de Datos , Vueling Airlines, S.A., Plaza Pla de l’Estany, 5,
08820, El Prat de Llobregat, Barcelona, España o a través del correo electrónico
***EMAIL.1.”
Por último, todas las comunicaciones comerciales que se remiten a los afectados por
correo electrónico (y que constituyen el medio preferente de contacto con clientes y
posibles clientes, puesto que otras opciones como el correo postal o las llamadas
telefónicas no forman parte de las herramientas habitualmente utilizadas por el área
de marketing) incluyen un mecanismo sencillo y gratuito para darse de baja.
2) Revisión de las cookies utilizadas en la página web.
Al acceder por primera vez a la página web ***URL.1, aparece un mensaje informativo
de primer nivel con el siguiente texto:
“Utilizamos cookies propias y de terceros con fines analíticos y para mostrarte
publicidad relacionada con tus preferencias en base a un perfil elaborado a partir de
tus hábitos de navegación. Para más información puedes leer nuestra Política de
cookies.
<<CONFIGURAR COOKIES>> <<ACEPTAR COOKIES>>
Si el usuario opta por la opción de configurar cookies, se abre un panel donde puede
seleccionar sus preferencias. Las cookies se han clasificado, según su finalidad, en
las siguientes categorías:
“Cookies técnicas (estrictamente necesarias). Estas cookies son estrictamente
necesarias para el correcto funcionamiento y navegación del usuario por el sitio web,
así como para recordar las preferencias de cookies y, por lo tanto, no es posible
desactivarlas. No almacenan ninguna información de identificación personal.
Cookies de rendimiento. Las cookies de rendimiento nos permiten conocer el nivel de
recurrencia de nuestros visitantes y realizar la medición y análisis estadístico de la
utilización de nuestro servicio para poder mejorar su rendimiento. Toda la información
que recogen estas cookies es agregada y, por lo tanto, es anónima.
Cookies dirigidas. Vueling puede utilizar cookies publicitarias propias o de terceros,
que almacenan información de su comportamiento obtenida a través de sus hábitos de
navegación para elaborar un perfil. Dicha información nos permite mostrar publicidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/17
más personalizada y acorde con tus gustos en nuestra Web o en otras webs de
terceros (por ejemplo, búsquedas de destinos o páginas visitadas).”
Vueling utiliza la plataforma de gestión de consentimientos Ensighten (***URL.2) para
garantizar que solamente se utilizarán las cookies seleccionadas por el usuario.
En el Documento Nº 2, se incluyen capturas de pantallas donde se muestra el proceso
descrito. Asimismo, se puede observar cómo el texto de la política de cookies incluye
un enlace al listado completo de cookies utilizadas en la web, así como información
para configurar el navegador del usuario para rechazar estos dispositivos. Desde la
política de cookies, resulta posible volver en cualquier momento al panel configurador
inicial, y revocar consentimientos prestados.
La opción de revocación del consentimiento es uno de los motivos por los que se
selecciona el gestor de consentimientos Ensighten.
Para que esta opción sea posible, Ensighten instala la cookie desactivada en el
navegador del usuario. Aunque esta pueda visualizarse en el navegador del usuario
porque está “instalada”, permanece inoperativa si el usuario no consiente la categoría
en la que dicha cookie ha sido clasificada. Es decir, si no se acepta la categoría
correspondiente, no se activa ni genera ningún tipo de rastreo. La cookie no podrá ser
utilizada puesto que Ensighten aplica un filtro que evita su uso.
Entendemos que este podría haber sido el motivo por el cual el reclamante considera
que no se han obtenido los consentimientos oportunos para la utilización de cookies.
Sin embargo, como se ha indicado, este sistema no permite la utilización de cookies
no autorizadas y facilitar al usuario la revocación de los consentimientos de forma más
efectiva que la configuración de su navegador: En cualquier momento puede cambiar
sus preferencias sin que ello afecte a la instalación de cookies técnicas. En este
sentido, debemos señalar que un alto porcentaje de pasajeros compran sus billetes a
través de usuarios registrados, por lo que se deben instalar cookies técnicas en sus
equipos, y determinadas configuraciones de navegadores pueden dificultar o impedir
el normal acceso a las opciones de registro.
La utilización de la plataforma Ensighten aparece reflejada en el proceso interno
denominado “ENSIGHTEN_Client-side website security workflows” (Documento Nº 3).
La aprobación de la instalación de cookies y su clasificación dentro de las categorías
establecidas es un proceso manual, no automatizado a través de la plataforma de
gestión de consentimiento.
Al recibirse el traslado de la reclamación presentada frente a Vueling, se ha elaborado
un listado con todas las cookies utilizadas actualmente en la web de Vueling Doc. Nº
4, donde se indica a qué categoría pertenecía en el momento de realizar la revisión
cada una. Se ha verificado que algunas cookies se encontraban erróneamente
clasificadas como cookies funcionales, debiendo estar sometidas al consentimiento.
En el listado que se adjunta como Doc. Nº 5, figura la clasificación corregida, que,
como se indica más adelante, se implementará en la web ***URL.1.
2. Informe, si procede, sobre las medidas adoptadas para adecuar su “Política de
Privacidad” al artículo 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/17
Consejo de 27 de abril de 2016 (RGPD), fechas de implantación y controles
efectuados para comprobar su eficacia.
En función de lo explicado en el apartado 1 de este escrito, entendemos que no
procede realizar ninguna acción de adaptación de la política de privacidad de la
página web de Vueling ni del proceso de compra de billetes.
3. Informe, si procede, sobre las medidas adoptadas para adecuar la utilización de
cookies a lo dispuesto en el artículo 22.2 de la Ley 34/2002, de 11 de julio, de
servicios de la sociedad de la información y de comercio electrónico (LSSI), en
particular en lo relativo a la información facilitada a los usuarios sobre la utilización de
cookies y los fines del tratamiento de los datos, así como la forma de recabar,
rechazar o retirar el consentimiento para su uso. Se pide además indicación de fechas
de implantación y controles efectuados para comprobar su eficacia.
En función de lo indicado en el apartado 1 de este escrito, en relación con la política
de cookies, se implementarán las siguientes medidas:
1º. Se definirán de nuevo las categorías de cookies, para alinear la terminología
utilizada con la que aparece en la Guía de cookies de la Agencia Española de
Protección de Datos. Aunque consideramos que la clasificación efectuada es correcta,
y un usuario medio comprende la finalidad de cada tipo de cookies con la explicación
facilitada, se ha procedido a modificar el nombre de dichas categorías para alinearla
con la terminología utilizada en la Guía sobre el uso de las cookies elaborada por esta
Agencia. De esta forma, las cookies de rendimiento pasarán a denominarse “cookies
analíticas” y las cookies dirigidas se denominarán “cookies publicitarias”.
2º. En el configurador de cookies, se desmarcarán por defecto las categorías de
cookies que no sean estrictamente necesarias.
3º. Algunas cookies se han clasificado erróneamente en una categoría que no
correspondía. Por ello, se procederá a reclasificarlas Doc. Nº 5.
4º. Se revisará el texto completo de la Política de Cookies de la web una vez
efectuadas las acciones anteriores.
No hemos tenido acceso a la identificación de la parte reclamante, ni a capturas de
pantalla que, en su caso, se haya presentado. Por tanto, fuera de las acciones ya
explicadas en este escrito, no podemos adoptar ninguna medida adicional, como
remitir una explicación detalla al afectado sobre el tratamiento que se efectúa de sus
datos, bloquear su correo electrónico a efecto de comunicaciones comerciales o
verificar si ha ejercido su derecho de oposición y no ha sido atendido a su
satisfacción”.
CUARTO: Con fecha 20/01/22, por parte de la Directora de la Agencia Española de
Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación
presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles
indicios racionales de una vulneración de las normas en el ámbito de las competencias
de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/17
QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de los poderes de investigación otorgados a las autoridades de
control en el artículo 57.1 del RGPD y de conformidad con lo establecido en el Título
VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los
siguientes extremos:
a).- Sobre la obtención de los datos personales de los usuarios:
1º.- A través del enlace <<regístrate>>, situado en la parte superior de la página
principal, la web redirige a una nueva página “Registro en Vueling Club” donde se
pueden introducir datos personales de los usuarios como el nombre, apellidos y
dirección de correo.
Antes de poder enviar el formulario de inscripción, el usuario debe cliquear la opción:
_ Acepto los <<términos y condiciones de Vueling Club y avíos>> y
la << Política de privacidad de Vueling>>.
Existe la posibilidad de darse de alta, de forma voluntaria, en la opción siguiente, para
recibir comunicados comerciales:
_Quiero enterarme de las mejores promociones de Vueling y de sus partners.
<<Ver condiciones>>
2º.- En la opción de compra de billetes, antes de poder enviar el formulario de compra,
el usuario debe cliquear la opción:
_ He leído y acepto la <<Política de privacidad>>.
Existe la posibilidad de darse de alta, de forma voluntaria, en la opción siguiente, para
recibir comunicados comerciales:
_Sí, quiero estar al día de las ofertas y novedades de Vueling. <<Ver
condiciones>>
b).- Sobre la “Política de Privacidad”:
1º.- Si se accede a la “Política de Privacidad” de la web, a través de los enlaces
existentes en los formularios indicados anteriormente, o a través del enlace existente
en la página principal, la web redirige al usuario a una nueva página ***URL.3, donde
se da respuesta a las siguientes cuestiones: Responsable del Tratamiento de Datos
Personales; Cuándo es aplicable la política de privacidad; Cómo puede proteger sus
datos personales; Cuándo recabamos sus datos personales; Qué tipos de datos
personales recabamos y conservamos; Cuándo y por qué recabamos “datos
personales sensibles; Para qué utilizamos sus datos personales; Cuándo le
enviaremos comunicaciones comerciales; Cómo puede cambiar el tipo de
comunicaciones comerciales a recibir y la forma de recibirlos; Cuál es la base legal
para tratar sus datos personales; Durante cuánto tiempo conservamos los datos
personales; Cumplimiento de un contrato con usted; Intereses legítimos; Cumplimiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/17
de obligaciones legales; Para proteger sus intereses vitales o los de terceros;
Consentimiento; Con quién compartimos sus datos personales; A qué países se
enviarán sus datos personales; Qué derechos tiene y cómo puede ejercitarlos.
c).- Sobre la Política de Cookies:
1.- Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial
de navegación y de cookies, sin aceptar cookies ni realizar ninguna acción sobre la
página web ***URL.1, se ha comprobado, a través de la herramienta
“inspeccionaraplicación del navegador de Google Chrome, que se utilizan las
siguientes cookies de terceros que no son técnicas o necesarias:
Cookie Proveedor Cookies Proveedor
MUID .bing.com / IDE .doubleclick.net
AEC .google.com / uid .criteo.com /
CONSENT .google.com / _kuid_ .krxd.net /
IDSYNC .analytics.yahoo.com A3 .yahoo.com /
pxrc .rlcdn.com / uid .adform.net /
ab .agkn.com / uid .criteo.com /
rud .rfihub.com / ruds .rfihub.com /
rlas3 .rlcdn.com / C .adform.net /
eud .rfihub.com / IDE .doubleclick.net
_kuid_ .krxd.net / CONSENT .google.com /
NID .google.com / AEC .google.com /
IDE .doubleclick.net
2.- Existe un banner de información sobre cookies en la página principal con el
siguiente mensaje:
Utilizamos cookies propias y de terceros con fines analíticos y para mostrarte
publicidad relacionada con tus preferencias en base a un perfil elaborado a partir de
tus hábitos de navegación. Para más información puedes leer nuestra
<<Política de cookies>> .
<<Configura tus cookies>> <<Acepta todas las cookies>>.
3.- Si se accede al panel de control de cookies a través del enlace <<Configura tus
cookies>>, la web despliega una página o panel de control comprobando que las
cookies de rendimiento y las cookies dirigidas se encuentran premarcadas en la
opción de “aceptadas”:
X Cookies técnicas (estrictamente necesarias)
X Cookies de rendimiento
X Cookies dirigidas
<<Confirmar mis preferencias>> <<Rechazar todas las cookies>>
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/17
Si se opta por “Rechazar todas las cookies” se comprueba como la web sigue
utilizando cookies de terceros que no son técnicas o necesarias:
Cookie Proveedor Cookies Proveedor
MUID .bing.com / CONSENT .google.com /
IDE .doubleclick.net NID .google.com /
_kuid_ .krxd.net / AEC .google.com /
4.- Si se accede a la “Política de Cookies”, a través del enlace existente en el banner
sobre cookies de la primera capa o a través del enlace existente en la parte inferior de
la página principal, la web redirige a una nueva página, ***URL.4 donde se informa al
usuario de qué son las cookies, qué tipos de cookies existen; se identifican las cookies
que utiliza el sitio web, su funcionalidad y el tiempo de actividad (***URL.5) , además
de cómo administrar las cookies a través de los navegadores instalados en el equipo
terminal de usuario.
FUNDAMENTOS DE DERECHO
I.- Competencia:
- Sobre el tratamiento de los datos personales y la “Política de Privacidad”:
Es competente para iniciar y resolver este procedimiento, la Directora de la Agencia
Española de Protección de Datos, en virtud de los poderes que el art 58.2 del RGPD
reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y
68.1 de la Ley LOPDGDD.
- Sobre la “Política de Cookies”:
Es competente para iniciar y resolver este procedimiento, la Directora de la Agencia
Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1,
párrafo segundo, de la de la Ley LSSI.
II.- Sobre el tratamiento de los datos personales y la “Política de Privacidad” de la web
***URL.1 :
Se ha podido constatar que en la web se pueden obtener datos personales de los
usuarios que desean registrarse en la web o adquieren un billete de avión, a través de
los enlaces correspondientes.
Antes de poder enviar cualquiera de los dos formularios, el usuario debe cliquear
obligatoriamente en la casilla de haber leído y aceptado su política de privacidad.
También existe la posibilidad de darse de alta, de forma voluntaria, para recibir
comunicaciones comerciales o promocionales de la compañía.
Respecto a esto, el artículo 6.1 del RGPD, establece, sobre la licitud del tratamiento de
datos personales, lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/17
“El tratamiento de los datos personales será licito si, cumple una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales; (…).
Por otra parte, si se accede a la “Política de Privacidad”, a través de los enlaces
existentes en los formularios o a través del enlace existente en la parte inferior de la
página principal, la web proporciona información sobre la identidad del responsable de
la página; de dónde obtienen los datos personales, la finalidad del tratamiento de
dichos datos, el tiempo de conservación de los mismos y los derechos que asisten a
los usuarios en lo que respecta a sus datos personales, ante quien realizarlo y cómo
hacerlo, así como, la posibilidad de presentar una reclamación ante la autoridad
nacional de control.
En este sentido, el artículo 13 del RGPD, establece la información que se debe
proporcionar al interesado en el momento de obtener sus datos personales:
“1.Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que estos se obtengan, le facilitará:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base jurídica
del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;
f) en su caso, la intención del responsable de transferir datos personales a un tercer
país u organización internacional y la existencia o ausencia de una decisión de
adecuación de la Comisión, o, en el caso de las transferencias indicadas en los
artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las
garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o
al hecho de que se hayan prestado.
2.Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado, en el momento en que se obtengan los datos
personales, la siguiente información necesaria para garantizar un tratamiento de datos
leal y transparente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/17
a) el plazo durante el cual se conservarán los datos personales o, cuando no sea
posible, los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los
datos personales relativos al interesado, y su rectificación o supresión, o la limitación
de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad
de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo
9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el
consentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o un
requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar
los datos personales y está informado de las posibles consecuencias de que no
facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se
refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado”.
Por tanto, en el presente caso, con arreglo a las evidencias que se disponen en este
momento, se considera que la gestión de los datos personales que realiza la página
web, ***URL.1 no se contradice con lo estipulado en el RGPD respecto al
consentimiento en el tratamiento de los datos personales para enviarle
comunicaciones comerciales y respecto a la información que se proporciona al
interesado cuando se obtienen de él, sus datos personales.
III.- Sobre la Política de Cookies de la página web ***URL.1.
a).- Sobre la instalación de cookies en el equipo terminal previo al
consentimiento:
El artículo 22.2 de la LSSI establece que se debe facilitar a los usuarios información
clara y completa sobre la utilización de los dispositivos de almacenamiento y
recuperación de datos y, en particular, sobre los fines del tratamiento de los datos.
Esta información debe facilitarse con arreglo a lo dispuesto el RGPD.
Por tanto, cuando la utilización de una cookie conlleve un tratamiento que posibilite la
identificación del usuario, los responsables del tratamiento deberán asegurarse del
cumplimiento de las exigencias establecidas por la normativa sobre protección de
datos.
No obstante, es necesario señalar que quedan exceptuadas del cumplimiento de las
obligaciones establecidas en el artículo 22.2 de la LSSI aquellas cookies necesarias
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/17
para la intercomunicación de los terminales y la red y aquellas que prestan un servicio
expresamente solicitado por el usuario.
En este sentido, el GT29, en su Dictamen 4/2012, interpretó que entre las cookies
exceptuadas estarían las Cookies de entrada del usuario” (aquellas utilizadas para
rellenar formularios, o como gestión de una cesta de la compra); cookies de
autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario
(aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio
web); cookies de sesión de reproductor multimedia; cookies de sesión para equilibrar
la carga; cookies de personalización de la interfaz de usuario y algunas de
complemento (plug-in) para intercambiar contenidos sociales.
Estas cookies quedarían excluidas del ámbito de aplicación del artículo 22.2 de la
LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su
uso. Por el contrario, será necesario informar y obtener el consentimiento previo del
usuario antes de la utilización de cualquier otro tipo de cookies, tanto de primera como
de tercera parte, de sesión o persistentes.
En la comprobación realizada por esta Agencia en la página web reclamada se pudo
constatar que, al entrar en la página principal y sin realizar ninguna acción sobre la
mimas ni aceptar las cookies, se utilizaban las siguientes cookies no necesarias:
Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción
sobre la página, se ha comprobado que se utilizan cookies de terceros que no son
técnicas o necesarias, cuyos proveedores son:
.bing.com; .doubleclick.net; .google.com; .criteo.com; .krxd.net; .analytics.yah
oo.com; .yahoo.com; .rlcdn.com; .adform.net; .agkn.com; .criteo.com; .rfihub.co
m; .adform.net
b).- Sobre el consentimiento a la instalación de cookies en el equipo terminal:
Para la utilización de las cookies no exceptuadas, será necesario obtener el
consentimiento del usuario de forma expresa. Este consentimiento se puede obtener
haciendo clic en, “aceptar” o infiriéndolo de una inequívoca acción realizada por el
usuario que denote que el consentimiento se ha producido inequívocamente. Por
tanto, la mera inactividad del usuario, hacer scroll o navegar por el sitio web, no se
considerará a estos efectos, una clara acción afirmativa en ninguna circunstancia y no
implicará la prestación del consentimiento por sí misma. Del mismo modo, el acceso a
la segunda capa si la información se presenta por capas, así como la navegación
necesaria para que el usuario gestione sus preferencias en relación con las cookies en
el panel de control, tampoco es considerada una conducta activa de la que pueda
derivarse la aceptación de cookies.
No está permitido tampoco la existencia de “Muros de Cookies”, esto es, ventanas
emergentes que bloquean el contenido y el acceso a la web, obligando al usuario a
aceptar el uso de las cookies para poder acceder a la página y seguir navegando sin
ofrecer al usuario ningún tipo de alternativa que le permita gestionar libremente sus
preferencias sobre la utilización de las cookies.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/17
Si la opción es dirigirse a una segunda capa o panel de control de cookies, el enlace
debe llevar al usuario directamente a dicho panel de configuración. Para facilitar la
selección, en el panel podrá implementarse, además de un sistema de gestión
granular de cookies, dos botones más, uno para aceptar todas las cookies y otro para
rechazarlas todas. Si el usuario guarda su elección sin haber seleccionado ninguna
cookie, se entenderá que ha rechazo todas las cookies. En relación con esta segunda
posibilidad, en ningún caso son admisibles las casillas premarcadas a favor de aceptar
cookies.
Si para la configuración de las cookies, la web remite a la configuración del navegador
instalado en el equipo terminal, esta opción podría ser considerada complementaria
para obtener el consentimiento, pero no como único mecanismo. Por ello, si el editor
se decanta por esta opción, debe ofrecer además y en todo caso, un mecanismo que
permita rechazar el uso de las cookies y/o hacerlo de forma granular.
Por otra parte, la retirada del consentimiento prestado previamente por el usuario
deberá poder ser realizado en cualquier momento. A tal fin, el editor deberá ofrecer un
mecanismo que posibilite retirar el consentimiento de forma fácil en cualquier
momento. Se considerará que esa facilidad existe, por ejemplo, cuando el usuario
tenga acceso sencillo y permanente al sistema de gestión o configuración de las
cookies.
Si el sistema de gestión o configuración de las cookies del editor no permite evitar la
utilización de las cookies de terceros una vez aceptadas por el usuario, se facilitará
información sobre las herramientas proporcionadas por el navegador y los terceros,
debiendo advertir que, si el usuario acepta cookies de terceros y posteriormente desea
eliminarlas, deberá hacerlo desde su propio navegador o el sistema habilitado por los
terceros para ello.
En el caso que nos ocupa, el banner de la primera capa posibilita aceptar todas las
cookies o gestionarlas en el panel de control. No obstante, si se accede al panel de
control se comprueba como las cookies de rendimiento y las cookies dirigidas se
encuentran premarcadas en la opción de “aceptadas”.
Si se opta por “rechazar todas las cookies”, en la opción existente en el panel de
control se comprueba como la web sigue utilizando cookies de terceros que no son
técnicas o necesarias, cuyos proveedores son: bing.com; google.com; doubleclick.net
y krxd.net.
IV.- Calificación y sanciones que pudieran corresponder respecto a las infracciones
cometidas en la política de Cookies:
De las deficiencias detectadas, respecto de la política de cookies, en la página web
***URL.1: (La utilización de cookies de terceros que no son técnicas o necesarias; los
grupos de cookies premarcados en la opción de “aceptados” en el panel de control y la
imposibilidad de rechazar las cookies de terceros que no son técnicas o necesarias,
podrían suponer por parte del reclamado, la comisión de la infracción del artículo 22.2
de la LSSI, pues establece que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/17
“Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y
recuperación de datos en equipos terminales de los destinatarios, a condición de que
los mismos hayan dado su consentimiento después de que se les haya facilitado
información clara y completa sobre su utilización, en particular, sobre los fines del
tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13
de diciembre, de protección de datos de carácter personal.
Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para
aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros
adecuados del navegador o de otras aplicaciones.
Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo
fin de efectuar la transmisión de una comunicación por una red de comunicaciones
electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de
un servicio de la sociedad de la información expresamente solicitado por el
destinatario”.
Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que
considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos
cuando no se hubiera facilitado la información u obtenido el consentimiento del
destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser
sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada
LSSI.
Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de
lo que resulte de la instrucción, se considera que procede graduar la sanción a
imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de
la LSSI: La existencia de intencionalidad, expresión que ha de interpretarse como
equivalente a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia
Nacional de 12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a la
entidad denunciada la determinación de un sistema de obtención del consentimiento
informado que se adecue al mandato de la LSSI.
Con arreglo a dichos criterios, se estima adecuado imponer una sanción inicial de
30.000 euros, (treinta mil euros), por la infracción del artículo 22.2 de la LSSI, respecto
de la política de cookies realizada en la página web de su titularidad: ***URL.1.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,
SE ACUERDA:
INICIAR: PROCEDIMIENTO SANCIONADOR a ante la entidad VUELING AIRLINES,
S.A., con CIF.: A63422141 titular de la página web ***URL.1 por infracción del artículo
22.2 de la LSSI, por las deficiencias detectadas en su página web respecto de la
“Política de Cookies”.
NOMBRAR: como Instructor a D. B.B.B., y Secretaria, en su caso, a Dª C.C.C.,
indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo
establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico
del Sector Público (LRJSP).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/17
INCORPORAR: al expediente sancionador, a efectos probatorios, la reclamación
interpuesta por el reclamante y su documentación, los documentos obtenidos y
generados por la Subdirección General de Inspección de Datos durante la fase de
investigaciones, todos ellos parte del presente expediente administrativo.
QUE: a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que
pudiera corresponder sería de 30.000 euros (treinta mil euros), por la infracción del
artículo 22.2 de la LSSI, sin perjuicio de lo que resulte de la instrucción del presente
expediente.
NOTIFICAR: el presente acuerdo de inicio de expediente sancionador a VUELING
AIRLINES, S.A., otorgándole un plazo de audiencia de diez días hábiles para que
formule las alegaciones y presente las pruebas que considere convenientes.
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la
sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del
plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo
que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en
el presente procedimiento, equivalente en este caso a 6.000 euros. Con la aplicación
de esta reducción, la sanción quedaría establecida en 24.000 euros, resolviéndose el
procedimiento con la imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de esta, equivalente en este caso a
6.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en
24.000 euros y su pago implicará la terminación del procedimiento.
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 18.000 euros (diez y ocho mil euros).
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas
anteriormente, deberá hacerlo efectivo mediante su ingreso en la cuenta Nº ES00
0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/17
Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de
referencia del procedimiento que figura en el encabezamiento de este documento y la
causa de reducción del importe a la que se acoge.
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
El procedimiento tendrá una duración máxima de nueve meses a contar desde la
fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio.
Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de
actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la
LPACAP, contra el presente acto no cabe recurso administrativo alguno.
Mar España Martí
Directora de la Agencia Española de Protección de Datos.
>>
SEGUNDO: En fecha 11 de abril de 2022, la parte reclamada ha procedido al pago de
la sanción en la cuantía de 18000 euros haciendo uso de las dos reducciones
previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad.
TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio.
FUNDAMENTOS DE DERECHO
I
De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de
servicios de la sociedad de la información y de comercio electrónico (en adelante
LSSI) y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5
de diciembre, de Protección de Datos Personales y garantía de los derechos digitales
(en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la
Directora de la Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/17
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”
Por último, la Disposición adicional cuarta "Procedimiento en relación con las
competencias atribuidas a la Agencia Española de Protección de Datos por otras
leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo
será de aplicación a los procedimientos que la Agencia Española de Protección de
Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por
otras leyes."
II
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento EXP202103886, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a VUELING AIRLINES, S.A..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/17
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
936-240122
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es