1/35
Expediente N.º: EXP202203580 (PA/00053/2023)
RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 18 de febrero de 2022
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y
REASEGUROS, S.A. con NIF A28141935 (en adelante, MAPFRE). Los motivos en
que basa la reclamación son los siguientes:
Reclamación contra MAPFRE en relación con la utilización de cookies en su sitio web.
El reclamante sostiene que se cargan cookies "antes de poder gestionarlas, sin
realizar acción alguna" y que, en relación con la utilización de Google Analitycs, se
estarían produciendo transferencias internacionales a EE.UU.
Junto a la reclamación se aporta:
-Imágenes de la web de MAPFRE de “Aviso de Cookies” de la web ***URL.1.
- Impresión del navegador Chrome – Configuración- Seguridad y Privacidad.
Con fecha 18 de marzo de 2022, se incorporaron al expediente las siguientes
evidencias recogidas por esta Agencia:
- Impresión de una serie de pantallas de la Política de Privacidad y Tratamiento de
datos de la web ***URL.2, en la que se recogen las siguientes cookies de Google
Analytics: _ga, _gid.
- Realizando una prueba de cookies instaladas tras aceptar, se comprobó la
instalación de las mencionadas cookies de Google Analytics.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/35
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 4 de mayo de 2022 como
consta en el acuse de recibo que obra en el expediente.
Con fecha 6 de junio de 2022 se recibe en esta Agencia escrito de respuesta indicando
que:
“1. Decisión adoptada a propósito de la reclamación
Consecuencia de las revisiones internas realizadas se ha decidido reforzar el proceso
de verificación y revisión previo a la subida a producción de las políticas de privacidad
y de cookies. Así como continuar en el proceso de implantación del modelo de
gobierno de cookies, incidiendo en el escaneo periódico para forzar la correcta
clasificación de las cookies de tal forma que estén reflejadas en las categorías
correctas, tanto en el configurador como en la política de cookies.
2. Causas que han motivado la incidencia que ha originado la reclamación.
El traslado de reclamación señala como fecha de entrada en la Agencia el día 18 de
febrero de 2022, consta de tres tipologías de hechos diferentes:
1. El reclamante manifiesta que en el sitio web ***URL.3 se estarían instalando
cookies, antes de poder gestionarlas.
A este respecto indicar que en la fecha de febrero de 2022 la política de cookies en
Mapfre.es, se puede comprobar en el adjunto como Evidencia 1, refleja una
distribución de cookies incorrecta dentro de las categorías.
Esto es consecuencia de las características de la herramienta utilizada para clasificar
y gestionar cookies, y de los procesos de revisión de estas mediante escaneos
periódicos. Por ello, es posible que estás puedan figurar mal asignadas a una
categoría en el configurador de cookies, o no se hubieran eliminado aquellas que
estuvieran obsoletas, y derivado de su sincronización con la política de cookies
mediante un script estas figuren así asignadas. Señalar que no por ello, se procede a
la instalación.
En este sentido MAFPRE ESPAÑA está inmersa en un proyecto de “gobierno de
cookies”, tal y como se explica en el apartado 3, con el objetivo de mejorar la gestión
de las mismas según acredita el siguiente historial de cambios:
A la fecha de estas alegaciones MAPFRE ha podido comprobar tras el análisis de las
cookies desplegadas, no se instala ninguna cookie salvo que el usuario acepte la
selección elegida. Las cookies se retienen hasta que el usuario realiza la acción de
guardar configuración.
Las cookies que se instalan en el caso de rechazar todas, como se evidencia a
continuación, son las estrictamente necesarias.
Al respecto de la gestión de cookies realizada por MAPFRE indicar que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/35
Primero, con relación a cómo facilitamos la información a los usuarios sobre la
utilización de cookies y los fines del tratamiento de los datos, MAPFRE sigue lo
dispuesto en la guía “Guía sobre el uso de las cookies Julio 2020” (la Guía). La
gestión de las cookies y la necesidad de adecuar la misma tanto a la LSSI como a las
normativas de protección de datos es algo que siempre ha estado presente en
MAPFRE. Por este motivo, a lo largo de todo este tiempo se han acometido diversas
actuaciones encaminadas a garantizar el cumplimiento de las distintas regulaciones,
así como de los criterios que han ido surgiendo con el paso del tiempo.
En aras de la transparencia y la usabilidad del entorno web, MAPFRE cumple con el
deber de información a lo largo de dos niveles de detalle. Un primer nivel en el banner
de cookies y el configurador de preferencias y un segundo nivel mediante política de
privacidad y la política de cookies.
Primer nivel de información a través del banner de cookies y el configurador de
preferencias de usuario.
Primero, en el pop up (banner de cookies) que le aparece a un usuario la primera vez
que accede a la web incluyendo la definición y descripción de la función genérica de
las cookies de www.mapfre.es:
“MAPFRE ESPAÑA S.A. utiliza cookies propias y de terceros para realizar análisis
estadísticos, la autenticación de la sesión de usuario, mostrarte contenido útil y
mejorar y personalizar determinados servicios mediante el análisis de tus hábitos de
navegación. Puedes configurar estas cookies, pudiendo en tal caso limitarse la
navegación y servicios del sitio web. Si aceptas las cookies estás consintiendo la
utilización de las cookies en este sitio web. Puedes aceptar todas las cookies
pulsando el botón "Aceptar", o configurar o rechazar su uso clicando en Configuración
de cookies. Si deseas más información, puedes consultar nuestra Política de
Privacidad y Política de Cookies”
Segundo, al pinchar en el enlace activo del banner de cookies “Configuración de
cookies” se despliega el configurador de cookies donde se informa de las categorías
de cookies.
- Cookies estrictamente necesarias: Estas cookies se utilizan para que el sitio web
funcione y para que puedas navegar a zonas seguras. No podemos desactivarlas,
pero si aun así quieres cambiarlas puedes modificarlas a través de la configuración de
tu navegador. Al configurarlas es muy probable que la página web no funcione, ya que
son cookies necesarias.
- Cookies analíticas: Se utilizan para recabar estadísticas de actividad del usuario.
Entre otros, se analizan el número de usuarios que visitan el sitio web, el número de
páginas visitadas, así como la actividad de los usuarios en el sitio web y su frecuencia
de utilización. La información recopilada siempre es anónima de tal forma que no se
podrá establecer un vínculo entre ésta y la persona física a quién se refiere.
- Cookies funcionales: Estas cookies permiten mejorar la funcionalidad, como vídeos y
chats en línea. Es posible que las establezcamos nosotros o proveedores externos
cuyos servicios están integrados en nuestras páginas. Si no permites estas cookies,
es posible que algunas o todas estas prestaciones no funcionen correctamente. Un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/35
ejemplo serían las cookies de reproductores multimedia, que se utilizan para
almacenar datos técnicos con vistas a reproducir contenidos de video o de audio.
Además, gracias a ellas el contenido se ajusta a tu uso. Permiten recordar información
para personalizar tu experiencia.
- Cookies de marketing: Estas cookies posibilitan la personalización y adecuación de
las comunicaciones publicitarias que se muestran, de acuerdo con tus preferencias.
Además, permiten personalizar algunas de las opciones generales de la página web,
gracias a los datos de navegación. También se usa para integrar las redes sociales en
nuestro site y que el usuario tenga la posibilidad de compartir en redes sociales los
contenidos de interés.
Tercero, en el configurador se incluyen enlaces, que despliegan información más
específica, para que el usuario pueda consultar en cada categoría de cookies cuáles
son de primera parte y cuales son de terceros. Se identifican las cookies de terceros
por su nombre o por la marca con la que se identifican de cara al público.
Segundo nivel de información:
A través de la política de cookies, que mediante un script del configurador sincroniza la
clasificación de las cookies del configurador con las categorías denunciadas y a través
de la política de privacidad incluida dentro del pop up del configurador. Así mismo esto
se encuentra todo el tiempo disponible en el pie de la web.
En la política de cookies es informado de cómo evitar la utilización de cookies de
terceros una vez aceptadas por el usuario, se facilita información sobre las
herramientas proporcionadas por el navegador, y los terceros y si posteriormente
desea eliminarlas, deberá hacerlo desde su propio navegador o el sistema habilitado
por los terceros para ello.
En la política de privacidad se informa que aquellos tratamientos relacionados con los
fines de gestión de cookies y su base de licitud.
Segundo, en relación a cómo facilitamos al usuario los mecanismos para, rechazar o
retirar el consentimiento para su uso. El usuario, previamente a que las cookies se
instalen en su navegador, dispone de toda la información necesaria por capas para
tomar la decisión de cuáles selecciona o rechaza.
Entonces, siendo consciente de las consecuencias sobre aceptar o denegar la
instalación de cookies enunciadas puede decidir qué acción realizar. Asimismo, en
cualquier momento puede retirar el consentimiento prestado mediante el acceso al
enlace del configurador de cookies ubicado en el pie de la web. La acción que debe
realizar el usuario es una clara acción afirmativa para que el consentimiento se
considere válidamente otorgado.
Estos requisitos para obtener el consentimiento se materializan técnicamente de la
siguiente forma:
En un primer nivel el usuario puede aceptar todas las cookies pulsando el botón
"Aceptar", o configurar o rechazar su uso clicando en Configuración de cookies.
En segundo nivel, dentro de la configuración de las cookies puede:
Aceptar o rechazar todas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/35
Aceptar por categorías de cookies desplazando el cursor y guardando
preferencias Hasta que el usuario no realiza ninguna de las anteriores
acciones se mantienen desactivadas todas aquellas que no sean estrictamente
necesarias y se instalaran en su navegador aquellas que haya seleccionado a
medida que realice la navegación web por el dominio y subdominios en función
del servicio solicitado.
2. El reclamante manifiesta que, en la página de privacidad, se estaría limitando la
forma de contacto para el ejercicio de derechos a una dirección postal, sin
proporcionar una dirección de correo electrónico.
Derivado de la actualización de políticas de privacidad estuvo disponible durante
meses la política de privacidad incluida en esta Evidencia 2
El último cambio que se realizó en el texto fue en 26/03/2021. La evidencia de la
evolución de cambios:
La última versión disponible ***URL.2 se incluye el correo electrónico, que subsana el
error bajo el siguiente literal:
Los anteriores derechos pueden ejercerse directamente por el titular de los datos o
mediante representante legal o voluntario, a través de comunicación escrita y dirigida
a Oficina Corporativa de Privacidad y Protección de Datos en la Carretera de Pozuelo,
52, 28222 Majadahonda, Madrid o escribiendo a ***URL.1. Se adjunta como
documento . Evidencia 3
El error estuvo disponible durante un breve tiempo hasta haber realizado la revisión de
esta en marzo.
Añadir que no sólo se encuentra a disposición del interesado como medio de contacto
electrónico el correo de la ***URL.2 sino también:
- Buzón del DPD incluido al inicio de la política.
- Así como otros canales como los disponibles en el Área de clientes.
3. El reclamante manifiesta que se estarían transfiriendo datos personales a Estados
Unidos mediante los servicios de Google Analytics y Google Adds.
En este apartado consideramos importante señalar de nuevo que dentro del proyecto
gobierno de gestión de cookies al realizar escaneos periódicos es posible que se
clasifiquen cookies no estrictamente necesarias en una categoría que no le
corresponde, pero esto no implica que se estén instalando. Por lo que aquellas
cookies de Google analytics y Google ads únicamente se instalan bajo consentimiento
una vez que el usuario tras la lectura de la política de privacidad y la política de
cookies toma la decisión de aceptarlas.
En consecuencia, sólo aquellas cookies que han sido consentidas se envían a Google
Analytics tras un proceso de anonimizacion, en donde la función de anonimización de
IPs aplica el enmascaramiento de IP para que Google Analytics use solo una parte de
una dirección IP recopilada, en lugar de la dirección completa.
El método de anonimización se realiza sobre la variable "aip" la cual, si tiene el valor
"1" en la llamada, significa que la anonimización está activa. Aquí está documentado:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/35
https://developers.google.com/analytics/devguides/collection/protocol/v1/parameters?
hl=es#aip
Por otro lado, sobre las acciones de migración a Google Analytics 4 identificadas en el
año 2021, a nivel corporativo se trazó un plan para que en 2022 se pueda cerrar la
migración que están llevando a cabo todas las entidades del Grupo MAPFRE. En la
evidencia 4 se adjunta muestra el plan de acción que se presenta en mayo de 2021
con las acciones a realizar para mejorar la analítica y la migración a Google analytics
4.
Uno de los aceleradores del plan de implantación y mejora proviene del cambio de
plataforma tecnológica para la creación y generación de los sites comerciales, como
es el caso de mapfre.es.
Todos los portales generados para todas entidades salen con una versión de Google
Analytics 4 estándar, dando la oportunidad a las diferentes entidades de personalizar y
mejorar dicha versión en base a sus necesidades. Este es el caso de mapfre.es, cuya
fecha de migración se establece para el 7 de abril 2022, siendo uno de últimos
portales en migrar debido a su extensión.
Para aquellas cookies que se encuentran dentro de la migración a la versión 4 de
Google analytics, no es necesario anonimizar las IP, ya que estas no se registran ni se
almacenan. En esta versión las direcciones IP se usan en el momento de la recogida
para determinar la información de ubicación (país, ciudad, latitud y longitud de la
ciudad) y, luego, se descartan antes de que los datos se registren en los centros de
datos o servidores.
Al respecto de Google ads al utilizar las etiquetas facilitadas desde Google analytics,
al ir estas anonimizadas, se encuentran bajo la misma protección. Las cookies _gac y
_gcl almacenan información de las campañas para proporcionar a Google Ads una
forma más fiable de medir las interacciones de los clientes con su empresa. Analytics
registra información de las campañas en las cookies _gac y _gcl cuando un usuario
abre una página de su sitio web a través de una URL que usa el etiquetado automático
de Google Ads.
2. Las medidas adoptadas para adecuar su “Política de Privacidad”.
Se ha reforzado dentro del proceso de revisión de subida de la política de privacidad
la validación de los controles incluidos dentro de la guía de cumplimiento del deber de
la información de la AEPD y el informe Informe Sobre Políticas De Privacidad En
Internet Adaptación Al RGPD En MAPFRE existe un firme compromiso con la
protección de datos personales.
Para hacer frente a los requerimientos establecidos por el Reglamento Europeo de
Protección de Datos. En Julio de 2016 se constituyó un Grupo de Trabajo Corporativo
destinado a adecuar a MAPFRE, de manera temprana y con un enfoque transversal y
proactivo, a las nuevas exigencias. Este Grupo de Trabajo Corporativo, entre otras
líneas, se definió los distintos proyectos y líneas de actividad que se deben desarrollar
para adecuarse al nuevo Reglamento, contemplando entre otros:
- Catálogo de Textos de Privacidad: Identificación, revisión y en su caso codificación,
de los textos que deben ser modificados o elaborados con motivo de la adecuación al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/35
Reglamento Europeo de Protección de Datos actualizado (cláusulas, políticas de
privacidad, mensajes…) garantizando que sean homogéneos, y que sirvan de
modelos en el grupo MAPFRE
- Deber de Información: Analizar los requerimientos en cuanto a la Información a
facilitar a los interesados, así como los mecanismos que se van a utilizar para
garantizar el deber de información. Revisar los textos y cláusulas informativas a los
interesados relativas al tratamiento, para que se ajusten a la información requerida y
siguiendo los criterios del reglamento: información concisa, transparente, inteligible y
de fácil acceso, con un lenguaje claro y sencillo.
- Gestión del consentimiento: Garantizar que se realiza una gestión de consentimiento
de los tratamientos en función de los nuevos requerimientos.
En este sentido, desde el Grupo de Trabajo se elaboraron y aprobaron las primeras
versiones de los siguientes documentos vinculados:
- Julio de 2017
- Febrero de 2018, tanto la política de privacidad como la política de cookies.
Con la entrada en vigor en mayo de 2018, este Grupo de Trabajo siguió activo,
convirtiéndose en el Comité de Privacidad y Protección de Datos Corporativo. Dicho
Comité se reúne con una periodicidad semestral, para hacer seguimiento de los
distintos pronunciamientos / novedades legislativas, y sin perjuicio de que se
convocan sesiones extraordinarias para tratar algún aspecto relevante concreto.
MAPFRE dispone de un observatorio normativo y de análisis de los múltiples
pronunciamientos por parte de los reguladores, de los países en que está presente,
con el objetivo de garantizar que, desde el diseño, todos los procesos cumplen en
todo momento con las normativas de privacidad y protección de datos que son de
aplicación.
En este sentido, vinculado a la Gestión de Cookies, se establecieron Grupos de
Trabajo específico, para analizar y definir los criterios y las líneas de acción a
acometer:
- Noviembre de 2019. A partir de la publicación de la Guía de Cookies de la AEPD se
estuvo trabajando en el análisis, a partir del cual se establecieron las líneas de
adaptación. Se muestra evidencia de la presentación mantenida en enero donde se
informaba del análisis realizado y se identificaban las acciones necesarias para
adecuarse a lo establecido en la guía.
- Julio de 2020. A partir de la publicación de la Guía sobre el uso de las Cookies de la
AEPD se estuvo trabajando en el análisis, a partir del cual se establecieron las líneas
para adecuarse antes del 31 de octubre de 2020, período transitorio de tres meses
para implementar los cambios necesarios de conformidad con los criterios introducidos
respecto del consentimiento de los usuarios para el uso de cookies.
Para realizar un control del cumplimiento de los textos implantados a parte de las
revisiones periódicas, indicar la realización de distintas auditorías de cumplimiento del
RGPD donde se revisa específicamente el tema de las políticas de privacidad y
cookies.
3. Las medidas adoptadas para adecuar la utilización de cookies. Mapfre, por la
particularidad tecnológica de sus recursos web, ha decidido la creación de un Modelo
de Gobierno de Cookies que se compone de tres líneas de trabajo:
Modelo de gobierno de cookies, integrando varias áreas de la compañía
(Privacidad, negocio digital, desarrollo web)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/35
Se basa en una dinámica de trabajo estructurada que permita minimizar al máximo los
posibles errores o problemas derivados del uso de OneTrust. Se establecen las
buenas prácticas que ayudan a detectar cuando es necesario hacer cambios en la
configuración de OneTrust
1. Ante cualquier nuevo site o desarrollo en los portales web:
migraciones, implementación de nuevas herramientas analíticas,
cambios en un aplicativo…
2. Revisiones periódicas para prevenir errores de implementación.
3. Detección de incidencias: errores en cargas de la web
Tras exportar el resultado del escaneo se revisarán las cookies encontradas y las
categorizaciones asignadas por OneTrust. En ocasiones estas categorías deben
cambiarse o asignarse de forma manual ya que la herramienta no es capaz de
entender quién o qué crea las cookies. En estos casos se crea un documento de
propuesta de categorización y descripciones que debe ser aprobado por legal.
Priorizar por dominios y subdominios, creación de dominios Evidencia 5
Externalización del servicio de gestión de cookies.
Se ha tomado la decisión de buscar el apoyo en la implantación del modelo de
gobierno de gestión de cookies mediante un servicio externo supervisado con el
objetivo de disponer de una monitorización proactiva y continua. Evidencia 6
Migración a G4: Proyecto de implantación.
Derivado del plan de acción corporativo de alcance global se ha iniciado en MAPFRE
ESPAÑA la migración a Google Analytics 4, tal y como estaba planeado en 2021.
Además de las mejoras en las funcionalidades de analítica web, la base de Google
Analytics 4 es la la privacidad. Al recoger datos, Google Analytics 4 no registra ni
almacena direcciones IP. Se retiran las direcciones IP que recoge de los usuarios de la
UE antes de registrarlos en dominios y servidores de la UE. Dentro de las líneas a
ejecutar la migración se encuentran:
Adaptación a nueva taxonomía GA4 de todos los activos Mapfre ES
En coordinación con IT, incluir datalayer en todos los activos posibles
Ajustes GA (DataStreams, Subproperties...)
Adaptación de informes a GA4 según prioridad”
TERCERO: Con fecha 19 de mayo de 2022, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: Con fecha 28 de mayo de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte
reclamada, por la presunta infracción del Artículo 44 del RGPD, tipificada en el Artículo
83.5 del RGPD.
QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a
las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue
recogida en fecha 29 de mayo de 2024 como consta en el acuse de recibo que obra
en el expediente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/35
SEXTO: Con fecha 30 de mayo de 2024, MAPFRE presentó un escrito a través del
cual solicitaba la ampliación del plazo para aducir alegaciones.
SÉPTIMO: Con fecha 31 de mayo de 2024, el órgano instructor del procedimiento
acordó la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con
lo dispuesto en el artículo 32.1 de la LPACAP.
El citado acuerdo se notificó a MAPFRE en fecha 31 de mayo de 2024, como consta
en el acuse de recibo que obra en el expediente.
OCTAVO: En fecha 19 de junio de 2024 se recibe escrito de alegaciones de la parte
reclamada en el que, en síntesis, se recogen las siguientes consideraciones:
- MAPFRE afirma haber corregido lo declarado por la parte reclamante en la
reclamación respecto a que en la web ***URL.3“se cargan cookies antes de poder
gestionarlas, sin realizar acción alguna”
- En el contrato vigente en el período de la reclamación, Google Ireland Limited es la
entidad que brinda los servicios de Google Analytics.
- Las cookies que habían sido consentidas se enviaban a Google aplicando un
proceso de anonimización sobre la dirección IP del usuario.
- Desde septiembre de 2023 Google LLC se encuentra adherida Marco de Privacidad
de Datos UE-EE. UU.
- A fecha de 6 de junio de 2022, MAPFRE se encontraba inmerso en el proceso de
migración a Google Analytics 4.
- Según MAPFRE, se ha creado un Comité Corporativo de Privacidad y Protección de
Datos. Este es un comité específico, de carácter operativo, para la dirección y control
en el ámbito de la privacidad y protección de datos, apoyando al DPO en el desarrollo
de sus funciones.
- Que, en virtud de lo dispuesto en el artículo 67.2 de la LOPDyGDD en conexión con
el artículo 122.4 del Reglamento de desarrollo de la LOPD (RLOPD), aprobado por
Real Decreto 1720/2007, de 21 de diciembre, en vigor en todo aquello que no
contradiga, se oponga o resulte incompatible con lo dispuesto en el RGPD y en la
LOPDGDD, las actuaciones previas llevadas a cabo por esa Agencia en el marco del
presente procedimiento de apercibimiento han de entenderse caducadas.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
PRIMERO: Con fecha 18 de marzo de 2022, con motivo del análisis de la reclamación
presentada por la parte reclamante contra MAPFRE, se constata por esta Agencia que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/35
la Política de Privacidad y Tratamiento de datos de la web ***URL.2, recoge las
siguientes cookies de Google Analytics: _ga, _gid (página 19 del expediente).
En esa misma fecha, se realiza la siguiente actuación: Aceptación de las cookies de la
web ***URL.1 a través del navegador Chrome. En la imagen incorporada al expediente
se comprueba que se han instalado las cookies _ga, _gid (página 44 del expediente).
SEGUNDO: Con fecha 6 de junio de 2022, en la respuesta al traslado de la
reclamación, MAPFRE reconoce que ha introducido el código de la herramienta
Google Analytics en su sitio web: “…por lo que aquellas cookies de Google analytics y
Google ads únicamente se instalan bajo consentimiento una vez que el usuario tras la
lectura de la política de privacidad y la política de cookies toma la decisión de
aceptarlas”.
TERCERO: Con fecha 2 de septiembre de 2020, el plenario del Comité Europeo de
Protección de Datos decidió crear un grupo de trabajo (en adelante, grupo de trabajo
TF101) para asegurar una aproximación coherente entre las autoridades de datos
europeas, respecto a la gestión de las 101 reclamaciones de NOYB relativas al uso de
Google Analytics y las posibles transferencias de datos a los EE. UU., en el contexto
de la sentencia del TJUE Schrems II.
CUARTO: En el documento de fecha 9 de abril de 2021. remitido por GOOGLE LLC a
la autoridad austríaca de protección de datos, la cual lo comparte con el resto de las
autoridades a través del grupo de trabajo TF101 reclamaciones de NOYB en el
contexto de la sentencia del TJUE Schrems II, consta la siguiente información y
manifestaciones (de su traducción no oficial del inglés):
(…).
QUINTO: En el modelo de Contrato de adhesión a los servicios de GOOGLE (página
145 y siguientes del expediente), con el título “Términos del Tratamiento de Datos de
Google Ads” (https://privacy.google.com/businesses/processorterms/), en su versión de
21 de septiembre de 2022, constaba que (traducción no oficial):
“Términos del Tratamiento de Datos de Google Ads
Google y la contraparte que acepta las presentes Condiciones (el “Cliente”), han
celebrado un contrato para la prestación de los Servicios del encargado del
tratamiento (con sus enmiendas puntuales, el “Contrato”)
Las presentes Condiciones del tratamiento de datos de los anuncios de Google, (las
“Condiciones del tratamiento de datos”) se suscriben por Google y el Cliente y
complementan al Contrato.
[…]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/35
Si usted acepta estos Términos del Tratamiento de Datos en nombre del Cliente, usted
garantiza que a) tiene plena autoridad legal para que estos Términos del Tratamiento
de Datos sean vinculantes para el Cliente, b) ha leído y comprende estos Términos del
Tratamiento de Datos y c) los acepta en nombre del Cliente. Si no tiene la autoridad
legal para que estos Términos del Tratamiento de Datos sean vinculantes para el
Cliente, no los acepte.
Introducción
Estos Términos del Tratamiento de Datos reflejan el acuerdo entre las pa.es con
respecto a los términos que rigen el tratamiento de determinados datos en relación
con la Legislación Europea de Protección de Datos y cierta Legislación No Europea de
Protección de Datos.
Definiciones e interpretación
[…]
“Entidad de Google” hace referencia a Google LLC (anteriormente conocida como
Google Inc.), Google Ireland Limited o cualquier otra entidad que, directa o
indirectamente, controle a Google LLC, esté controlada por Google LLC o esté sujeta
al mismo control que Google LLC.
“Google”: hace referencia a la Entidad de Google que sea parte del Contrato.
“Legislación Europea de Protección de Datos” hace referencia, según corresponda, a)
al RGPD y/o b) a la FDPA de Suiza.
[…]
“SCCs” hace referencia a las Cláusulas Contractuales Tipo del Cliente y/o las
Cláusulas Contractuales Tipo (Encargado del Tratamiento de la UE al Encargado del
Tratamiento, Exportador de Google), según corresponda.
[…]
“SCCs (Encargado del Tratamiento al Encargado del Tratamiento, Exportador de
Google)” hace referencia a los términos incluidos en ***URL.4.
[…]
“ Subencargados del Tratamiento” hace referencia a terceros autorizados en virtud de
estos Términos del Tratamiento de Datos para tener acceso lógico a los Datos
Personales del Cliente y tratarlos con la finalidad de prestar parte de los Servicios del
Encargado del Tratamiento y cualquier asistencia técnica relacionada.
[…]
5. Tratamiento de datos
5.1 Roles y cumplimiento normativo; autorización.
5.1.1 Responsabilidades del Encargado del Tratamiento de Datos y del Responsable
del Tratamiento de Datos.
Las partes reconocen y aceptan lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/35
(a) El apéndice 1 describe la cuestión y los detalles del tratamiento de Datos
Personales del Cliente.
(b) Google es un encargado del tratamiento de datos personales del Cliente;
(c) El Cliente es un responsable del tratamiento de datos o un encargado del
tratamiento, según corresponda, de los Datos Personales del Cliente; y
(d) Cada parte cumplirá las obligaciones que le correspondan en virtud de la
Legislación Aplicable de Protección de Datos con respecto al tratamiento de Datos
Personales del Cliente.
[…]
5.2. Instrucciones del Cliente. Al suscribir los presentes Términos del Tratamiento de
Datos, el Cliente indica a Google que trate los Datos Personales del Cliente
únicamente de conformidad con la ley aplicable: a) para prestar los Servicios del
Encargado del Tratamiento y cualquier asistencia técnica relacionada, b) tal y como se
especifica más detalladamente a través del uso por parte del Cliente de los Servicios
del Encargado del Tratamiento (incluidas la configuración y otras funciones de los
Servicios del Encargado del Tratamiento) y cualquier asistencia técnica relacionada, c)
según se documenta por medio del Contrato (incluidos estos Términos del Tratamiento
de Datos) y d) tal y como se documenta más detalladamente en otras instrucciones
proporcionadas por escrito por el Cliente y reconocidas por Google como instrucciones
constitutivas para los propósitos de estos Términos del Tratamiento de Datos (en
conjunto, las “Instrucciones”).
5.3 Cumplimiento de las Instrucciones por parte de Google. Google cumplirá las
Instrucciones a menos que lo prohíban las Leyes Aplicables o dichas Leyes Aplicables
exijan otro tratamiento.
[…]
10. Transferencias de datos
10.1 Almacenamiento de datos e instalaciones de tratamiento. De conformidad con
esta sección 10 (Transferencias de datos), Google podrá tratar Datos Personales del
Cliente en cualquier país en el que Google o cualquiera de sus Subencargados del
Tratamiento tenga instalaciones.
10.2 Transferencias Europeas Restringidas. Las partes reconocen que la Legislación
Europea de Protección de Datos no exige SCCs ni una Solución Alternativa de
Transferencia para tratar Datos Personales del Cliente en un País Adecuado ni para
transferirlos a este. Si los Datos Personales del Cliente son transferidos a cualquier
otro país y a esas transferencias se les aplica la Legislación Europea de Protección de
Datos (“Transferencias Europeas Restringidas”), en ese caso:
Si Google adopta una Solución Alternativa de Transferencia para cualquier
Transferencia Europea Restringida, Google informará al Cliente de la solución
relevante y se asegurará de que dichas Transferencias Europeas Restringidas se
realicen de acuerdo con dicha Solución y/o Si Google no ha adoptado o ha informado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/35
al Cliente de que ya no va a adoptar ninguna Solución Alternativa de Transferencia
para ninguna Transferencia Europea Restringida, en ese caso:
Si la dirección de Google se encuentra en un País Adecuado:
Se aplicarán las SCCs del Encargado del Tratamiento al Encargado del Tratamiento,
Exportador de Google) con respecto a todas las Transferencias Europeas Restringidas
de Google a los Subencargados del Tratamiento y.
(B) Además, si la dirección del Cliente no se encuentra en un País Adecuado, se
aplicarán las SCCs (Encargado del Tratamiento al Responsable del Tratamiento de
Datos) con respecto a las Transferencias Europeas Restringidas entre Google y el
Cliente, independientemente de si el Cliente es un responsable y/o un encargado del
tratamiento o
(ii) Si la dirección de Google no se encuentra en un País Adecuado, Se aplicarán las
SCCs del Responsable del Tratamiento de Datos al Encargado del Tratamiento y/o las
SCCs (Encargado del Tratamiento al Encargado del Tratamiento), en función de si el
Cliente es un responsable del tratamiento de datos y/o un encargado del tratamiento,
con respecto a las Transferencias Europeas Restringidas entre el Cliente y Google.
10.3 Medidas complementarias e información. Google proporcionará al Cliente la
información pertinente sobre las Transferencias Europeas Restringidas, incluida la
información sobre medidas complementarias para proteger los Datos Personales del
Cliente, tal y como se describe en la sección 7.5.1 (Revisiones de la Documentación
de Seguridad), en el apéndice 2 (Medidas de Seguridad) y en otros materiales
relacionados con la naturaleza de los Servicios del Encargado del Tratamiento y con el
tratamiento de los Datos Personales del Cliente (por ejemplo, artículos del centro de
ayuda).
10.4 Resolución. Si el Cliente concluye, según el uso que hace o pretende hacer de
los Servicios del Encargado del Tratamiento, que la Solución Alternativa de
Transferencia y/o las SCCs, según corresponda, no proporcionan la protección
adecuada para los Datos Personales del Cliente, el Cliente podrá resolver
inmediatamente el Contrato por conveniencia mediante una notificación por escrito a
Google.
10.5 Información de centros de datos. La información sobre las ubicaciones de los
centros de datos de Google está disponible en ***URL.5.
11. Subencargados del tratamiento de datos.
11.1 Consentimiento de contratación de un Subencargado del Tratamiento. El Cliente
autoriza específicamente la contratación como Subencargados del Tratamiento de las
entidades que figuren, a partir de la Fecha de Entrada en Vigor de los Términos, en la
URL especificada en la sección 11.2 (Información sobre los Subencargados del
Tratamiento). Asimismo, y sin perjuicio de lo estipulado en la sección 11.4
(Oportunidad de oponerse a cambios del Subencargado del Tratamiento), el Cliente
autoriza de forma general la contratación de cualquier otro tercero como
Subencargado del Tratamiento (“Nuevos Subencargados del Tratamiento”).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/35
[…]” (el subrayado es nuestro).
SEXTO: En la descripción de Google Analytics, localizable en las urls ***URL.5
constaba, entre más información, que las cookies _ga y _gid se usaban para distinguir
a los usuarios y que el parámetro “sr” se refería a la resolución de pantalla (página 136
y siguientes del expediente).
SÉPTIMO: Según consta en la respuesta a la pregunta 4 (ii) del documento de 09 de
abril de 2021 de GOOGLE LLC obrante en el expediente, el propietario del sitio web
que tenga implementado en dicha web el código de Google Analytics, puede elegir
entre múltiples períodos de retención que oscilan entre 2 meses y 50 meses desde el
momento en que se recopilaron los datos.
OCTAVO: Según consta en diligencia de fecha 27 de septiembre de 2024 obrante en
el expediente, a 18 de enero de 2021, en la url ***URL.6 constaba (traducción no
oficial, original en inglés):
“[…]
Solicitudes de agencias gubernamentales de EE. UU. en casos que involucran
seguridad nacional
En investigaciones relacionadas con la seguridad nacional, el gobierno de los EE. UU.
puede utilizar una Carta de Seguridad Nacional (NSL) o una de las autorizaciones
otorgadas en virtud de la Ley de Vigilancia de Inteligencia Extranjera (FISA) para
obligar a Google a proporcionar información del usuario.
Una NSL no requiere autorización judicial y solo puede usarse para obligarnos a
proporcionar información limitada del suscriptor.
Las órdenes y autorizaciones de FISA se pueden usar para obligar a la vigilancia
electrónica y la divulgación de datos almacenados, incluido el contenido de servicios
como Gmail, Drive y Photos.”
[…]” (traducción no oficial, original en inglés)
NOVENO: Según consta en diligencia de fecha 27 de septiembre de 2024 obrante en
el expediente, a 26 de enero de 2022, en la url ***URL.7 constaba (traducción no
oficial, original en inglés):
“[…]
Conceptos básicos sobre la información personal identificable en los contratos y las
políticas de Google.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/35
En muchos contratos, términos del servicio y políticas de los productos de publicidad y
medición de Google se hace referencia a la "información personal identificable" (IPI).
Se trata de una categorización de datos diferente a lo que el Reglamento General de
Protección de Datos (RGPD) considera "datos personales".
Tenga en cuenta que, aunque Google no identifique ciertos datos como información
personal identificable, es posible que el RGPD sí lo haga o que esos datos se
consideren información personal de conformidad con la Ley de Privacidad del
Consumidor de California (CCPA), y pueden estar sujetos a esas leyes.
[…]
Google considera "información personal identificable" la información que se pueda
usar por sí sola para identificar o ubicar con precisión a una persona, o para ponerse
en contacto con ella de forma directa. Entre otros datos, incluye lo siguiente:
• Direcciones de correo electrónico
• Direcciones de correo postal
• Números de teléfono
• Ubicaciones precisas (por ejemplo, coordenadas GPS, salvo en los casos que se
mencionan más abajo)
• Nombres completos (nombre y apellidos) o nombres de usuario.
[…]
Entre otros, Google no considera información personal identificable los siguientes
datos:
• ID de cookie seudónimos
• ID de publicidad seudónimos
• Direcciones IP
• Otros identificadores de usuario final seudónimos
Por ejemplo, si se envía una dirección IP con una solicitud de anuncio (algo que
sucede con casi todas las solicitudes de anuncios como consecuencia de los
protocolos de Internet), ese envío no incumplirá ninguna prohibición relacionada con el
envío de información personal identificable a Google.
Tenga en cuenta que, aunque Google no identifique ciertos datos como información
personal identificable, es posible que el RGPD, la CCPA u otras leyes de privacidad
los consideren datos personales o información personal.
[…]”
DÉCIMO: Según consta en diligencia de fecha 27 de septiembre de 2024 obrante en
el expediente, en la url ***URL.8 Google publica desde año 2009 el número de
solicitudes de información sobre usuarios en los EE. UU. relativas a FISA (Foreign
Intelligence Surveillance Act) y al NSL (National Security Letters).
FUNDAMENTOS DE DERECHO
I
Competencia y procedimiento
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/35
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
Considerando la naturaleza de los hechos que han dado lugar a las actuaciones y las
circunstancias concurrentes, el presente procedimiento de apercibimiento se sigue de
conformidad con lo establecido en el artículo 64.3 de la LOPDGDD.
II
Cuestiones previas
El artículo 4.2) del RGPD, define «tratamiento» como:
“cualquier operación o conjunto de operaciones realizadas sobre datos personales o
conjuntos de datos personales, ya sea por procedimientos automatizados o no, como
la recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación,
supresión o destrucción.”
Por su parte, el artículo 4.7) del RGPD, define al «responsable del tratamiento» o
«responsable» como:
“la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o
junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión
o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”.
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que MAPFRE
realiza la recogida y tratamiento a través del servicio Google Analytics de, entre otros,
los siguientes datos personales de personas físicas: identificadores únicos de usuarios
(_ga y _gid), la dirección IP, así como otros datos asociados al navegador y a la propia
navegación, entre otros tratamientos.
MAPFRE realiza esta actividad en su condición de responsable del tratamiento, dado
que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/35
Por su parte, el artículo 44 del RGPD establece el principio general de las
transferencias de datos personales a terceros países.
III
Contestación a las alegaciones
A continuación, se procede a dar respuesta a las alegaciones presentadas por la
entidad reclamada, según el orden en que aquellas son formuladas en su escrito:
“1. Con relación a la posible instalación de cookies analíticas.”
MAPFRE afirma haber corregido lo declarado por la parte reclamante en la
reclamación respecto a que en la web ***URL.3“se cargan cookies antes de poder
gestionarlas, sin realizar acción alguna”, reforzando el proceso de implantación del
modelo de gobierno de cookies, incidiendo en el escaneo periódico para forzar la
correcta clasificación de las cookies de tal forma que estén reflejadas en las categorías
correctas, tanto en el configurador como en la política de cookies.
En respuesta a esta alegación, cabe señalar que la cuestión planteada por MAPFRE
no desvirtúa su responsabilidad respecto a los hechos que motivaron la incoación del
presente procedimiento. La gestión de la instalación de las cookies es independiente
de que no exista causa que legitime la transferencia internacional de datos. Si
MAPFRE pretendía legitimar la transferencia internacional de datos con la obtención
del consentimiento de la parte reclamante, debió obtener dicho consentimiento de
forma específica al consentimiento obtenido para la instalación de las cookies.
Además, debía informar sobre los riesgos que las transferencias de datos a EE. UU.
suponían para los datos personales de la parte reclamante.
Por todo lo expuesto, se desestima la presente alegación.
“2. Con relación a las posibles transferencias internacionales de datos.”
“Primero .- Situación de MAPFRE ESPAÑA con anterioridad al Marco de Privacidad de
datos UE – EE.UU”
“1.- Contrato con Google Irlanda Limited”
En el contrato vigente en el período de la reclamación, Google Ireland Limited es la
entidad que brinda los servicios de Google Analytics.
En respuesta a esta alegación, cabe señalar que la responsabilidad de MAPFRE en la
comisión de la infracción que motiva este procedimiento es imputable en la medida
que la transferencia internacional de datos vulnera los derechos de la parte reclamante
y de los usuarios que visiten la web de MAPFRE, al no garantizar un nivel equivalente
de protección a lo establecido en el RGPD, debiendo garantizarse la eficacia de las
obligaciones establecidas por esta norma.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/35
Aclara a este respecto el Considerando 81 del RGPD que el encargado del tratamiento
debe ofrecer suficientes garantías en lo referente a conocimientos especializados,
fiabilidad y recursos, con vistas a la aplicación de medidas técnicas y organizativas
que cumplan los requisitos del Reglamento, incluida la seguridad del tratamiento.
Con fecha de 27 de septiembre de 2021 GOOGLE modificó sustancialmente las
“Condiciones para el tratamiento de datos de Google Ads.”, como puede comprobarse
en la web ***URL.9.
En el apartado 10.3 de estas “Condiciones” el Cliente que contrata el servicio asume
las denominadas “Transferencias Restringidas”:
“10.3 Transferencias Restringidas. Si el tratamiento de Datos Personales del Cliente
implica cualquier tipo de transferencia que no sea una Transferencia Permitida y a
esas transferencias se les aplica la Legislación Europea de Protección de Datos
("Transferencias Restringidas”), entonces:
(a) Si Google anuncia que ha adoptado una Solución Alternativa de Transferencia para
cualquier Transferencia Restringida, entonces se asegurará de que dichas
Transferencias Restringidas se realicen de acuerdo con dicha Solución Alternativa de
Transferencia.
(b) Si Google no ha adoptado ninguna Solución Alternativa de Transferencia para
ninguna Transferencia Restringida, entonces
(i) Si la dirección de Google se encuentra en un País Adecuado:
(…)
(ii) Si la dirección de Google no se encuentra en un País Adecuado:
(A) Se aplicarán las SCCs (Responsable del Tratamiento de Datos de la UE al
Encargado del Tratamiento) y/o las SCCs (Encargado del Tratamiento de la UE al
Encargado del Tratamiento), en función de si el Cliente es un responsable del
tratamiento de datos y/o un encargado del tratamiento, con respecto a las
Transferencias Restringidas entre el Cliente y Google que estén sujetas al RGPD de la
UE y/o a la FDPA de Suiza.
(…)”
Las SCCs aplicables al presente caso son las “SCCs (Google Ads y Medición:
Cláusulas Contractuales Tipo (Módulo 3: Procesador a Procesador)”, que pueden
consultarse en la siguiente web: ***URL.10, se atribuye la condición de exportador a
GOOGLE IRELAND, tal y como MAPFRE refiere en sus alegaciones
Sin embargo, MAPFRE, al introducir el código de la herramienta Google Analytics en
su sitio web ***URL.3 en base a una decisión corporativa, era conocedora de que los
datos personales son transferidos a Google LLC, con sede en los Estados Unidos,
bien directamente por MAPFRE o bien por Google Ireland.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/35
Si bien es cierto que MAPFRE no decide donde se conservan los datos personales por
Google LLC, desde el momento en que contrata los servicios de su herramienta de
Google Analytics, se entiende que está de acuerdo con el punto 10 de los “Términos
del Tratamiento de Datos de Google Ads”, por lo que el responsable del tratamiento ha
acordado que Google pueda almacenar y tratar datos personales del cliente (es decir,
datos personales de la parte reclamante y de cualquier usuario que visite la web en
cuestión) en cualquier país en el que Google o cualquiera de sus subencargados de
tratamiento de datos mantengan instalaciones, incluido los EE. UU., según declara la
propia Google LLC en el documento de fecha de 9 de abril de 2021. Así, la actuación
de Google LLC. se ciñe a lo estipulado y, por cuenta de MAPFRE, llevando a cabo el
tratamiento de los datos personales necesarios para la correcta prestación del servicio.
En consecuencia, con independencia de que las actuales SCCs (Google Ads y
Medición: Cláusulas Contractuales Tipo (Módulo 3: Procesador a Procesador)
contemplan como exportador de datos a Google Irlanda, MAPFRE, como responsable
del tratamiento, asume, junto con las demás condiciones de la contratación de los
servicios de Google LLC, los acuerdos relativos al tratamiento de datos y las SCCs
que permiten que los datos sean transferidos a Google LLC, con sede en los Estados
Unidos. Por lo tanto, MAPFRE es responsable de la transferencia internacional de
datos que se produce como consecuencia del servicio prestado por Google LLC.
Este criterio es compartido por el Comité Europeo de Protección de Datos (CEPD), el
cual, en cumplimiento del objetivo de garantizar la aplicación coherente del
Reglamento General de Protección de Datos (según le atribuye el artículo 70 del
RGPD), adoptó la siguientes directrices: “Guidelines 05/2021 on the Interplay between
the application of Article 3 and the provisions on international transfers as per Chapter
V of the GDPR” (traducción no oficial: “Directrices 05/2021 sobre la interacción entre la
aplicación del artículo 3 y las disposiciones sobre transferencias internacionales con
arreglo al capítulo V del RGPD”, en cuyo apartado 19 se dice lo siguiente (texto oficial
en inglés con subrayado añadido):
“También es importante señalar que el artículo 44 del RGPD prevé claramente que
una transferencia no sólo puede ser llevada a cabo por el responsable del tratamiento,
sino también por el encargado del tratamiento. Por lo tanto, habrá una situación de
transferencia cuando un encargado del tratamiento (ya sea en virtud del artículo 3,
apartado 1, o en virtud del artículo 3, apartado 2, para un tratamiento determinado,
como se ha explicado anteriormente) envía datos a otro encargado del tratamiento o
incluso a un responsable del tratamiento en un tercer país siguiendo instrucciones de
su responsable del tratamiento. En estos casos, el encargado del tratamiento actúa
como exportador de datos por cuenta del responsable del tratamiento y tiene que debe
garantizar que se cumplen las disposiciones del capítulo V para la transferencia en
cuestión según las instrucciones del responsable del tratamiento, incluida la utilización
de una herramienta de transferencia adecuada. Teniendo en cuenta que la
transferencia es una actividad de tratamiento realizada por cuenta del responsable del
tratamiento, éste también es responsable y podría ser responsable en virtud del
capítulo V, y también tiene que asegurarse de que el encargado del tratamiento
ofrezca garantías suficientes en virtud del artículo 28.”
En conclusión, cabe atribuir a MAPFRE la condición de responsable del tratamiento en
el sentido del artículo 4.7 del RGPD, ya que es quien gestiona el sitio web
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/35
«www.mapfre.es», determinando los medios y fines de la recopilación y el tratamiento
de los datos obtenidos a raíz de la integración de Google Analytics en su sitio web, de
manera que le corresponde garantizar que el tratamiento sea conforme con los
requisitos del RGPD, y debe garantizar la protección de los derechos del interesado en
las transferencias internacionales de datos, de acuerdo a lo dispuesto en el artículo 44
y siguientes del RGPD.
Por todo lo expuesto, se desestima la presente alegación.
“2.- Anonimización de la IP en su envío a Google Universal Analytics”
Las cookies que habían sido consentidas se enviaban a Google aplicando un proceso
de anonimización sobre la dirección IP del usuario.
En respuesta a esta alegación, cabe señalar que MAPFRE no ha acreditado de modo
alguno que las IPs sean anonimizadas dentro del territorio de la Unión Europea. No
existe ninguna prueba técnica ni se acredita de ninguna forma la afirmación de que la
anonimización de la IP se realice en el territorio de la Unión Europea, tal y como refiere
la propia MAPFRE: “…se debiera realizar de manera inmediata tras su recolección por
Google Irlanda” (el subrayado es nuestro)
Por lo tanto, toda dirección IP puede transmitirse a los Estados Unidos y acortarse solo
en un segundo paso después de su exportación. Allí, desde un punto de vista técnico,
existe la posibilidad de acceder a la dirección IP completa antes de su anonimización.
Además, debe tenerse en cuenta que la medida es opcional y no aplicable a todas las
transferencias.
Además de la IP, como se desarrolla en el Fundamento de Derecho IV de esta
resolución, en su punto 2, “Sobre la calificación de los datos objeto de tratamiento
como datos personales”, MAPFRE realiza transferencias internacionales de otros
datos personales mediante Google Analytics.
Por todo lo expuesto, se desestima la presente alegación.
“Segundo. - Situación de MAPFRE ESPAÑA a fecha de contestación del
apercibimiento.”
“1.- Adhesión de Google al EU-US Data Privacy Framework desde septiembre de
2023.”
Desde septiembre de 2023 Google LLC se encuentra adherida Marco de Privacidad de
Datos UE-EE. UU.
En respuesta a la alegación acerca del nuevo marco jurídico de EE. UU. y la adhesión
de Google LLC al “Marco de Privacidad de Datos UE-EE. UU”, a efectos de determinar
responsabilidad en la comisión de la infracción, no es aplicable el marco jurídico
actual, sino el régimen jurídico vigente en la fecha de los hechos objeto de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/35
reclamación, en particular por lo establecido por el TJUE en la sentencia en el asunto
C-311,/18 (Schrems II), que declaró inválida la Decisión de Ejecución (UE) 2016/1250
de la Comisión, de 12 de julio de 2016, sobre la adecuación de la protección conferida
por el Escudo de la Privacidad UE-EE. UU.
Por todo lo expuesto, se desestima la presente alegación.
“2.- Migración a Google Analytics 4 (GA4)”
MAPFRE se encontraba inmerso en el proceso de migración a Google Analytics 4, en
el que las IP dejan de ser registradas y almacenadas.
En respuesta a esta alegación, cabe señalar que la recogida de la IP por sí misma
constituye un tratamiento de datos personales de los interesados, independientemente
de su anonimización posterior. A modo de ejemplo, en Google Analytics 4, según la
“Privacidad y Datos en la UE” de Google (***URL.11), “…los datos de direcciones IP
se usan únicamente para obtener los datos de geolocalización y se descartan de
inmediato”, por lo que sí se utiliza información que pueda proporcionar la IP antes de
la anonimización.
Además, se mantienen los “Términos del Tratamiento de Datos de Google Ads”, según
el cual el responsable del tratamiento acuerda con Google que esta pueda almacenar
y tratar datos personales del cliente en cualquier país en el que Google o cualquiera
de sus subencargados de tratamiento de datos mantengan instalaciones. Cuando se
recopila esta información, se transmite a los servidores de Google Analytics. Y, según
el documento de Google LLC de fecha 9 de abril de 2021, en el último párrafo a la
respuesta de la pregunta 8, Google manifiesta que todos los datos recopilados a
través de Google Analytics están alojados en los Estados Unidos
Por todo lo expuesto, se desestima la presente alegación.
“Tercero.- MAPFRE ESPAÑA dispone de un Gobierno de cookies y cumplimiento
normativo.”
Según MAPFRE, se ha creado un Comité Corporativo de Privacidad y Protección de
Datos. Este es un comité específico, de carácter operativo, para la dirección y control
en el ámbito de la privacidad y protección de datos, apoyando al DPO en el desarrollo
de sus funciones. Además, en virtud de lo dispuesto en el artículo 67.2 de la
LOPDGDD en conexión con el artículo 122.4 del Reglamento de desarrollo de la
LOPD (RLOPD), aprobado por Real Decreto 1720/2007, de 21 de diciembre, en vigor
en todo aquello que no contradiga, se oponga o resulte incompatible con lo dispuesto
en el RGPD y en la LOPDGDD, las actuaciones previas llevadas a cabo por esa
Agencia en el marco del presente procedimiento de apercibimiento han de entenderse
caducadas.
- MAPFRE ha creado un Comité Corporativo de Privacidad y Protección de Datos.
Sin embargo, este Comité, que existe desde 2016, no ha tenido en cuenta respecto al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/35
tratamiento en cuestión, la doctrina establecida por el TJUE en el asunto C-311/18
(Schrems II), que declaró inválida la Decisión de Ejecución (UE) 2016/1250 de la
Comisión, de 12 de julio de 2016, sobre la adecuación de la protección conferida por el
Escudo de la Privacidad UE EE. UU. Según la respuesta de GOOGLE LLC de 9 de
abril de 2021 al tener el carácter de proveedor de servicios de comunicaciones
electrónicas en el sentido del apartado (b) del punto 4 del artículo 1881 del título 50 del
Código de los Estados Unidos, está sujeto a vigilancia por parte de los servicios de
inteligencia de EE. UU. de acuerdo con el apartado (a) del artículo 1881 del título 50
del Código de los Estados Unidos («FISA 702»), por lo que las transferencias
internacionales de datos con destino a los servidores de Google Analytics infringió el
marco normativo vigente según la sentencia del TJUE en el asunto C-311/18 .
Respecto a las cláusulas contractuales tipo en las que Google basa la transferencia
internacional de datos a los EE. UU., el TJUE consideró que de la naturaleza
contractual de estas cláusulas se derivaba que no podían ser vinculantes para las
autoridades de terceros países. En particular, el TJUE declaró que: “...Por lo tanto, si
bien existen situaciones en las que, en función de la legislación y las prácticas
vigentes en el tercer país de que se trate, el destinatario de dicha transferencia está
en condiciones de garantizar la protección necesaria de los datos únicamente sobre la
base de cláusulas contractuales tipo de protección de datos, existen otras en las que
el contenido de dichas cláusulas tipo podría no constituir un medio suficiente para
garantizar, en la práctica, la protección efectiva de los datos personales transferidos al
tercer país de que se trate. Este es el caso, en particular, cuando la legislación de ese
tercer país permite a sus autoridades públicas interferir con los derechos de los
interesados a los que se refieren dichos datos" (C-311/18, punto 126, subrayado).
- Caducidad de las actuaciones previas de investigación.
Respecto a la caducidad de las actuaciones de investigación, en respuesta a esta
alegación, cabe señalar que, en este caso, tras la admisión a trámite de la
reclamación, no se han llevado a cabo actuaciones previas de investigación, por lo que
no procede aplicar el plazo de doce meses de duración de dichas actuaciones, que el
artículo 67.2 de la LOPDGDD establecía como límite temporal, según la redacción
vigente de dicho artículo en el momento en el que la reclamación fue admitida a
trámite. El plazo establecido el artículo 67.2 de la LOPDGDD es el plazo máximo en el
que debe dictarse el acuerdo de inicio, sólo en el supuesto de que se hayan acordado
la apertura de actuaciones previas de investigación, no pudiendo aplicarse diche límite
temporal, como pretende MAPFRE, aun en el caso de que aquellas no hayan sido
acordadas.
Tras la admisión a trámite de la reclamación, no estimándose necesario realizar
actuaciones previas de investigación, el único límite temporal que debemos aplicar es
el plazo de prescripción de tres años previsto en el artículo 72.1.l) de la LOPDGDD
para el supuesto de infracciones muy graves, tal y como se fundamentó en el acuerdo
de inicio. Teniendo en cuenta la ausencia de decisión de adecuación con EE. UU. (tras
la STJUE C-311/18) entre el 16 de julio de 2020 y el 10 de julio de 2023, los hechos
referidos en la reclamación se mantuvieron hasta, al menos, esta última fecha, que
sería la de comienzo del plazo de prescripción, por lo que, a la fecha de inicio del
presente procedimiento, la infracción no había prescrito.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/35
Por todo lo expuesto, se desestima la presente alegación.
IV
Transferencias de datos personales a terceros países
El artículo 44 “Transferencias de datos personales a terceros países u organizaciones
internacionales” del RGPD establece:
“Solo se realizarán transferencias de datos personales que sean objeto de tratamiento
o vayan a serlo tras su transferencia a un tercer país u organización internacional si, a
reserva de las demás disposiciones del presente Reglamento, el responsable y el
encargado del tratamiento cumplen las condiciones establecidas en el presente
capítulo, incluidas las relativas a las transferencias ulteriores de datos personales
desde el tercer país u organización internacional a otro tercer país u otra organización
internacional. Todas las disposiciones del presente capítulo se aplicarán a fin de
asegurar que el nivel de protección de las personas físicas garantizado por el presente
Reglamento no se vea menoscabado”.
El capítulo V del Reglamento prevé diversos instrumentos para garantizar un nivel de
protección sustancialmente equivalente al garantizado en la Unión Europea, de
conformidad con el artículo 44 del Reglamento:
- decisiones de adecuación (artículo 45);
- garantías adecuadas (artículo 46);
A falta de un nivel de protección equivalente, establece excepciones para situaciones
específicas (artículo 49).
1. Sobre el tratamiento de datos y la responsabilidad del tratamiento.
En el documento de fecha 9 de abril de 2021 enviado por Google LLC a la autoridad
austríaca de protección de datos, el cual ésta compartió con el resto de las
autoridades en el marco del grupo de trabajo TF101, se indica que Google Analytics
funciona incluyendo un bloque de código Javascript en las páginas de un sitio web.
Cuando un usuario visita una página web, este código Javascript hace referencia a un
código Javascript que se ha descargado previamente al dispositivo del usuario, el cual
ejecuta entonces la operación de ‘tracking’ para Google Analytics. La operación de
‘tracking’ envía datos acerca de la página solicitada a través de varios medios y envía
esta información al servidor de Analytics por medio de una serie de parámetros
anexados a una petición de una imagen GIF de un solo pixel enviados al dominio
google-analytics.com. Los datos entonces se procesan más extensamente y terminan
en los reportes del propietario de la web, en este caso la de MAPFRE. Los datos que
Google Analytics recolecta en beneficio del propietario de la web viene de las
siguientes fuentes:
i. La petición HTTP del usuario.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/35
Una petición HTTP contiene detalles como el navegador y el ordenador que hace la
petición, como el hostname, el tipo navegador, ‘referer’, e idioma.
ii. Información del navegador y del sistema.
iii. Cookies de primera parte.
Los administradores de sitios web que integran el servicio de Google Analytics pueden
enviar instrucciones a Google para el procesamiento de los datos recopilados a través
de Google Analytics. El administrador del sitio web puede aplicar diferentes
configuraciones, por ejemplo, con respecto al período de retención de datos. La
función Google Analytics también permite a los administradores de sitios web
monitorear y mantener la estabilidad de su sitio web, por ejemplo, manteniéndolos
informados de ciertos eventos como un pico en la audiencia o el hecho de que no hay
tráfico en absoluto. Google Analytics también permite a los administradores de sitios
web medir y optimizar la efectividad de las campañas publicitarias realizadas utilizando
otras herramientas de Google.
Por lo tanto, Google Analytics recopila la consulta http del usuario que contiene
información sobre el navegador y el sistema operativo del usuario, el “referer” y el
idioma. Además, Google Analytics almacena y lee cookies en el navegador del usuario
para evaluar la sesión del usuario y otra información sobre la consulta.
Por lo que se refiere a estas transferencias de datos, el contrato relativo a la función
Google Analytics (“Condiciones del Servicio de Google Analytics”) incorpora un
apéndice titulado “Términos del Tratamiento de Datos de Google Ads” (en versiones
anteriores con el nombre de “Condiciones del Tratamiento de Datos de Google Ads”).
Este apéndice contiene cláusulas contractuales tipo que rigen la transferencia de datos
personales a los Estados Unidos de América bajo el servicio Google Analytics.
Además, Google ha implementado medidas legales, organizativas y técnicas
adicionales para regular las transferencias de datos bajo el servicio Google Analytics.
De conformidad con el punto 10 de los “Términos del Tratamiento de Datos de Google
Ads”, el responsable del tratamiento ha acordado que Google pueda almacenar y
tratar datos personales del cliente (en el presente caso, datos personales de la parte
reclamante) en cualquier país en el que Google o cualquiera de sus subencargados de
tratamiento de datos mantengan instalaciones. Cuando se recopila esta información,
se transmite a los servidores de Google Analytics.
Volviendo al documento enviado por Google LLC con fecha 9 de abril de 2021, en el
último párrafo a la respuesta de la pregunta 8, Google manifiesta que todos los datos
recopilados a través de Google Analytics están alojados en los Estados Unidos. Por lo
tanto, los datos recopilados en el sitio web «www.mapfre.es» a través de Google
Analytics se transfieren a los Estados Unidos. Dicha transmisión de datos requiere una
base jurídica de conformidad con el artículo 44 y siguientes del RGPD.
Todos estos elementos muestran que, al decidir implementar la función de Google
Analytics en su sitio web, MAPFRE, que gestiona el sitio web «www.mapfre.es»,
determinó los medios y fines de la recopilación y el tratamiento de los datos obtenidos
a raíz de la integración de Google Analytics en su sitio web y debe considerarse el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/35
responsable del tratamiento en el sentido del artículo 4.7 del RGPD.
2. Sobre la calificación de los datos objeto de tratamiento como datos personales
Puede afirmarse que los datos recopilados con arreglo a la función Google Analytics y
transferidos a los Estados Unidos de América constituyen datos personales.
El artículo 4.1 del RGPD define los datos personales como «toda información relativa
a una persona física identificada o identificable («el interesado»); una persona física
identificable es aquella que puede ser identificada, directa o indirectamente, en
particular por referencia a un identificador, como un nombre, un número de
identificación, datos de ubicación, un identificador en línea o uno o varios factores
específicos de la identidad física, fisiológica, genética, mental, económica, cultural o
social de dicha persona física.».
Cabe señalar que los identificadores en línea, como las direcciones IP o la información
almacenada en las cookies, pueden utilizarse comúnmente para identificar a un
usuario, especialmente cuando se combinan con otros tipos de información similares.
Esto se ilustra en el considerando 30 del RGPD, según el cual la asignación de
identificadores en línea como direcciones IP, identificadores de cookies a personas
físicas o sus dispositivos pueden «dejar rastros que, en particular cuando se combinan
con identificadores únicos y otra información recibida por los servidores, pueden
utilizarse para crear perfiles de las personas físicas e identificarlos». En el caso
particular en el que el responsable del tratamiento alegara no tener la capacidad de
identificar al usuario mediante el uso (solo o combinado con otros puntos de datos) de
dichos identificadores, se esperaría que revelara los medios específicos desplegados
para garantizar el anonimato de los identificadores recopilados. Sin tales detalles, no
pueden considerarse anónimos.
Por lo tanto, es necesario examinar en qué medida la implementación de Google
Analytics en un sitio web permite al administrador del sitio web y a Google hacer que
un interesado (un visitante del sitio web en cuestión) pueda ser identificado.
Cuando un usuario visita el sitio web www.mapfre.es, los siguientes datos (a través del
código JavaScript) son transmitidos desde el navegador de la parte reclamante a los
servidores de Google LLC (respuesta a la pregunta 2 del documento de Google de 9
de abril de 2021):
Cookies _ga y _gid (Cookies de primera parte)
URL de la página web visitada (parámetro dl) y título de la página web visitada
(parámetro dt)
Dirección IP
sr (resolución de pantalla), entre otros parámetros.
Datos sobre el navegador y sistema operativo:
Identificador único que identifica al operador del sitio web
Cabe señalar que el TJUE ya ha declarado que las direcciones IP son datos
personales (véase el asunto C-597-19, punto 102 y C-582/14, punto 49). La dirección
IP no pierde su naturaleza de datos personales simplemente porque los medios de
identificación residen en terceras entidades. Además, el caso en cuestión es muy
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/35
diferente, ya que la dirección IP puede combinarse con otros elementos, como se
describirá a continuación.
En lo que respecta a los identificadores únicos, cuando un usuario visita el sitio web
www.mapfre.es, en su política de cookies se reconoce el uso de Google Analyctics, lo
que conlleva el envío de los valores de las cookies «_ga» y «_gid» a Google LLC, tal y
como se recoge en la referencia de las cookies de Google Analytics.
Según la descripción de Google Analytics localizable en las urls:
***URL.12 y ***URL.13.
, las cookies _ga y _gid se usan para distinguir a los usuarios y que el parámetro “sr”
se refiere a la resolución de pantalla.
Los identificadores de visitantes son identificadores únicos destinados para diferenciar
a individuos (donde esa diferenciación no era posible antes), y hacen que los
individuos sean identificables. Estos identificadores también pueden combinarse con
otra información, como la dirección del sitio web visitado, los metadatos relativos al
navegador y el sistema operativo, la hora y los datos relativos a la visita al sitio web y
la dirección IP. Esta combinación de información diferencia aún más a los individuos.
Por esta razón, cuando se combinan varios elementos, pueden permitir identificar
individualmente a los visitantes de la página web de «***URL.3», en la que se
implementa Google Analytics. No es necesario conocer el nombre o la dirección
(física) del visitante, ya que, de acuerdo con el considerando 26 del RGPD, tal
calificación de las personas es suficiente para que el visitante sea identificable.
Si se decidiera lo contrario, el alcance del derecho a la protección de datos,
garantizado por el artículo 8 de la Carta de los Derechos Fundamentales de la Unión
Europea, se vería socavado, ya que permitiría a las empresas seleccionar
específicamente a las personas junto con la información personal (por ejemplo,
cuando visitan un sitio web específico) al mismo tiempo que les negaría cualquier
derecho de protección contra tal singularización. Una opinión tan restrictiva que
socavaría el nivel de protección de las personas tampoco está en consonancia con la
jurisprudencia del Tribunal de Justicia de la Unión Europea (en adelante, TJUE), que
dictaminó repetidamente que el ámbito de aplicación del RGPD debe entenderse de
manera muy amplia (véase, por ejemplo, la sentencia C-439/19, apartado 61).
Google LLC afirma que no tiene «ninguna intención» de utilizar identificadores en línea
para identificar a la parte reclamante (u otras personas), según refiere en el último
párrafo de la respuesta a la pregunta 13 del documento de 9 de abril de 2021 y que de
hecho «no hacen esto», hay que señalar que el artículo 4, apartado 1, del RGPD no
requiere que una entidad tenga una intención específica de identificar a una persona.
De acuerdo con la redacción clara del artículo 4, apartado 1, del RGPD, el término
«datos personales» se completa cuando una entidad puede (tiene la posibilidad) de
hacerlo.
Incluso una interpretación más restrictiva del artículo 4, apartado 1, del RGPD, que en
cualquier caso sería contrario a la jurisprudencia del TJUE, la definición de «datos
personales» se entendería aplicable a los datos expuestos. En el caso de que algún
visitante de la web ***URL.3hubiese iniciado sesión en una cuenta de Google en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/35
momento de su visita, tal y como puede verse en la declaración de Google LLC del 9
de abril de 2021, la implementación de Google Analytics en un sitio web permite a
Google recibir la información que un usuario específico de la cuenta de Google ha
visitado ese sitio web.
En el contexto del uso de Google Analytics, y dependiendo de algunos ajustes en la
configuración de la cuenta de usuario de Google (ver respuesta a la pregunta 9 del
documento de Google de 9 de abril de 2021), permite a Google recibir información de
que un usuario conectado a una cuenta de Google ha visitado un sitio web en
particular. Por lo tanto, se recopilan datos personales relacionados con esta cuenta.
Por todo ello, debe considerarse que los datos en cuestión son datos personales en el
sentido del artículo 4.1 del RGPD.
3.- Sobre el incumplimiento de la obligación de regular las transferencias de datos
personales fuera de la Unión Europea
En el presente caso, debe verificarse si produjo la exportación de datos personales a
los Estados Unidos de América como señala la parte reclamante, en los términos que
establece el artículo 44 del RGPD, y, en caso de que se hubiera producido, si la
exportación se realizó con un nivel de protección adecuado conforme a una decisión
de adecuación del artículo 45 del RGPD, o, en su defecto, si se adoptó alguna de las
garantías del artículo 46 del RGPD.
Decisiones de adecuación
En su sentencia del asunto C-311/18 ("Schrems II"), de 16 de julio de 2020, el TJUE
invalidó la Decisión de Ejecución (UE) 2016/1250 de la Comisión, de 12 de julio de
2016, de conformidad con la Directiva 95/46/CE del Parlamento Europeo y del
Consejo, sobre la adecuación de la protección ofrecida por el "EU-US Privacy Shield"
(“Escudo de la privacidad”), sin mantener sus efectos en la fecha de los hechos objeto
de reclamación.
En ausencia de decisión de adecuación aplicable al presente caso, la transferencia de
datos en cuestión no puede estar basada en lo dispuesto en el artículo 45.3 del RGPD.
Salvaguardias apropiadas: Cláusulas tipo de protección de datos
El artículo 46, “Transferencias mediante garantías adecuadas”, del RGPD, establece
en su apartado 1 que “A falta de decisión con arreglo al artículo 45, apartado 3, el
responsable o el encargado del tratamiento solo podrá transmitir datos personales a
un tercer país u organización internacional si hubiera ofrecido garantías adecuadas y a
condición de que los interesados cuenten con derechos exigibles y acciones legales
efectivas.»
El artículo 46, apartado 2, del RGPD dispone que “Las garantías adecuadas con
arreglo al apartado 1 podrán ser aportadas, sin que se requiera ninguna autorización
expresa de una autoridad de control, por:
(…)
c) cláusulas tipo de protección de datos adoptadas por la Comisión de conformidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/35
con el procedimiento de examen a que se refiere el artículo 93, apartado 2.
(…)”.
Las cláusulas contractuales tipo de Google para la transferencia de datos personales a
los Estados Unidos, actualizadas el 27 de septiembre de 2021, con el nombre "Google
Ads & Measurement: Standard Contractual Clauses (Module 3: Processor-to-
Processor)”, que podría traducirse como: “Términos de tratamiento de datos de Google
Ads: Modelo de Cláusulas Contractuales, Cláusulas Contractuales Tipo Encargado a
Encargado” (en adelante, SCC). Estas cláusulas se ajustan a las publicadas por la
Comisión Europea en la Decisión de Ejecución (UE) 2021/915 de la Comisión de 4 de
junio de 2021 relativa a las cláusulas contractuales tipo entre responsables y
encargados del tratamiento.
En este contexto, cabe destacar que las cláusulas contractuales tipo son un
instrumento de transferencia en el sentido del capítulo V del Reglamento y no fueron
impugnadas como tales por el TJUE en su sentencia de 16 de julio de 2020 (C-
311/18). Sin embargo, el TJUE consideró que de la naturaleza contractual de estas
cláusulas se derivaba que no podían ser vinculantes para las autoridades de terceros
países. En particular, el TJUE declaró que: “...Por lo tanto, si bien existen situaciones
en las que, en función de la legislación y las prácticas vigentes en el tercer país de
que se trate, el destinatario de dicha transferencia está en condiciones de garantizar la
protección necesaria de los datos únicamente sobre la base de cláusulas
contractuales tipo de protección de datos, existen otras en las que el contenido de
dichas cláusulas tipo podría no constituir un medio suficiente para garantizar, en la
práctica, la protección efectiva de los datos personales transferidos al tercer país de
que se trate. Este es el caso, en particular, cuando la legislación de ese tercer país
permite a sus autoridades públicas interferir con los derechos de los interesados a los
que se refieren dichos datos" (C-311/18, punto 126, subrayado añadido).
No es necesario realizar un análisis adicional de la situación jurídica de los Estados
Unidos, ya que el TJUE ya lo ha proporcionado en su sentencia antes mencionada. En
efecto, el TJUE consideró que los programas de vigilancia reglamentaria como el
artículo 702 de la FISA y el E.O. 12333 en conjunción con la PPD-28, no satisfacen las
exigencias mínimas establecidas por el Derecho de la Unión con respecto al principio
de proporcionalidad, de modo que los programas de vigilancia basados en estas
disposiciones no pueden considerarse limitados a lo estrictamente necesario (C-
311/18, punto 184). Además, el TJUE consideró que el marco jurídico en cuestión no
confería a los interesados derechos susceptibles de recurso ante los tribunales contra
las autoridades estadounidenses, de lo que se deduce que estas personas no tienen
derecho a una tutela judicial efectiva (C-311/18, punto 192).
El análisis del TJUE es pertinente en el presente asunto, ya que Google LLC (como
importador de los datos a los EE. UU.) debe calificarse como proveedor de servicios
de comunicaciones electrónicas en el sentido del apartado (b) del punto 4 del artículo
1881 del título 50 del Código de los Estados Unidos y, por lo tanto, está sujeto a
vigilancia por parte de los servicios de inteligencia de EE. UU. de acuerdo con el
apartado (a) del artículo 1881 del título 50 del Código de los Estados Unidos («FISA
702»). Por lo tanto, Google LLC tiene la obligación de proporcionar datos personales al
gobierno de los Estados Unidos cuando se le solicite de conformidad con el apartado
(a) del artículo 1881 del título 50 del Código de los Estados Unidos (FISA 702).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/35
Como se puede ver en el Informe de transparencia de Google, Google LLC está sujeto
regularmente a tales solicitudes de acceso por parte de los servicios de inteligencia de
Estados Unidos. El informe puede consultarse en:
***URL.14.
El TJUE declaró, por un lado, que la decisión de adecuación UE-EE. UU. era inválida
debido a las posibilidades de acceso de los servicios de inteligencia estadounidenses
y, por otro, llegó a la conclusión de que la utilización de las cláusulas contractuales tipo
no puede por sí sola garantizar un nivel de protección, tal como exige el artículo 44 del
RGPD, ya que las garantías que ofrecen quedan sin cumplir cuando se realizan dichas
solicitudes de acceso. De hecho, el TJUE concluyó lo siguiente:
“De ello se deduce que las cláusulas tipo de protección de datos adoptadas por la
Comisión sobre la base del artículo 46, apartado 2, letra c), del RGPD solo tienen por
objeto ofrecer garantías contractuales que se aplican de manera uniforme en todos los
terceros países a los responsables y encargados del tratamiento establecidos en la
Unión Europea y, en consecuencia, con independencia del nivel de protección
garantizado en cada tercer país. En la medida en que estas cláusulas tipo de
protección de datos no pueden, habida cuenta de su propia naturaleza, ofrecer
garantías más allá de una obligación contractual de garantizar el cumplimiento del
nivel de protección exigido por el Derecho de la Unión, pueden exigir, en función de la
posición imperante en un tercer país determinado, la adopción de medidas
complementarias por parte del responsable del tratamiento para garantizar el
cumplimiento de dicho nivel de protección" (C-311/18, punto 133).
Observaciones generales sobre las medidas complementarias
En sus Recomendaciones 01/2020, de 18 de junio de 2021, (que se pueden consultar
en la web ***URL.15, aunque las transcripciones incluidas en este documento se
refieren a su traducción al español) el Comité Europeo de Protección de Datos (CEPD)
ha aclarado que, cuando la evaluación de la legislación o las prácticas vigentes del
tercer país puede afectar a la eficacia de las salvaguardias adecuadas de los
instrumentos de transferencia en los que se basa el exportador, en el contexto de su
transferencia específica, como sucede en este caso tras la evaluación del TJUE, el
exportador debe suspender la transferencia o aplicar medidas complementarias
adecuadas. El CEPD observa a este respecto que “Cualquier medida complementaria
solo podrá considerarse eficaz en el sentido de la sentencia del TJUE «Schrems II» en
la medida en que aborde las deficiencias específicas detectadas en su evaluación de
la situación jurídica en el tercer país. Si, en última instancia, no puede garantizar un
nivel de protección esencialmente equivalente, no deberá transferir los datos
personales.” (véanse las Recomendaciones 01/2020, punto 75).
Las medidas para complementar las cláusulas tipo de protección de datos pueden
clasificarse en tres categorías: contractual, técnico u organizativo (véanse las
Recomendaciones 01/2020, punto 74).
Con respecto a las medidas contractuales, el CEPD señaló que: “En algunas
situaciones, estas medidas pueden complementar y reforzar las garantías que el
instrumento de transferencia y el Derecho pertinente del tercer país pueden
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
30/35
proporcionar, cuando, teniendo en cuenta las circunstancias de la transferencia, estas
no cumplan todas las condiciones necesarias para garantizar un nivel de protección
esencialmente equivalente al garantizado en la Unión. Habida cuenta de la naturaleza
de las medidas contractuales, que por lo general no pueden vincular a las autoridades
de ese tercer país cuando no formen parte del contrato, estas deberán combinarse
con otras medidas técnicas y organizativas para proporcionar el nivel de protección de
datos requerido (...)”. (véanse las Recomendaciones 01/2020, punto 99, subrayado
añadido).
Por lo que se refiere a las medidas organizativas, el CEPD destacó que: “…
Seleccionar y aplicar una o varias de estas medidas no garantizará necesaria y
sistemáticamente que su transferencia cumple la norma de equivalencia esencial que
exige el Derecho de la Unión. En función de las circunstancias específicas de la
transferencia y de la evaluación realizada sobre el Derecho del tercer país, se
necesitarán medidas organizativas para complementar las medidas contractuales o
técnicas, a fin de garantizar un nivel de protección de los datos personales
esencialmente equivalente al garantizado en la Unión" (véanse las Recomendaciones
01/2020, punto 128, subrayado añadido).
Por lo que se refiere a las medidas técnicas, el CEPD señaló que «…Estas medidas
serán especialmente necesarias cuando la legislación de dicho país imponga a los
importadores de datos obligaciones que sean contrarias a las garantías del artículo 46
del RGPD y puedan, en particular, afectar a la garantía contractual de un nivel de
protección esencialmente equivalente contra el acceso de las autoridades públicas de
ese tercer país a dichos datos» (véanse las Recomendaciones 01/2020, punto 77).
Añadió que "Las medidas enumeradas a continuación tienen por objeto garantizar que
el acceso de las autoridades públicas de terceros países a los datos transferidos no
afecte a la eficacia de las garantías apropiadas contenidas en los instrumentos de
transferencia del artículo 46 del RGPD. Estas medidas se aplican incluso si el acceso
de las autoridades públicas se ajusta al Derecho del país del importador, cuando dicho
acceso vaya más allá de lo necesario y proporcionado en una sociedad democrática.
Estas medidas tienen por objeto evitar la posible vulneración del acceso impidiendo a
las autoridades identificar a los interesados, inferir información sobre ellos,
individualizarlos en otro contexto o asociar los datos transferidos con otros conjuntos
de datos que puedan poseer y que puedan contener, entre otros datos, identificadores
en línea proporcionados por los dispositivos, aplicaciones, herramientas y protocolos
utilizados por los interesados en otros contextos." (véanse las Recomendaciones
01/2020, punto 79, subrayado añadido).
Medidas complementarias implementadas por Google LLC
Google LLC, como receptor de datos de los usuarios de sus servicios de Google
Analytics, adoptó medidas contractuales, organizativas y técnicas para complementar
las SCC. En el documento de fecha 9 de abril de 2021 enviado por Google LLC a la
autoridad austríaca de protección de datos, la cual ésta compartió con el resto de las
autoridades en el marco del Grupo de trabajo TF101, Google LLC describió las
medidas adoptadas en detalle.
Teniendo en cuenta las consideraciones del TJUE y del CEPD, ahora debe verificarse
si las medidas complementarias adoptadas por Google LLC eran eficaces, lo que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
31/35
significa que abordan la cuestión específica de las posibilidades de acceso de los
servicios de inteligencia estadounidenses.
Por lo que se refiere a las “medidas jurídicas y organizativas” adoptadas, cabe señalar
que ni la notificación de los usuarios, incluso en caso de que dicha notificación sea
admisible, ni la publicación de un informe de transparencia o una «política pública
sobre el tratamiento de las solicitudes gubernamentales» de hecho impiden o reducen
las posibilidades de acceso de los servicios de inteligencia estadounidenses. Además,
no está claro cómo la «revisión cuidadosa de cada solicitud» de Google LLC sobre su
admisibilidad es efectiva como medida complementaria, teniendo en cuenta que,
según el TJUE, las solicitudes (legales) admisibles de los servicios de inteligencia
estadounidenses no están en consonancia con los requisitos de la normativa europea
de Protección de Datos.
Con respecto a las “medidas técnicas” adoptadas, cabe señalar que no se ha
aclarado, cómo las medidas descritas, tales como la protección de las comunicaciones
entre los servicios de Google, la protección de datos en tránsito entre centros de
datos, la protección de las comunicaciones entre usuarios y sitios web, o la «seguridad
en el sitio», de hecho, impiden o reducen las posibilidades de acceso de los servicios
de inteligencia estadounidenses sobre la base del marco jurídico de los Estados
Unidos.
Por lo que se refiere a las tecnologías de cifrado, como en el caso de los «datos en
reposo» en los centros de datos, como lo menciona específicamente Google LLC
como medida técnica, hay que señalar que Google LLC, como importador de datos,
tiene la obligación de conceder acceso o entregar datos personales importados en su
poder, incluidas las claves criptográficas necesarias para que los datos sean
inteligibles (véanse las Recomendaciones 01/2020, punto 81). En otras palabras:
mientras Google LLC tenga la posibilidad de acceder a los datos de las personas
físicas en un texto claro, dicha medida técnica no puede considerarse efectiva en el
presente caso.
En cuanto Google LLC señala que «en la medida en que los datos de Google Analytics
para la medición transferidos por los propietarios de sitios web sean datos personales,
habría que considerarlos como seudónimos», debe tenerse en cuenta que los
identificadores únicos universales (UUID) no entran en la definición del artículo 4.5 del
RGPD. Si bien la seudonimización puede ser una técnica de mejora de la privacidad,
los identificadores únicos tienen, como ya se describió anteriormente, la intención
específica de seleccionar a los usuarios, no de actuar como salvaguarda. Aparte de
esto, también se ha descrito anteriormente por qué la combinación de identificadores
únicos con otros elementos (como los datos del navegador o del dispositivo y la
dirección IP) y la posibilidad de vincular dicha información a una cuenta de Google en
cualquier caso hacen que una persona pueda identificarse.
En la medida en que Google LLC se refiere a una «medida técnica opcional» por
medio de una función de anonimización IP, debe tenerse en cuenta, en primer lugar,
que dicha medida es, como su nombre indica, opcional y no aplicable a todas las
transferencias. Además, de la respuesta de Google no se desprende si esta
anonimización tiene lugar antes de la transferencia o si la dirección IP completa se
transmite a los Estados Unidos y solo se acorta después de esta transferencia a los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
32/35
Estados Unidos. Por lo tanto, desde un punto de vista técnico, existe un acceso
potencial a toda la dirección IP completa antes de acortarla.
Por lo tanto, las medidas complementarias adoptadas, tal como las presentó Google,
no son eficaces en la medida en que ninguna de ellas aborda las cuestiones
específicas en el presente caso, lo que significa que ninguna de ellas impide las
posibilidades de acceso de los servicios de inteligencia estadounidenses ni hace que
estos accesos sean ineficaces.
Las excepciones previstas en el capítulo V del Reglamento
El artículo 49, “Excepciones para situaciones específicas”, del RGPD establece:
"1. En ausencia de una decisión de adecuación de conformidad con el artículo 45,
apartado 3, o de garantías adecuadas de conformidad con el artículo 46, incluidas las
normas corporativas vinculantes, una transferencia o un conjunto de transferencias de
datos personales a un tercer país u organización internacional únicamente se realizará
si se cumple alguna de las condiciones siguientes:
a) el interesado haya dado explícitamente su consentimiento a la transferencia
propuesta, tras haber sido informado de los posibles riesgos para él de dichas
transferencias debido a la ausencia de una decisión de adecuación y de garantías
adecuadas;
b) la transferencia sea necesaria para la ejecución de un contrato entre el interesado y
el responsable del tratamiento o para la ejecución de medidas precontractuales
adoptadas a solicitud del interesado;
(…)”
El Comité Europeo de Protección de Datos (CEPD), en cumplimiento del objetivo de
garantizar la aplicación coherente del Reglamento General de Protección de Datos,
según le atribuye el artículo 70 del RGPD, dictó las Directrices 2/2018 sobre las
excepciones contempladas en el artículo 49 del Reglamento 2016/679. En cuanto a la
interpretación del supuesto a) del artículo 49 del RGPD (apartado 2.1 de las
Directrices 2/2018), el CEPD señala que el consentimiento debe ser específico e
informado acerca de los posibles riesgos, estableciendo lo siguiente: “esta disposición
obliga a los interesados a ser también informados de los riesgos específicos derivados
del hecho de que sus datos se transferirán a un país que no ofrece un nivel adecuado
de protección y de que no se prevén garantías adecuadas para la protección de los
datos.”
En el presente caso, el consentimiento de los usuarios para el almacenamiento de
cookies durante su visita al sitio web no puede considerarse equivalente a haber
consentido explícitamente la transferencia internacional de datos, tal y como exige el
artículo 49.1.a) del RGPD; este consentimiento tiene que obtenerse de forma
específica y, para que fuese válido, MAPFRE debió informar previamente a los
interesados de los riesgos que suponían las transferencias de datos a EE. UU., ante la
ausencia de una decisión de adecuación y de garantías adecuadas en el sentido del
artículo 49, apartado 1 del Reglamento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
33/35
Respecto a la posible existencia de una relación contractual, no se aprecia la
concurrencia de este supuesto, teniendo en cuenta que el Considerando 111 del
RGPD exige que la transferencia internacional de datos basadas en el consentimiento
explícito debe de ser “ocasional y necesaria en relación con un contrato”, mientras que
en este caso las transferencias se producen de forma continua y sistemática y no se
justifica su necesidad.
Marco jurídico actual
Con fecha 10 de julio de 2023 se aprobó por la Comisión la Decisión de Ejecución
(UE) 2023/1795 relativa a la adecuación del nivel de protección de los datos
personales en el Marco de Privacidad de Datos UE-EE. UU. con arreglo al Reglamento
(UE) 2016/679 del Parlamento Europeo y del Consejo, por lo que las transferencias
internacionales que se realicen con posterioridad a la misma pueden quedar
amparadas por la citada Decisión.
En la web https://www.dataprivacyframework.gov/s/ puede comprobarse que Google
LLC ha certificado su adhesión a los principios del Marco de Privacidad de Datos hasta
el 13 de septiembre de 2024, debido a la necesidad de renovar anualmente dicha
certificación. Por lo tanto, en la actualidad, las transferencias internacionales de datos
a Google LLC en los EE. UU. están amparadas por el Marco de Privacidad de Datos
UE. EE. UU.
Sin embargo, debe concluirse que, en la fecha en la que ocurrieron los hechos objeto
de la reclamación, MAPFRE no puede invocar ninguna de las herramientas previstas
en el Capítulo V del RGPD para justificar las transferencias internacionales de datos
personales de los visitantes a su sitio web, en particular identificadores únicos,
direcciones IP, datos del navegador y metadatos, a Google LLC en los Estados
Unidos, siendo de plena aplicación la doctrina establecida por el Tribunal de Justicia
de la Unión Europea en la sentencia del caso Schrems II, por la que se invalidó la
decisión sobre el "EU-US Privacy Shield".
En consecuencia, de conformidad con las evidencias de las que se dispone en esta
resolución de procedimiento de apercibimiento, se considera que los hechos
conocidos son constitutivos de una infracción, imputable a MAPFRE, por vulneración
del artículo 44, “Principio general de las transferencias”, del RGPD, que señala que
solo se realizarán transferencias de datos personales que sean objeto de tratamiento o
vayan a serlo tras su transferencia a un tercer país u organización internacional si, a
reserva de las demás disposiciones del RGPD, el responsable y el encargado del
tratamiento cumplen las condiciones establecidas en el presente capítulo, incluidas las
relativas a las transferencias ulteriores de datos personales desde el tercer país u
organización internacional a otro tercer país u otra organización internacional.
V
Tipificación y calificación de la infracción del artículo 44 del RGPD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
34/35
La vulneración del artículo 44 del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
(…)
c) las transferencias de datos personales a un destinatario en un tercer país o una
organización internacional a tenor de los artículos 44 a 49;
(…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
l) La transferencia internacional de datos personales a un destinatario que se
encuentre en un tercer país o a una organización internacional, cuando no concurran
las garantías, requisitos o excepciones establecidos en los artículos 44 a 49 del
Reglamento (UE) 2016/679. (…)”
VI
Apercibimiento
El artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y
duración”, en su apartado tercero dispone que:
“3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo
debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento
(UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la
Agencia Española de Protección de Datos, previa audiencia al responsable o
encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al
responsable o encargado del tratamiento que adopten las medidas correctivas
encaminadas a poner fin al posible incumplimiento de la legislación de protección de
datos de una determinada manera y dentro del plazo especificado.
El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
35/35
Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del
apartado 2 de este artículo.”
De conformidad con las evidencias de que se dispone en el presente momento de
resolución de procedimiento, el balance de las circunstancias contempladas en el
artículo 83.2 del RGPD y 76.2 de la LOPDGDD, por la infracción cometida al vulnerar
lo establecido en el artículo 44 del RGPD, procede dirigir un apercibimiento a
MAPFRE.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DIRIGIR UN APERCIBIMIENTO a MAPFRE ESPAÑA COMPAÑÍA DE
SEGUROS Y REASEGUROS, S.A., con NIF A28141935, por una infracción del
Artículo 44 del RGPD, tipificada en el Artículo 83.5 del RGPD.
SEGUNDO: NOTIFICAR la presente resolución a MAPFRE ESPAÑA COMPAÑÍA DE
SEGUROS Y REASEGUROS, S.A.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
1403-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es