1/8
Procedimiento Nº: EXP202301323 (AI/00057/2023)
Recurso de Reposición Nº RR/00111/2024
Examinado el recurso de reposición interpuesto por A.A.A. a través de la COMISION
EUROPEA SISTEMAS DE INTERCAMBIO DE MERCADO INTERIOR (IMI- Austria),
contra la resolución dictada por la Directora de la Agencia Española de Protección de
Datos en el procedimiento AI/00057/2023, por vulneración a lo estipulado en la Ley
34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio
Electrónico (LSSI) y en base a los siguientes:
HECHOS
PRIMERO: Con fecha 25/01/24, la Directora de la Agencia Española de Protección de
Datos dictó Resolución de Archivo de Actuaciones en el procedimiento AI/00057/2023,
abierto a la entidad TURNER BROADCASTING SYSTEM ESPAÑA, S.L. con CIF.:
B82320227, titular de la página web https://www.canaltnt.es, por la presunta
vulneración del artículo 22 de la LSSI.
La resolución fue notificada a la COMISION EUROPEA SISTEMAS DE
INTERCAMBIO DE MERCADO INTERIOR (IMI-Austria) el día 29/01/24, según consta
en el expediente.
SEGUNDO: Como hechos probados del citado procedimiento, quedó constancia de
los siguientes:
- Al intentar entrar en la web objeto de la reclamación, https://www.canaltnt.es,
se constató que ésta ya no existía, redirigiendo al usuario a una nueva página
web, https://www.warnertv.es cuyo titular es la entidad Discovery Networks SL,
con CIF B-86815560, distinta a la entidad inicialmente reclamada, (Turner
Broadcasting System España, con CIF.: B82320227).
TERCERO: Con fecha 14/02/24, tiene entrada en esta Agencia, escrito de recurso de
reposición presentado por la recurrente, en el cual manifestaba lo siguiente:
PRIMERO – Falta de notificación por parte de la DSB
1. El día 24 de enero de 2024 la AEPD, adoptó su resolución que fue notificada
a esta parte el día 29 de enero de 2024. No obstante, de acuerdo con el
artículo 60(8) RGPD es la autoridad de control en la que se presentó la
reclamación, es decir la DSB, quién debería haber adoptado y notificado la
resolución a la persona interesada en este caso.
2. Por tanto, la resolución adoptada por la AEPD tiene que considerarse nula
de pleno derecho, según prevé el artículo 47(1)(b) LPACAP.
SEGUNDO – La AEPD no consideró los hechos ni el petitum de la reclamación
3. La AEPD no consideró las circunstancias específicas de la visita de la
página web de esta parte, expuestos en la reclamación con detalle. De hecho,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/8
parece ser que la AEPD decidió basándose en el banner que apareció en la
página web del responsable durante su propia visita.
4. No obstante, la autoridad de control debe dar respuesta efectiva a la
situación individual del interesado, teniendo en cuenta las circunstancias
individuales y los hechos sobre los que versa la reclamación presentada por el
interesado. Este se desprende del Considerando 141 RGPD, del Articulo 77
RGPD y del Articulo 65(3)(b) de la LOPDGDD.
5. Además, esta parte solicitó en su reclamación diversas medidas a adoptar
por parte de la AEPD (véase Hecho Primero). El petitum formulado determina
lo solicitado de forma concreta y subraya la necesidad de una evaluación de la
situación individual de esta parte. En particular, el responsable sigue tratando
los datos personales de esta parte de manera ilícita.
6. A la luz de la configuración de la reclamación ex artículo 77(1) RGPD que
“se concibe como un mecanismo capaz de proteger de manera eficaz los
derechos y los intereses de los interesados” queda fuera de toda duda que la
AEPD debería haber dado respuesta a lo solicitado por esta parte. Ello
concuerda directamente con lo dispuesto en el artículo 88(2) LPACAP. No
obstante, la resolución de la AEPD no da respuesta concreta al petitum de esta
parte.
7. Por tanto, la resolución debe de anularse de acuerdo con el art 48(1)
LPACAP.
B. ASPECTOS MATERIALES
TERCERO – La AEPD aplica un criterio erróneo
8. Como expuesto anteriormente, esta parte visitó la web del responsable y,
además de no tener una opción equivalente para rechazar el uso de las
cookies en la primera capa del banner (infracción tipo A, C, D, E), comprobó
que no había una posibilidad fácil de retirar el consentimiento
otorgado(infracción tipo K).
9. En cambio, en la resolución recurrida la AEPD afirma que durante su propia
visita el responsable solo instaló cookies estrictamente necesarias, así que no
era necesario ofrecer una opción de rechazar cookies, ni tampoco una opción
de retirar el consentimiento.
10. No obstante, al comprobar esta parte nuevamente la página web
https://www.warnertv.es/ , se observa que tras seleccionar “Aceptar” en el
banner se instalan las cookies “_ga” y “_ga_1PMD2PL02L” de Google
Analytics. Se trata de cookies que solamente pueden instalarse en el caso de
haber obtenido un consentimiento válido (Anexo 1).
11. Aunque el responsable haya implementado dos opciones equivalentes en
su cookie banner, no ofrece una opción permanentemente visible que permita
la retirada del consentimiento. Al final de la página principal solo hay un enlace
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/8
a la política de privacidad, en la cual se encuentra un enlace al “Portal de
solicitud de derechos individuales” (en inglés). En este portal puede luego
enviarse un correo electrónico para retirar el consentimiento. Ello no representa
una posibilidad de “revocar el consentimiento de forma fácil” y “en cualquier
momento” como requiere el articulo 7(3) RGPD y como prevé la Guía de la
AEPD en relación con la retirada del consentimiento.2
12. De lo anterior se desprende que la AEPD se basa en una comprobación
que resulta errónea. El responsable utiliza cookies de Google Analytics que no
son estrictamente necesarios. No obstante, el responsable sigue sin ofrecer
una posibilidad sencilla de retirar el consentimiento una vez prestado.
13. De lo expuesto en este FJ resulta que el criterio adoptado en la resolución
recurrida es contrario al ordenamiento jurídico y debe de ser anulado.
En virtud de lo expuesto en este escrito, y de conformidad con las
disposiciones mencionadas, esta parte
SOLICITA: I. Que se tenga por interpuesto, en tiempo y forma, RECURSO DE
REPOSICIÓN contra la resolución de la Directora de la Agencia Española de
Protección de Datos de 24 de enero de 2024 en el marco del procedimiento
con número de expediente EXP202301323, y, tras admitirlo se practiquen las
actuaciones de investigación que sean necesarias, de conformidad con las
normas de procedimiento y materiales aplicables. II. Que se declare la nulidad
de pleno derecho de la resolución recurrida por el motivo expuesto en el
fundamento jurídico primero y que se proceda a la continuación del
procedimiento. III. Que, en caso de no declararse la nulidad de pleno derecho,
se anule la resolución recurrida por los motivos expuestos en los fundamentos.
FUNDAMENTOS DE DERECHO
I
Competencia.
Es competente para resolver el presente recurso la Directora de la Agencia Española
de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (LPACAP) y el art. 43.1, párrafo segundo, de la de la LSSI.
II
Contestación a las alegaciones
En relación con las manifestaciones efectuadas por la parte recurrente, cabe señalar lo
siguiente:
Primero: Alega la parte recurrente en el apartado “Primero, puntos 1-2”, de los FJ de
su escrito que la resolución debió ser realizada por la autoridad de control austriaca,
de acuerdo con el artículo 60(8) RGPD y por tanto, la resolución adoptada por la AEPD
tiene que considerarse nula de pleno derecho, según el artículo 47(1)(b) LPACAP.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/8
Pues bien, respecto a esta alegación se debe aclarar que en el Derecho Español rige
el “Principio de Especialidad Normativa”, el cual, en esencia, hace referencia a que,
existiendo una norma especial (LSSI) y una norma general (RGPD) que regulan un
hecho concreto, prevalece la primera sobre segunda.
Este principio no supone que, en el supuesto de aplicación de ambas normas (una
norma general y otra especial), la primera queda derogada, sino que persiste la
vigencia simultánea de ambas normas, si bien la norma especial se aplicará con
preferencia a la norma general en aquellos supuestos que se contemplen en ella.
Respecto al caso que nos ocupa, existe tal coincidencia, esto es, en el Ordenamiento
Jurídico Español, coexisten dos normas, una de carácter general como es el RGPD y
otra de carácter especial, como es la LSSI que regulan mismos hechos.
Si observamos lo que establece el artículo 1 del RGPD, su objeto es el siguiente:
1.El presente Reglamento establece las normas relativas a la protección de las
personas físicas en lo que respecta al tratamiento de los datos personales y las
normas relativas a la libre circulación de tales datos.
2.El presente Reglamento protege los derechos y libertades fundamentales de
las personas físicas y, en particular, su derecho a la protección de los datos
personales.
3.La libre circulación de los datos personales en la Unión no podrá ser
restringida ni prohibida por motivos relacionados con la protección de las
personas físicas en lo que respecta al tratamiento de datos personales.
Mientras que el objeto de la LSSI, establecido en su artículo 1, indica que:
1. Es objeto de la presente Ley la regulación del régimen jurídico de los
servicios de la sociedad de la información y de la contratación por vía
electrónica, en lo referente a las obligaciones de los prestadores de servicios
incluidos los que actúan como intermediarios en la transmisión de contenidos
por las redes de telecomunicaciones, las comunicaciones comerciales por vía
electrónica, la información previa y posterior a la celebración de contratos
electrónicos, las condiciones relativas a su validez y eficacia y el régimen
sancionador aplicable a los prestadores de servicios de la sociedad de la
información.
2. Las disposiciones contenidas en esta Ley se entenderán sin perjuicio de lo
dispuesto en otras normas estatales o autonómicas ajenas al ámbito normativo
coordinado, o que tengan como finalidad la protección de la salud y seguridad
pública, incluida la salvaguarda de la defensa nacional, los intereses del
consumidor, el régimen tributario aplicable a los servicios de la sociedad de la
información, la protección de datos personales y la normativa reguladora de
defensa de la competencia.
Por su parte, el artículo 2 de la citada norma (LSSI) establece que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/8
1. Esta Ley será de aplicación a los prestadores de servicios de la sociedad de
la información establecidos en España y a los servicios prestados por ellos.
Se entenderá que un prestador de servicios está establecido en España
cuando su residencia o domicilio social se encuentren en territorio español,
siempre que éstos coincidan con el lugar en que esté efectivamente
centralizada la gestión administrativa y la dirección de sus negocios. En otro
caso, se atenderá al lugar en que se realice dicha gestión o dirección.
Por tanto, en aplicación del “Principio de Especialidad Normativa”, procede la
aplicación de la norma específica, esto es, la LSSI, sobre la norma general, el RGPD,
al tener la entidad TURNER BROADCASTING SYSTEM ESPAÑA, S.L. con CIF.:
B82320227, su sede en territorio español, así como el dominio de su página web (.es).
Respecto de la competencia para conocer el caso, el artículo 43.1 de la LSSI,
establece lo siguiente: (…) Igualmente, corresponderá a la Agencia de Protección de
Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los
artículos 38.3 c), d) e i) y 38.4 d), g) y h) de esta Ley(…). y lo establecido en los
artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD,
Mientras que el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
Y la Disposición adicional cuarta de dicha norma establece, respecto de las
competencias atribuidas a la AEPD por otras leyes, que: "Lo dispuesto en el Título VIII
y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia
Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias
que le fueran atribuidas por otras leyes."
Por tanto, al tener la entidad reclamada su sede social en territorio español es
competente para conocer la reclamación la Agencia Española de Protección de Datos,
en base a lo establecido en el 43.1 de la LSSI, artículo 63.2 de la LOPDGDD y
Disposición adicional cuarta de dicha norma en detrimento de la autoridad de control
austriaca.
Segundo: Manifiesta la parte recurrente en el apartado “Segundo, puntos 3-7” de los
FJ de su escrito de recurso, en esencia, que, “la AEPD no consideró las circunstancias
específicas de la visita a la página web de la parte recurrente, basándose solamente,
para la resolución del expediente, en la comprobación que la propia AEPD hizo del
banner de información que aparece en la página web, sin dar respuesta a lo solicitado
en la reclamación, olvidándose de las peticiones realizadas por la parte recurrente…”
Para responder a esta alegación, debemos partir del principio que rige en todo
procedimiento judicial o administrativo como es el “Principio de Presunción de
Inocencia”, el cual garantiza, en el derecho español, a no sufrir una sanción que no
tenga fundamento en una previa actividad probatoria sobre la cual el órgano
competente pueda fundamentar un juicio razonable de culpabilidad, y comporta, entre
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/8
otras exigencias, la de que la Administración pruebe y, por ende, motive, no sólo los
hechos constitutivos de la infracción, la participación en tales hechos y las
circunstancias que constituyen un criterio de graduación, sino también la culpabilidad
que justifique la imposición de sanción (entre otras, SSTC 76/1990, de 26 de Abril;
14/1997, de 28 de Enero; 209/1999, de 29 de Noviembre y 33/2000, de 14 de
Febrero).
Asimismo, la STS de 10 de Julio de 2007 (rec.306/2002) precisa que ha de ser la
administración la que demuestre la culpabilidad pues "no es el interesado quien ha de
probar la falta de culpabilidad".
La presunción de inocencia, derecho fundamental de la ciudadanía según el art 24.2
de la Constitución Española y el art. 6.2 del Convenio Europeo de Derechos Humanos,
viene recogida expresamente en nuestro ordenamiento para los procedimientos
administrativos sancionadores donde entre los derechos del interesado en el
procedimiento administrativo sancionador tendrá el derecho "A la presunción de no
existencia de responsabilidad administrativa mientras no se demuestre lo contrario".
Y es que como decía la STS 28.04.2016 (RC 677/2014): "cabe significar que el
derecho a la presunción de inocencia, que rige sin excepción en el ámbito del
procedimiento administrativo sancionador, según refiere el Tribunal Constitucional en
la sentencia 66/2007, de 27 de marzo, comporta que «no pueda imponerse sanción
alguna que no tenga fundamento en una previa actividad probatoria lícita», e implica
también el reconocimiento del derecho a un procedimiento administrativo sancionador
debido o con todas las garantías, que respete el principio de contradicción y en que el
presunto responsable tenga la oportunidad de defender sus propias posiciones,
vedando la incoación de expedientes sancionadores cuando resulte apreciable de
forma inequívoca o manifiesta la inexistencia de indicios racionales de que se ha
cometido una conducta infractora, o en los que esté ausente la antijuridicidad o la
culpabilidad"
Lo que no puede la Administración Pública es alzar responsabilidad administrativa en
los hechos expuestos por la parte reclamante, sin antes comprobar la veracidad de los
mismos. En el caso que nos ocupa, esta comprobación se basó en la revisión de la
página web objeto de la reclamación (https://www.canaltnt.es ), donde se comprobó
que la misma ya no existía, redirigiendo al usuario a una nueva página web
perteneciente a un titular diferente.
Tercero: Manifiesta la parte recurrente en el apartado “Tercero.- puntos 8 a 13” que al
comprobar la nueva página web https://www.warnertv.es/ , se observa que tras
seleccionar “Aceptar” en el banner se instalan las cookies “_ga” y “_ga_1PMD2PL02L”
de Google Analytics, que no son estrictamente necesarias y que no existe la
posibilidad de retirar el consentimiento una vez prestado.
En primer lugar, debemos hacer mención que la web https://www.warnertv.es , a la
cual hace mención la recurrente en su recurso de reposición, no fue la web objeto de
reclamación inicial, por lo que no procede su análisis en el ámbito de este recurso de
reposición.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/8
No obstante, dicho lo anterior, cabe recordar que, aunque esta nueva página web
(https://www.warnertv.es) sale a colación por el hecho de que al intentar acceder a la
página web objeto de reclamación inicial https://www.canaltnt.es , ésta redirigía al
usuario a la nueva página.
Ahora, la parte recurrente manifiesta que, en esta nueva página web
https://www.warnertv.es observa que, cuando el usuario presta el consentimiento, la
web empieza a utilizar dos nuevas cookies que no son de naturaleza técnica (“_ga” y
“_ga_1PMD2PL02L”) cuyo dominio pertenece a Google Analytics, y que no existe la
posibilidad de retirar el consentimiento una vez prestado solicitando a esta Agencia
que se practiquen las actuaciones de investigación que sean necesarias para
esclarecer los hechos que reclama.
Por tanto, se trata de un hecho nuevo no mencionado en la reclamación inicial. La
parte recurrente no puede pretender que en fase de recurso que se tengan en cuenta
hechos que no manifestó en una fase procedimental anterior.
La LPACAP dispone en su artículo 118 la siguiente regla procesal: “No se tendrán en
cuenta en la resolución de los recursos, hechos, documentos o alegaciones del
recurrente, cuando, habiendo podido aportarlos en el trámite de alegaciones, no lo
haya hecho. Tampoco podrá solicitarse la práctica de pruebas cuando su falta de
realización en el procedimiento en el que se dictó la resolución recurrida fuera
imputable al interesado.” Esta norma contiene una regla que no es más que la
concreción positiva para el ámbito administrativo común del principio general de que la
Ley no ampara el abuso del derecho (artículo 7.2 del Código Civil). Dicho principio
tiene por finalidad, entre otros, impedir que resulte inútil el trámite de alegaciones y
pruebas de los procedimientos de aplicación, como así resultaría si los interesados
pudieran elegir, a su arbitrio, el momento en el que presentar pruebas y alegaciones,
por cuanto que ello sería contrario a un elemental orden procesal.
Todo ello, sin perjuicio de que pueda presentar una nueva reclamación si considera
que tales hechos infringen normas que confieren competencias a la Agencia Española
de Protección de Datos.
III
Conclusión
En consecuencia, en el presente recurso de reposición, la parte recurrente no ha
aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez
de la resolución impugnada.
Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia
Española de Protección de Datos
RESUELVE:
PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A., a través de
la COMISION EUROPEA SISTEMAS DE INTERCAMBIO DE MERCADO INTERIOR
(IMI- Austria), contra la resolución de archivo dictada por la Directora de la Agencia
Española de Protección de Datos el 25/01/24, en el procedimiento AI/00057/2023,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/8
SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a la COMISION EUROPEA
SISTEMAS DE INTERCAMBIO DE MERCADO INTERIOR (IMI- Austria), conforme al
art. 77.2 del RGPD.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el
plazo de dos meses a contar desde el día siguiente a la notificación de este acto
según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la
Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo
dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del
referido texto legal.
Mar España Martí
Directora de la Agencia Española de Protección de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es