¶ ile paragrafa bağlantı verin veya alıntıyı künyesiyle kopyalayın. Üretilen bağlantı kimlikleri resmî paragraf numarası değildir.
1/29
Expediente nº.: EXP202306257 (RR/00640/2023)
IMI Reference: A56ID 438120 – A60DD 448732 – Case Register - 448157
RESOLUCIÓN DE RECURSO DE REPOSICIÓN
Examinado el recurso de reposición interpuesto por VACACIONES EDREAMS, S.L.
(en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la
Agencia Española de Protección de Datos de fecha 26 de julio de 2023, y en base a
los siguientes
HECHOS
PRIMERO: Con fecha 26 de julio de 2023, se dictó resolución por la Directora de la
Agencia Española de Protección de Datos en el expediente EXP202306257, en virtud
de la cual se ordenaba a VACACIONES EDREAMS, S.L., por una infracción del
Artículo 44 del RGPD, tipificada en el Artículo 83.5 del RGPD, adaptar la actividad de
tratamiento de datos realizada mediante el servicio de Google Analytics a lo dispuesto
en los artículos 44 y siguientes del Reglamento (UE) 2016/679 del Parlamento
Europeo y del Consejo, de 27 de abril de 2016, en particular mediante el cese de la
transferencia internacional de datos hasta que se acredite que el servicio de Google
Analytics cumple con las citadas disposiciones del Reglamento.
Dicha resolución, que fue notificada a la parte recurrente en fecha 31 de julio de 2023,
fue dictada previa la tramitación del correspondiente procedimiento sancionador, de
conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y
supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de
tramitación de procedimientos sancionadores.
SEGUNDO: Como hechos probados del citado procedimiento sancionador,
PS/00349/2022, quedó constancia de los siguientes:
PRIMERO: A.A.A. (la parte reclamante) el 14/08/2020 a las 4:44:00 hs, visitó el sitio
web ***URL.1 mientras estaba conectado a la cuenta de Google asociada a la
dirección ***EMAIL.1 perteneciente a la parte reclamante.
A través de código HTML incrustado en la página web “***URL.1”, se han recogido
datos personales (al menos, la dirección IP y "cookies") de la parte reclamante y se
han transferido a Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043,
EE. UU., a través de los servicios de Google Analytics y Google Ads contratados por el
responsable del portal, EDREAMS.
Al visitar la parte reclamante la citada página web se han realizado las siguientes
peticiones:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/29
1. Una petición GET a la URL ***URL.2, donde se incluyen cookies y campos de
la petición con, entre otros, los siguientes valores:
Campo Valor
User-Agent (…)
_ga (…)
__gads (…)
_gid (…)
2. Una petición GET a la URL ***URL.3 , donde se incluyen cookies y campos de
la petición con, entre otros, los siguientes valores:
Campo Valor
User- (…)
Agent
NID (…)
accept- (…)
language
u1 (…)
3. Una petición POST a la URL ***URL.4 con la siguiente cabecera y parámetros
codificados en el payload, entre otros:
Cabecera
(…)
Campo Valor
User- (…)
Agent
gjid (…)
cid (…)
tid (…)
_gid (…)
accept- (…)
language
SEGUNDO: Según consta en su respuesta de 10/12/2020, en respuesta a
requerimiento de esta Agencia, EDREAMS ha introducido el código de la herramienta
Google Analytics en su sitio web ***URL.1 y en la actualidad lo sigue incrustando.
TERCERO: Según consta en su respuesta de 10/12/2020, en respuesta a
requerimiento de esta Agencia, las estadísticas de Google Analytics fueron recogidas
de interesados en los Estados Miembros donde EDREAMS concentra su actividad;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/29
Alemania, Austria, Chequia, Dinamarca, España, Francia, Finlandia, Grecia, Hungría,
Italia, Países Bajos, Polonia, Portugal, Rumania, Suecia.
CUARTO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento
de esta Agencia, los datos de la herramienta Google Analytics se acceden
principalmente desde las oficinas de EDREAMS de España liderada por la
responsable del equipo de Analytics, pero también desde Francia y Alemania por el
equipo director de cada país.
QUINTO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento
de esta Agencia, EDREAMS solo comunican los datos recopilados a través de Google
Analytics a GOOGLE. Y en el caso de que el usuario proporcione su consentimiento
para cookies de publicidad y no bloquee las cookies en su navegador, serán también
destinatarias las herramientas Google Ad Manager y Google Ads.
SEXTO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento
de esta Agencia, la base legal de la incorporación de la Herramienta es el doble
legítimo interés de entender cómo se usa el sitio web de EDREAMS y proporcionar un
mejor servicio a los usuarios.
SÉPTIMO: Según consta en su respuesta de 10/12/2020, en respuesta a
requerimiento de esta Agencia, la base legal inicial de la transferencia internacional de
datos por parte de EDREAMS recaía en el Certificado del Escudo de Privacidad hasta
su nulidad y las cláusulas tipo de protección de datos adoptadas por la Comisión
("Cláusulas Contractuales Tipo", o "CCT"), desde agosto de 2020, junto con las
medidas complementarias adecuadas proporcionadas por Google.
OCTAVO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento
de esta Agencia, EDREAMS no tuvo la opción de transferir o no datos fuera del EEE
al utilizar Google Analytics, dado que la configuración de la herramienta no lo permite.
NOVENO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento
de esta Agencia, EDREAMS trata los datos de navegación y comportamiento de los
clientes en sus sitios web seudonimizados mediante un identificador cookie “Cookie
ID” que le permite analizar cómo el usuario a través de su dispositivo accede e
interactúa con su sitio web y su identificador interno para analizar los resultados a nivel
estadístico.
El “Booking ID” (identificador interno de reservas) es utilizado por EDREAMS para
identificar la ratio de conversión de ventas. Así como el “Checked Booking ID” les
permite saber cuántas personas han entrado en la sección de “Gestionar mi reserva” y
han seleccionado cancelar o modificar la misma.
Los "Session, Session or eDOuser ID" permiten limitar al máximo la cantidad de datos
que EDREAMS tiene en Google Analytics y los utilizan para resolver problemas
técnicos.
Por todo ello, los datos se circunscriben a cómo los usuarios, mediante sus
dispositivos, interactúan con el sitio web de EDREAMS (datos de navegación internos
al sitio web).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/29
En ningún caso se tratan categorías especiales de datos definidas en el artículo 9.1
del RGPD, ni se procesan datos de personas particularmente vulnerables. Tampoco se
procesan datos no seudonimizados.
DÉCIMO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento
de esta Agencia, GOOGLE puede tener conocimiento de los datos personales de los
usuarios de forma automática, al guardarse la información en su propia plataforma. El
código de la herramienta Google Analytics se integra directamente cuando el usuario
accede al sitio web de EDREAMS. Cualquier finalidad que se aleje de analizar el uso
del citado sitio web, como por ejemplo, la publicitaria, no se activará hasta que no haya
el previo consentimiento del usuario. Esto es, en el caso en el que el usuario no
proporcione consentimiento, Google Analytics no se conectará con Google Ad
Manager y Google Ads de ninguna forma.
DÉCIMO PRIMERO: Según consta en su respuesta de 10/12/2020, en respuesta a
requerimiento de esta Agencia, los datos se almacenan por el plazo de 26 meses, que
es el plazo que les permite hacer comparativas versus el año anterior.
DÉCIMO SEGUNDO: Según consta en su respuesta de 10/12/2020, en respuesta a
requerimiento de esta Agencia, los datos se almacenaban según cláusula 10.3 del
vigente documento “Condiciones para el tratamiento de datos de Google Ads”, cuyos
términos o configuración no permitían el cambio por parte de EDREAMS.
DÉCIMO TERCERO: Según consta en su respuesta de 10/12/2020, en respuesta a
requerimiento de esta Agencia, de los cinco fines para compartir datos con GOOGLE
exclusivamente EDREAMS tenía activado el de servicio técnico de GOOGLE para que
puedan resolver cualquier incidencia, sin que GOOGLE lo pueda usar para otros fines.
DÉCIMO CUARTO: Según consta en su respuesta de 10/12/2020, en respuesta a
requerimiento de esta Agencia, las cookies no se refrescan pese a que el usuario
vuelva a visitar el sitio web por lo que la duración de 13 meses es estática.
DÉCIMO QUINTO: Según consta en su respuesta de 10/12/2020, en respuesta a
requerimiento de esta Agencia, aparte del propio servicio de la herramienta Google
Analytics, se conectan los datos con otros servicios cuando medie previo
consentimiento con:
Google Ads Linking: que vincula la cuenta Google Ads a la de Analytics permitiendo
ver el ciclo completo del cliente, desde cómo los usuarios interactúan con el marketing
hasta cómo finalmente se consiguen los objetivos que se han establecido en el sitio
web.
Adsense Linking: que permite ver los datos de AdSense en Analytics, así como las
métricas clave de Analytics en las tarjetas de la página de inicio de AdSense.
Google Ad Manager Linking: una vez que se enlazan las cuentas de Ad Manager y
Analytics, las métricas de Ad Manager estarán disponibles en Analytics.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/29
Optimize and Tag Manager linking: Google Optimize permite probar y personalizar el
sitio web utilizando los datos de Google Analytics para la medición y targeting.
Ad Exchange Linking: que permite recibir datos del Ad Exchange dentro de la cuenta
de Analytics respecto a datos estadísticos de publicidad.
Campaign Manager 360 Linking: que permite habilitar la importación a Analytics 360
de datos estadísticos de campañas de Campaign Manager 360 y datos de costes.
DÉCIMO SEXTO: A 10/12/2020, EDREAMS tenía los siguientes servicios enlazados
con la herramienta Google Analytics:
a. “AdSense. Vinculado activamente. Recibiendo información. AdSense te ayuda
a ganar dinero al mostrar anuncios en tu sitio web que son relevantes para tu
audiencia.[…]”
b. “Google Adds. Vinculado activamente. Enviando y recibiendo información.
Google Ads es un programa de publicidad online que te ayuda a alcanzar a tus
clientes y hacer crecer tu negocio, mejora tus campañas de anuncios y analiza el viaje
completo del cliente- desde que pincha en el anuncio a la conversión.”
c. “Ad Exchange. Vinculado activamente. Recibiendo información. Ad Exchange
te ayuda a ganar dinero al mostrar anuncios en tu sitio web que son relevantes para tu
audiencia. Correlaciona las métricas clave de AdExchange, como eCPM e
impresiones unitarias, con más datos de Analytics”.
d. “Campaign Manager 360. Vinculado activamente. Recibiendo información.
Campaign Manager 360 es una solución de gestión y publicación de anuncios que
ayuda a las agencias y anunciantes a gestionar el alcance total de los programas de
publicidad digital. Esta integración permite a los clientes de Google Analytics 360 ver y
analizar los datos de Campaign Manager 360 en Analytics.”
e. “Google Optimize and Tag Manager for website and app optimization.
Vinculado activamente. Recibiendo información. Google Optimize te permite probar y
personalizar tu sitio web usando Google analytics para medir y personalizar. […]”
f. “Search Console. Vinculado activamente. Recibiendo información. Search
Console te puede ayudar a entender cómo los usuarios encuentran tu sitio web a
través de Google búsquedas, identificar formas de atraer más atención a tu sitio web y
priorizar los esfuerzos de desarrollo.”
DÉCIMO SÉPTIMO: A 10/12/2020, EDREAMS tenía la siguiente configuración de la
cuenta de Google Analytics en el apartado de “Data Sharing Settings”:
a. “Google product&services”. No seleccionado.
b. “Benchmarking”. No seleccionado.
c. “Technical Support”. Seleccionado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/29
d. “Account specialists”. No seleccionado.
e. “Give all Google sales experts Access to your data and account so you can get
more in Depth analysis, insights and recommendations across Google products”. No
seleccionado.
26 meses era el periodo de retención siendo el periodo mínimo seleccionable de 14
meses y el máximo de 50 meses. Y existía la opción seleccionable de no borrar
automáticamente los datos tras un periodo concreto, pero no estaba seleccionada.
DÉCIMO OCTAVO: A 10/12/2020, GOOGLE IRELAND LTD. actuaba como encargado
del tratamiento.
DÉCIMO NOVENO: A 10/12/2020, en el Contrato de adhesión propuesto por
GOOGLE “Condiciones para el tratamiento de datos de Google Ads”, del enlace
https://privacy.google.com/businesses/processorterms/, constaba que:
“[…]
2.5 En caso de que estas Condiciones del tratamiento de datos fuesen traducidas a
cualquier otro idioma y se diese alguna discrepancia entre la versión en inglés y el
texto traducido, la versión en inglés será la aplicable.
[…]”
VIGÉSIMO: Según consta en su respuesta de 10/12/2020, en respuesta a
requerimiento de esta Agencia, desde el mismo día en que se publicó la STJUE C-
311/18, EDREAMS consideró que debían actualizar su contratación eliminado la base
legal del Escudo de Privacidad e incluyendo las Cláusulas Contractuales Tipo, que
debían analizar los riesgos para los interesados teniendo en cuenta el tipo de datos
personales tratados, que debían revisar las medidas adicionales a las ya contenidas
en las Cláusulas Contractuales Tipo. Y, respecto al Escudo de Privacidad, GOOGLE
propuso en un mes (16 de agosto de 2020) su nueva versión con los cambios en las
“Condiciones para el tratamiento de datos de Google Ads”. Y se eliminó la
transferencia de la IP de quien visita la web.
VIGÉSIMO PRIMERO: Según consta en su respuesta de 10/12/2020, en respuesta a
requerimiento de esta Agencia, en un email enviado entre EDREAMS y GOOGLE en
fecha 24 de septiembre, GOOGLE declaró haber implementado las siguientes
salvaguardas adicionales para garantizar la protección de datos de Google Analytics:
i. Google Analytics garantiza la transmisión segura de sus bibliotecas de
Javascript y de los datos de medición a través del protocolo HTTP Strict Transport
Security (HSTS). ***URL.5.
ii. Anonimización de IP. GOOGLE ofreció la posibilidad de anonimizar las IP. Si se
activa esta opción, las IP se borran inmediatamente después de la recolección y nunca
se almacenan en disco. Que esta medida fue implementada desde eDreams.
***URL.6
iii. Google ha obtenido la certificación ISO 27001 en relación a Google Analytics.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/29
iv. Según GOOGLE, tienen un equipo que revisa cuidadosamente cada solicitud
de datos de los usuarios que reciben de las autoridades gubernamentales. Informe de
transparencia en ***URL.7 y sus políticas en ***URL.8.
v. Encriptación para proteger los datos personales contra la interceptación en
tránsito.
VIGÉSIMO SEGUNDO: Según consta en su respuesta de 10/12/2020, en respuesta a
requerimiento de esta Agencia, la base legal para la transferencia internacional de
datos tiene como base legal el Escudo de Privacidad hasta su nulidad y las cláusulas
contractuales tipo adoptadas por la Comisión desde agosto de 2020, junto con las
medidas complementarias adecuadas proporcionadas por GOOGLE. Las cláusulas
contractuales tipo se localizan en ***URL.9.
VIGÉSIMO TERCERO: Según consta en su respuesta de 10/12/2020, en respuesta a
requerimiento de esta Agencia, en caso de que cualquier agencia estadounidense de
seguridad quisiera obtener acceso a los datos recogidos por EDREAMS en la
Herramienta Google Analytics, en primer lugar, no podría hacerlo de forma directa, sin
enviar solicitud a Google, ya que dichos datos están encriptados. Asimismo, Google
tiene procesos internos para cuestionar cualquier requerimiento de la administración
norteamericana que considere desproporcional o incompatible con la normativa de
protección de datos europea o con las Cláusulas Contractuales Tipo.
Pero en el hipotético caso de que la agencia estadounidense correspondiente
terminase accediendo a los datos, no podrá saber qué persona concreta se encuentra
detrás de los datos recogidos en la Herramienta a través de los identificadores, ya que
solo los datos personales que permitirían una identificación directa están protegidos
por EDREAMS y almacenados dentro del Espacio Económico Europeo.
VIGÉSIMO CUARTO: Según consta en su respuesta de 10/12/2020, en respuesta a
requerimiento de esta Agencia, “La OE 123331 (...) organiza y asigna funciones y
responsabilidades a la comunidad de inteligencia de los Estados Unidos y articula
principios de alto nivel que toda actividad de inteligencia debe cumplir. Las actividades
específicas de inteligencia realizadas en virtud de la OE NO 12333 están sujetas a
procedimientos de aplicación más específicos (que pueden ser clasificados) que
incluyen salvaguardias y protecciones apropiadas para ese tipo de actividad de
inteligencia. La OE 12333 rige principalmente las actividades de inteligencia que se
realizan fuera de los Estados Unidos. Se entiende que la OE 12333 permite a los
Estados Unidos llevar a cabo una vigilancia electrónica fuera de los Estados Unidos de
conformidad con los requisitos legales de los Estados Unidos; no autoriza la vigilancia
electrónica dentro de los Estados Unidos ni impone requisitos a los proveedores de
servicios dentro o fuera de los Estados Unidos.
El artículo 702 de la Ley de enmiendas de la FISA, que también exige al Gobierno de
los Estados Unidos que reduzca al mínimo el uso y la difusión de datos, tiene dos
componentes:
El artículo 702 "Upstream" autoriza a las autoridades de los Estados Unidos a recopilar
datos que viajan a través de la infraestructura "troncal" de Internet controlada por los
1
Orden Ejecutiva 12333 de los Estados Unidos (en adelante, OE 12333 o EO 123333)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/29
proveedores de servicios de comunicación electrónica de los Estados Unidos (por
ejemplo, los proveedores de telecomunicaciones de los Estados Unidos). En la medida
en que los datos de cualquier usuario o cliente atraviesen las redes sujetas a la
recopilación de la sección 702 de Upstream, esos datos se cifran en tránsito como se
ha descrito anteriormente.
La sección 702 "Downstream" autoriza a las autoridades de los Estados Unidos a
obtener datos específicos directamente de los proveedores de servicios de
comunicación electrónica. En la medida en que Google LLC pueda estar sujeto a
solicitudes específicas relacionadas con los datos de los clientes de Google en virtud
de la sección 702 Downstream, revisamos detenidamente cada solicitud que recibimos
en virtud de la normativa FISA de acuerdo con las directrices descritas a continuación
para asegurarnos de que cumple todos los requisitos legales aplicables y las políticas
de Google".
VIGÉSIMO QUINTO: Según consta en su respuesta de 10/12/2020, en respuesta a
requerimiento de esta Agencia, Google declara que si cualquier gobierno solicitara
acceder a datos personales almacenados en los sistemas de Google en el curso de
una investigación, un equipo dedicado de abogados de Google y personal
especialmente capacitado revisará cuidadosamente la solicitud para verificar que sea
legal, proporcionada y que cumpla con las políticas de Google.
Google declara que la infraestructura de Google no está diseñada para, y no da al
gobierno de los Estados Unidos ni a ningún otro gobierno "puerta trasera" acceso a los
datos de los clientes o a sus servidores que almacenan datos de los clientes. Además,
Google declara que utiliza sólidas medidas técnicas (como la encriptación) para
protegerse contra la interceptación en tránsito, incluidos los intentos de vigilancia de
las autoridades gubernamentales de todo el mundo.
Google declara que Google Analytics utiliza por defecto el protocolo HTTP Strict
Transport Security (HSTS), que indica a los navegadores que soportan HTTP sobre
SSL (HTTPS) que utilicen ese protocolo de encriptación para todas las
comunicaciones entre los usuarios finales, los sitios web y los servidores de Google
Analytics.
Google declara que protege las comunicaciones de servicio a servicio en la capa de
aplicaciones mediante un sistema de autenticación mutua y de encriptación de
Google declara que después de que un protocolo de handshake entre el cliente y el
servidor se completa y el cliente y el servidor negocian los secretos criptográficos
compartidos necesarios para encriptar y autenticar el tráfico de la red, AL TS asegura
el tráfico RPC (Remote Procedure Call) forzando la integridad, y la encriptación
opcional, usando los secretos compartidos negociados. Google soporta múltiples
protocolos para garantizar la integridad, por ejemplo, AES-GMAC (Advanced
Encryption Standard) con claves de 128 bits. Siempre que el tráfico sale de una
frontera física controlada por o en nombre de Google, por ejemplo, en tránsito a través
de WAN (Wide Area Network) entre centros de datos, todos los protocolos se
actualizan automáticamente para proporcionar cifrado así como garantías de
integridad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/29
Google declara que cifra los datos de Google Analytics que se almacenan en reposo
en sus centros de datos mediante el estándar de cifrado avanzado. Cada centro de
datos está protegido con seis capas de seguridad física diseñadas para impedir el
acceso no autorizado.
La encriptación "en reposo" en esta sección significa la encriptación utilizada para
proteger los datos del usuario que se almacenan en un disco (incluidas las unidades
de estado sólido) o en un medio de copia de seguridad. Todos los datos del usuario se
cifran a nivel de almacenamiento, generalmente utilizando el estándar de cifrado
avanzado (AES256). Los datos suelen estar cifrados en varios niveles en la pila de
almacenamiento de producción de Google en los centros de datos, incluso a nivel de
hardware, sin que sea necesaria ninguna acción por parte de los clientes de Google.
Google declara que utiliza bibliotecas criptográficas comunes que incorporan el
módulo validado FIPS 140-2 de Google, para implementar la encriptación de manera
consistente en todos los productos. El uso consistente de bibliotecas comunes
significa que sólo un pequeño equipo de criptógrafos necesita implementar y mantener
este código estrechamente controlado y revisado.
Google declara que construye servidores exclusivos para sus centros de datos y
mantiene un equipo de seguridad líder en el sector para garantizar que los centros de
datos de Google se encuentren entre los más seguros del mundo. Los centros de
datos de producción de Google están protegidos por varias capas de seguridad para
evitar cualquier acceso no autorizado a los datos.
Google declara que limita el acceso a los datos personales de publicidad y análisis de
Google al personal de Google que los necesita para realizar su trabajo.
Google declara que los clientes que utilizan Google Analytics pueden activar la
anonimización de IP para indicar a Google que anonimice todas las direcciones IP
inmediatamente después de que se recojan. Si se activa, en ningún momento se
escribe la dirección IP completa en el disco, ya que toda la anonimización se produce
en la memoria casi instantáneamente después de recibir la solicitud.
Google declara que en la medida en que los datos de Google Analytics para la
medición transferidos por los clientes son datos personales, tendrían que ser
considerados como seudónimos. Las condiciones de servicio de Google Analytics
ordenan que no se transfieran a Google datos que Google pueda utilizar o reconocer
como información personal identificable (PII).
Google ha obtenido la certificación ISO 27001 y permitirá a los clientes o a un auditor
de terceros designado por un cliente realizar auditorías (incluidas inspecciones) para
verificar el cumplimiento de las obligaciones de Google.
VIGÉSIMO SEXTO: A 3 de febrero de 2021, en el enlace ***URL.1 en la política de
privacidad de EDREAMS constaba que:
“[…]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/29
V. Actividades de marketing. Utilizamos tu información con fines de marketing, entre
otros:
[…]
II. Información que recopilamos automáticamente cuando utilizas nuestros servicios.
a. Información de tu dispositivo (por ejemplo, tu dirección de IP, el tipo de navegador,
los proveedores de servicios de Internet, la ubicación geográfica, la información
técnica del dispositivo, la hora y la duración de la solicitud y la visita y el método
utilizado para enviar tu solicitud al servidor). Cuando visitas nuestros sitios web o
nuestra app, recopilamos automáticamente determinada información de tu dispositivo.
Ten en cuenta que es posible que asociemos dicha información con tu cuenta.
b. Otra información técnica, por ejemplo, cómo ha interactuado tu dispositivo con
nuestro sitio web o nuestra app (por ejemplo, las páginas a las que has accedido, los
enlaces en los que has hecho clic, etc.) u otros medios.
[…]
Si te registras en nuestro sitio web con la cuenta de una red social, vinculas la cuenta
que usas en nuestro sitio web con tu cuenta de la red social o utilizas alguna otra de
nuestras funciones de redes sociales, podemos acceder a información sobre ti a través
de dicho proveedor de redes sociales, de acuerdo con las políticas de dicho proveedor.
La información puede incluir tu nombre, dirección de e-mail, foto de perfil, género, lista
de amigos y cualquier otra información que nos autorices a recibir.
Parte de esta información puede recopilarse mediante cookies o con tecnología de
seguimiento similar. El tratamiento de la información recopilada a través de cookies se
basa en distintos fundamentos legales (por ejemplo, puede ser necesario para
proporcionar nuestros servicios en base a tu consentimiento). Para obtener más
información, consulta nuestra Política de cookies.
[…]
III. Transferencias internacionales de datos. Nuestros servidores están ubicados en la
Unión Europea. Sin embargo, para facilitar nuestras operaciones mundiales
(realizadas por proveedores de servicios externos) la transmisión de datos personales
a los destinatarios anteriormente descritos puede incluir transferencias internacionales
de datos personales a países cuya normativa de protección de datos no es tan
completa como la de los países dentro de la Unión Europea. En estas situaciones,
según se requiera, realizamos acuerdos contractuales para garantizar que tus datos
personales siguen protegidos de acuerdo con los estándares europeos.
[…]”
VIGÉSIMO SÉPTIMO: A 3 de febrero de 2021, en la url ***URL.10 constaba que
(traducción no oficial, en inglés en el original):
“Términos del Tratamiento de Datos de Google Ads: Cláusulas Modelo del Contrato
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/29
Cláusulas Contractuales Estándar (Encargados)
Para la transferencia de datos personales a encargados establecidos en terceros
países que no aseguran un nivel adecuado de protección de datos
Nombre de la organización que exporta los datos: la entidad identificada como el
“Cliente” en los Términos del Tratamiento de Datos (el exportador de datos)
y
Nombre de la organización que importa los datos: Google LLC, 1600 Amphitheatre
Parkway, Mountain View, California 94043 USA (el importador de datos)
[…]
Cláusula 4
Obligaciones del exportador de datos
El exportador de datos acuerda y garantiza:
(a) que el tratamiento, incluida la transferencia en sí, de los datos personales ha sido y
será llevada a cabo de acuerdo con las disposiciones relevantes de la legislación de
protección de datos aplicable (y, en su caso, haya sido notificado a las autoridades
relevantes del Estado Miembro donde esté establecido el exportador de datos) y no
viola las disposiciones relevantes de ese Estado;
(b) que ha instruido y durante la duración de los servicios de tratamiento de los datos
personales instruirá al importador de datos para que trate los datos personales
transferidos solo por cuenta del exportador de datos y de acuerdo con la legislación de
protección de datos aplicable y las Cláusulas;
(c) que el importador de datos dará garantías suficientes respecto de las medidas de
seguridad técnicas y organizativas especificadas en el Apéndice 2 de este contrato;
(d) que luego de analizar los requerimientos de la legislación de protección de datos
aplicable, las medidas de seguridad son adecuadas para proteger los datos
personales contra destrucción accidental o ilícita o pérdida accidental, alteración,
revelación no autorizada o acceso, en particular si el tratamiento implica la transmisión
de datos por una red, y contra toda otra forma de tratamiento ilícito, y que estas
medidas aseguran un nivel de seguridad apropiado a los riesgos que presenta el
tratamiento y la naturaleza de los datos a proteger teniendo en cuenta el estado del
arte y el coste de su implementación;
[…]
Cláusula 5
Obligaciones del importador de datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/29
El importador de datos acuerda y garantiza:
(a) tratar los datos personales solo por cuenta del exportador de datos y en
cumplimiento de sus instrucciones y las Cláusulas; si no pudiera cumplir por cualquier
razón, acuerda informar debidamente al exportador de datos de su imposibilidad de
cumplir, en cuyo caso el exportador de datos puede suspender la transferencia de los
datos y/o finalizar el contrato;
(b) que no tiene razones para creer que la legislación aplicable le impide cumplir con
las instrucciones recibidas del exportador de datos y sus obligaciones bajo el contrato
y que en el supuesto de un cambio en esta legislación que es probable que tenga un
efecto adverso sustancial sobre las garantías y obligaciones establecidas por la
Cláusulas, notificará inmediatamente el cambio al exportador de datos tan pronto
como tenga conocimiento, en cuyo caso el exportador de datos puede suspender la
transferencia de los datos y/o finalizar el contrato;
(c) que ha implementado las medidas de seguridad técnicas y organizativas
especificadas en el Apéndice 2 antes de tratar los datos personales transferidos;
(d) que notificará inmediatamente al exportador de datos sobre:
(i) cualquier solicitud legalmente vinculante de divulgación de los datos personales por
parte de una autoridad encargada de hacer cumplir la ley a menos que esté prohibido,
como una prohibición bajo […]
[…]
Cláusula 8
Cooperación con las autoridades de supervisión
1. El exportador de datos acuerda depositar una copia de este contrato en la autoridad
de supervisión si esta solicitud o depósito fuera obligatorio bajo la legislación de
protección de datos aplicable.
2. Las partes acuerdas que la autoridad de supervisión tiene el derecho a llevar a cabo
una auditoría del importador de datos, y de cualquier sub-encargado, que tiene el
mismo alcance y está sujeto a las mismas condiciones que aplicaría a una auditoría
del exportador de datos bajo la legislación de protección de datos aplicable.
[…]
Apéndice 2 a las Cláusulas Contractuales Estándar
Este Apéndice forma parte de las Cláusulas.
Descripción de las medidas de seguridad técnicas y organizativas implementadas por
el importador de datos de acuerdo con las Cláusulas 4(c) y 5(c) (o
documento/legislación adjunto):
El importador de datos actualmente cumple con las Medidas de Seguridad
establecidas en el Apéndice 2 de los Términos del Tratamiento de Datos en ***URL.11.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/29
[…]”
VIGÉSIMO OCTAVO: A 3 de febrero de 2021 en la url ***URL.12 constaba:
“Condiciones para el tratamiento de datos de Google Ads
Google y la contraparte que acepta las presentes Condiciones (el "Cliente"), han
celebrado un contrato para la prestación de los Servicios del encargado del
tratamiento (con sus enmiendas puntuales, el "Contrato”)
Las presentes Condiciones del tratamiento de datos de los anuncios de Google, (las
"Condiciones del tratamiento de datos") se suscriben por Google y el Cliente y
complementan al Contrato.
[…]
Introducción
Las presentes Condiciones del tratamiento de datos reflejan el acuerdo de las partes
sobre las condiciones que rigen el tratamiento de determinados datos personales en
relación con la Legislación europea de protección de datos y con determinada
Legislación no europea de protección de datos.
Definiciones e interpretación
[…]
"Leyes Europeas o Nacionales": según corresponda: (a) las leyes de la UE o sus
Estados Miembros (si el RGPD UE aplica al tratamiento de Datos Personales del
Cliente); y/o (b) la ley de Reino Unido o una parte de Reino Unido (si el RGPD de
Reino Unido aplica al tratamiento de Datos Personales del Cliente).
[…]
"Google": la Entidad de Google que sea parte del Contrato.
"Subencargados del tratamiento de datos de filiales de Google" tiene el significado
dado en la Sección 11.1 (Consentimiento para la contratación del
Subencargado del tratamiento de datos).
"Entidad de Google": Google LLC (anteriormente conocido como Google Inc.), Google
Ireland Limited o cualquier otra Filial de Google LLC.
[…]
5. Tratamiento de datos
5.1 Roles y cumplimiento normativo; autorización.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/29
5.1.1 Responsabilidades del encargado del tratamiento y del responsable del
tratamiento. Las partes reconocen y aceptan que:
(a) El Apéndice 1 describe el objeto y los detalles del tratamiento de los Datos
personales del cliente;
(b) Google es un encargado del tratamiento de Datos personales del cliente con
arreglo a la Legislación europea de protección de datos;
(c) El Cliente es un responsable del tratamiento o encargado del tratamiento, según
corresponda, de Datos personales del cliente con arreglo a la Legislación europea de
protección de datos; y
(d) cada parte cumplirá las obligaciones que le correspondan en virtud de la
Legislación europea de protección de datos con respecto al tratamiento de Datos
personales del cliente.
[…]
5.2. Instrucciones del cliente. Al celebrar las presentes Condiciones del tratamiento de
datos, el Cliente instruye a Google para que efectúe el tratamiento de los Datos
personales del cliente solo de acuerdo con la legislación aplicable: (a)para
proporcionar los Servicios del encargado del tratamiento y cualquier soporte técnico
relacionado; (b) tal y como se especifica más a través del uso por parte del Cliente de
los Servicios del encargado del tratamiento (incluida la configuración y otras
funcionalidades de los Servicios del encargado del tratamiento) y cualquier soporte
técnico relacionado; (c) según se documenta por medio del Contrato, incluidas las
presentes Condiciones del tratamiento de datos; y (d) tal y como se documenta en
otras instrucciones proporcionadas por escrito por el Cliente y reconocidas por Google
como instrucciones constitutivas para los propósitos de las presentes Condiciones del
tratamiento de datos.
5.3. Cumplimiento de las instrucciones por parte de Google. Google cumplirá las
instrucciones descritas en la Sección 5.2 (Instrucciones del cliente) (incluidas las
relativas a transferencias de datos), a menos que las Leyes Europeas o Nacionales a
las que está sujeta Google requiera otro tratamiento de datos personales por parte de
Google, en cuyo caso Google informará al Cliente (a menos que alguna de dichas
leyes prohíba a Google hacerlo por motivos importantes de interés público).
[…]
10. Transferencias de datos
10.1 Almacenamiento de datos e instalaciones de tratamiento. El Cliente acepta que
Google, sin perjuicio de la Sección 10.2 (Transferencias de Datos), almacene y efectúe
el tratamiento de Datos personales del cliente en cualquier país en el que Google o
cualquiera de sus Subencargados del tratamiento de datos mantenga instalaciones.
10.2 Transferencias de Datos. Si el almacenamiento y/o tratamiento de los Datos
personales del cliente implica transferencias de Datos Personales del Cliente desde el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/29
EEE, Suiza o el Reino Unido a cualquier país tercero que no esté sujeto a una
decisión de adecuación bajo la Legislación europea de protección de datos:
(a) Se considerará que el cliente (como exportador de datos) ha suscrito las Cláusulas
Contractuales Tipo con Google LLC (como importador de datos);
(b) las transferencias estarán sujetas a las Cláusulas Contractuales Tipo;
y
(c) Google se asegurará de que Google LLC cumpla con sus obligaciones en virtud de
dichas Cláusulas Contractuales Tipo con respecto a dichas transferencias.
[…]
11. Subencargados del tratamiento de datos.
11.1 Consentimiento para la contratación del Subencargado del tratamiento de datos.
El Cliente autoriza específicamente la contratación de las filiales de Google como
Subencargados del tratamiento de datos ("Subencargados del tratamiento de datos de
filiales de Google"). Además, el Cliente generalmente autoriza la contratación de otros
terceros como Subencargados del tratamiento de datos ("Subencargados del
tratamiento de datos terceros"). Si se aplican las Cláusulas Contractuales Tipo en
virtud de la Sección 10.2 (Transferencias de datos), las autorizaciones anteriores
constituyen el consentimiento previo por escrito del Cliente para la subcontratación por
parte de Google LLC del tratamiento de los Datos personales del Cliente.
[…]
VIGÉSIMO NOVENO: A 3 de febrero de 2021 en la url ***URL.8constaba:
“[…]
Solicitudes de agencias gubernamentales de EE. UU. en casos que involucran
seguridad nacional
En investigaciones relacionadas con la seguridad nacional, el gobierno de los EE. UU.
puede utilizar una Carta de Seguridad Nacional (NSL) o una de las autorizaciones
otorgadas en virtud de la Ley de Vigilancia de Inteligencia Extranjera (FISA) para
obligar a Google a proporcionar información del usuario.
Una NSL no requiere autorización judicial y solo puede usarse para obligarnos a
proporcionar información limitada del suscriptor.
Las órdenes y autorizaciones de FISA se pueden usar para obligar a la vigilancia
electrónica y la divulgación de datos almacenados, incluido el contenido de servicios
como Gmail, Drive y Photos.”
[…]” (traducción no oficial, en inglés en el original)
TRIGÉSIMO: A 3 de febrero de 2021 en la url ***URL.13 constaba:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/29
“[…]
Conceptos básicos sobre la información personal identificable en los contratos y las
políticas de Google.
En muchos contratos, términos del servicio y políticas de los productos de publicidad y
medición de Google se hace referencia a la "información personal identificable" (IPI).
Se trata de una categorización de datos diferente a lo que el Reglamento General de
Protección de Datos (RGPD) considera "datos personales".
Tenga en cuenta que, aunque Google no identifique ciertos datos como información
personal identificable, es posible que el RGPD sí lo haga o que esos datos se
consideren información personal de conformidad con la Ley de Privacidad del
Consumidor de California (CCPA), y pueden estar sujetos a esas leyes.
[…]
Google considera "información personal identificable" la información que se pueda
usar por sí sola para identificar o ubicar con precisión a una persona, o para ponerse
en contacto con ella de forma directa. Entre otros datos, incluye lo siguiente:
• Direcciones de correo electrónico
• Direcciones de correo postal
• Números de teléfono
• Ubicaciones precisas (por ejemplo, coordenadas GPS, salvo en los casos que se
mencionan más abajo)
• Nombres completos (nombre y apellidos) o nombres de usuario.
[…]
Entre otros, Google no considera información personal identificable los siguientes
datos:
• ID de cookie seudónimos
• ID de publicidad seudónimos
• Direcciones IP
• Otros identificadores de usuario final seudónimos
Por ejemplo, si se envía una dirección IP con una solicitud de anuncio (algo que
sucede con casi todas las solicitudes de anuncios como consecuencia de los
protocolos de Internet), ese envío no incumplirá ninguna prohibición relacionada con el
envío de información personal identificable a Google.
Tenga en cuenta que, aunque Google no identifique ciertos datos como información
personal identificable, es posible que el RGPD, la CCPA u otras leyes de privacidad
los consideren datos personales o información personal.
[…]”
TRIGÉSIMO PRIMERO: A 1 de febrero de 2021, tras visitar la web ***URL.1 estando
logado en una cuenta de prueba de Google, constaba reflejado dentro del apartado
“Actividad en la Web y Aplicaciones” la visita realizada a dicha web.
TRIGÉSIMO SEGUNDO: El 17 de febrero de 2021 se comprueba, tras borrar cookies,
que:
1. Tras realizar login en una cuenta de Google, se encuentran instaladas en el
navegador cookies como NID, LSID, SID, __Secure-3PSID, __Secure-3PAPISID todas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/29
ellas de más de 30 caracteres alfanuméricos donde se permiten mayúsculas y
minúsculas y un periodo de caducidad desde 6 meses a varios años. No constan
cookies como _ga, _gid instaladas.
2. Que estando logado en la cuenta de Google y tras visitar ***URL.1, rechazando
todas sus cookies y realizar una navegación correspondiente a una búsqueda de un
coche de alquiler desde Madrid-Aeropuerto a Málaga-Aeropuerto con fecha de inicio
del alquiler el 25/02/2021 y fecha de fin el 28/02/2021 se comprueba que se instalan
las cookies _ga, _gid entre otras. También se comprueba que consta una petición
HTTP GET al dominio google-analytics.com en cuyos parámetros dentro de la url de la
petición constan, entre otros, datos como:
a. la cookie _ga dentro del parámetro cid y la cookie _gid.
b. la url visitada (***URL.14) y, entre otros datos, la operación realizada dentro de
la misma, codificada como:
“pickupDateTime”: “2021-02-25”
“returnDateTime”: “2021-02-28”
“pickupName”: “%3DMadrid%2520-%2520Aeropuerto”
“returnName”: “%3DM%25C3%25A1laga%2520-%2520Aeropuerto”
c. el parámetro “sr”.
3. Que en las cabeceras del HTTP GET constan asimismo datos como “user-
agent” y “accept-language”.
TRIGÉSIMO TERCERO: El 04 de marzo de 2021 se comprueba que, tras hacer login
en una cuenta de Google, seguido de un logout y seguido a continuación de una
navegación en ***URL.1 correspondiente a una búsqueda de vuelo más hotel del 19 al
21 de marzo y seleccionando como origen Madrid y destino Málaga:
1. Consta una petición HTTP POST al dominio google-analytics.com donde se
envía datos como payload, entre otros:
“***URL.1”
“sr=1920x1080”
el parámetro “cid” que coincide con el valor de la cookie _ga
el parámetro _gid que coincide con el valor de la cookie _gid
la fecha de salida y de vuelta, así como la ciudad de salida y la de llegada.
2. Que en las cabeceras del HTTP POST constan asimismo datos como “user-
agent” y “accept-language”.
TRIGÉSIMO CUARTO: El 23 de junio de 2021 se comprueba que, tras hacer login en
una cuenta de Google, a continuación se realiza una navegación por la web ***URL.1:
1. Que consta una petición HTTP GET al dominio adservice.google.com donde se
envía como parámetro u1 el mismo valor que el contenido en la cookie _ga así como
los parámetros “user-agent” y “accept-language”. Que en esta misma petición HTTP
GET se envía también la cookie NID.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/29
Se comprueba, en distintas fechas, que el dominio 18oogle-analytics.com así como
varias direcciones IP correspondientes a ese dominio, constan asignadas a GOOGLE
LLC
TRIGÉSIMO QUINTO: Según consta en su escrito de 12 de mayo de 2021, la cifra
total de usuarios en el periodo desde el 1 de abril de 2020 al 31 de marzo de 2021 de
la página web ***URL.1 así como de otras versiones de la página orientadas a otros
países es, por ejemplo, en el mercado alemán de 1.623.842 visitas, en el español
13.344.019 visitas y en el mercado francés de 12.682.624 visitas. Y la cifra de usuarios
totales en el periodo descrito es de 72.648.400 visitas.
TRIGÉSIMO SEXTO: Según consta en su escrito de 12 de mayo de 20212, la versión
que usaba EDREAMS era Google Analytics 360, desde julio del año 2012.
TRIGÉSIMO SÉPTIMO: Según consta en su escrito de 28 de mayo de 2021, los
establecimientos de EDREAMS en los que tratan datos personales en el contexto de la
presente reclamación son Alemania, España, Francia, Italia, Reino Unido.
TRIGÉSIMO OCTAVO: Según consta en su escrito de 28 de mayo de 2021, (…).
TRIGÉSIMO NOVENO: El 27 de octubre de 2021 se comprueba que en el plenario del
Comité Europeo de Protección de datos de fecha 2 de septiembre de 2020, se decidió
crear un grupo de trabajo para asegurar una aproximación coherente entre las
autoridades de datos europeas para gestionar las 101 reclamaciones de NOYB, que
versan sobre cuestiones similares (quien reclama ha visitado una página web de un
responsable de tratamiento mientras había iniciado sesión en su cuenta de Google o
Facebook, vinculada a su dirección de correo electrónico. Y el responsable de
tratamiento había embebido código de servicios de Google o Facebook, que habían
transferido sus datos personales a Estados Unidos, sin tener base jurídica para ello).
CUADRAGÉSIMO: Según diligencia del 27 de octubre de 2021, GOOGLE LLC remitió
a la autoridad austríaca de protección de datos un documento de fecha 09 de abril de
2021, la cual lo comparte con el resto de autoridades a través del Grupo de trabajo
para las 101 reclamaciones de NOYB en el contexto de la sentencia del TJUE
Schrems II (“101 taskforce”, en adelante, grupo de trabajo TF101). En el documento
en cuestión consta la siguiente información y manifestaciones (de su traducción no
oficial del inglés):
(…).
CUADRAGÉSIMO PRIMERO: A 2 de noviembre 2021, la página web ***URL.1 está
disponible también para los siguientes países del EEA: República Checa, Francia,
Italia, Rumanía, Alemania, Grecia, Holanda, Polonia, Hungría, Portugal.
CUADRAGÉSIMO SEGUNDO: A 2 de noviembre de 2021, en la url ***URL.15
constaba la existencia de solicitudes de información FISA (Foreign Intelligence
Surveillance Act) y NSL (National Security Letters) dirigidas a GOOGLE sobre
información de usuarios.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/29
CUADRAGÉSIMO TERCERO: A 24 y 25 de marzo de 2022, en la descripción de
Google Analytics localizable en las urls ***URL.16 y ***URL.17 constaba, entre más
información, que las cookies _ga y _gid se usaban para distinguir usuarios y que el
parámetro “sr” se refería a la resolución de pantalla.
Y que, mediante la ejecución de comandos tracert hacia varias direcciones IP
asignadas a GOOGLE LLC en relación al dominio google-analytics.com, los tiempos
RTT son demasiado bajos para estar dichas IP de destino geográficamente ubicadas
en Estados Unidos.
TERCERO: Con fecha 30 de agosto de 2023 la parte recurrente ha presentado
recurso de reposición ante esta Agencia, fundamentándolo, básicamente, en que se ha
producido indefensión, con infracción del derecho de defensa, con una denegación
injustificada del período de prueba. Además, considera que la resolución sancionadora
es incongruente y carece de la necesaria motivación, y que la sanción impuesta tiene
efectos antijurídicos y de contenido imposible. Por último, se alega la falta de objeto
del procedimiento sancionador y del elemento subjetivo y culpabilidad.
FUNDAMENTOS DE DERECHO
I
Competencia
Es competente para resolver el presente recurso la Directora de la Agencia Española
de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en adelante, LOPDGDD).
II
Contestación a las alegaciones presentadas en el recurso de reposición
Con relación a las alegaciones efectuadas por la parte recurrente en el recurso de
reposición, se procede a dar respuesta a las mismas según el orden expuesto por
EDREAMS:
“PRIMERO.- Indefensión. Infracción de derecho de defensa. Denegación injustificada
del período de prueba.”
Según EDREAMS, esta Agencia ha generado indefensión a EDREAMS al retrasarle
injustificadamente el acceso al Expediente, al limitar injustificadamente los plazos de
ampliación para la presentación de alegaciones y, más aún, al no acordar esta AEPD
la apertura del período de prueba solicitado expresamente por EDREAMS en varias
ocasiones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/29
A continuación, se procede a dar debida respuesta a estos argumentos. Respecto al
rechazo de petición de prueba formulada por EDREAMS, ésta ignora en su
planteamiento lo dispuesto en el punto 10 de los “Términos del Tratamiento de Datos
de Google Ads”, según el cual el responsable del tratamiento ha acordado que Google
pueda almacenar y tratar datos personales del cliente (en el presente caso, datos
personales de la parte reclamante) en cualquier país en el que Google o cualquiera de
sus subencargados de tratamiento de datos mantengan instalaciones. Cuando se
recopila esta información, se transmite a los servidores de Google Analytics.
Concretamente, el documento obrante en el expediente enviado por Google LLC con
fecha 9 de abril de 2021, en el último párrafo a la respuesta de la pregunta 8, Google
manifiesta que todos los datos recopilados a través de Google Analytics están alojados
en los Estados Unidos. Por lo tanto, los datos recopilados en el sitio web «***URL.1» a
través de Google Analytics se transfieren a los Estados Unidos.
Acreditado documentalmente la transferencia internacional de datos personales a los
Estados Unidos, no era necesario realizar una prueba técnica de un hecho que ha sido
reconocido por Google, y es que, en último término, todos los datos tratados por
Google Analytics están alojados en los EE. UU. De acuerdo con lo dispuesto en el
artículo 77.3 de la LPACAP, “el instructor del procedimiento sólo podrá rechazar las
pruebas propuestas por los interesados cuando sean manifiestamente improcedentes
o innecesarias, mediante resolución motivada”, de esta forma, no se establece un
derecho “omnímodo” a la práctica de la prueba, que pretende EDREAMS, sino que
puede rechazarse de forma motivada, como así se hizo en la resolución, en los
términos que han vuelto a reproducir en este párrafo.
En cuanto a lo que EDREAMS denomina “retraso injustificado en el acceso al
Expediente”, la forma de entrega del expediente vino motivada por la imposibilidad
técnica de ponerlo a disposición de EDREAMS a través de la sede electrónica, debido
al tamaño del documento, ante lo cual se decidió remitir la copia del expediente en
soporte electrónico mediante mensajería. Fue voluntad de esta Agencia que
EDREAMS tuviera acceso a la copia del expediente EDREAMS lo antes posible, para
lo cual el personal de encargado de su envío confirmó telefónicamente el domicilio al
que debía ser remitido con personal de EDREAMS que, en ese momento, constaba en
la base de datos de esta Agencia, al cual se remitió el envío el día 12 de diciembre de
2022.
Pese a la citada comprobación, tal y como consta en el justificante expedido por la
empresa de mensajería obrante en el expediente, el 13 de diciembre de 2022, cuando
aún restaban 6 días hábiles para la finalización del plazo para presentar alegaciones,
el repartidor de la empresa de mensajería no pudo entregar el envío por la siguiente
causa: “Destinatario desconocido en el domicilio de entrega”. Tras este primer intento
de entrega, se volvió a contactar de nuevo con EDREAMS para confirmar el domicilio.
Por lo tanto, el retraso en la entrega de la copia del expediente se debe a que
EDREAMS, no había notificado a esta Agencia el cambio de domicilio.
El día 15 de diciembre de 2022, personal de EDREAMS compareció ante esta
Agencia, cuando restaban cuatro días hábiles para el último día de presentación de
alegaciones. A dicha representación de EDREAMS se le facilitó la copia del expediente
de forma presencial, no pudiendo facilitarse la copia dos días antes, cuando
compareció ante esta Agencia sin acreditar dicha representación. Sin duda, esta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/29
circunstancia también fue causa de la demora en la entrega de la copia del
expediente.
En cualquier caso, desde el 15 de diciembre de 2022, día en el que se le entregó la
copia del expediente, EDREAMS ha dispuesto de un plazo bastante amplio para
revisar los documentos obrantes en el expediente; prueba de ello, a modo de ejemplo,
lo constituye el informe pericial que adjunta a sus alegaciones (documento adjunto nº
3), donde en 134 páginas se analizan cuestiones técnicas de algunos de los
documentos obrantes en el expediente.
Por último, en cuanto a lo que EDREAMS denomina “limitación injustificada” de la
ampliación del plazo para presentar alegaciones a la propuesta de resolución, dispone
el artículo 32.1 de la LPACAP que “La Administración, salvo precepto en contrario,
podrá conceder… una ampliación de los plazos establecidos…”, por lo que no está
obligado a ello.” En el presente caso, el plazo de alegaciones al acuerdo de inicio fue
ampliado cinco días hábiles, el plazo máximo que permite el artículo 32.1 de la
LPACAP, teniendo en cuenta que el plazo inicial era de diez días hábiles, y, en el plazo
de alegaciones a la propuesta de resolución se han concedido dos días hábiles
adicionales, por lo que se ha garantizado que EDREAMS tenga plazo más que
suficiente para aducir alegaciones.
Por todo lo expuesto, se desestima la presente alegación.
“SEGUNDO.- Falta de motivación de la Resolución Sancionadora.”
En este apartado EDREAMS reitera la falta de prueba de los hechos constitutivos de la
infracción, sin que esta Agencia haya podido demostrar técnicamente que se
produzcan transferencias internacionales de datos a los EE. UU. EDREAMS considera
que la configuración de privacidad con la que utiliza el servicio de Google Analytics
impide las transferencias internacionales de datos. Asimismo, según EDREAMS, en la
resolución recurrida se sanciona mediante la prohibición futura del tratamiento, sin
haber realizado este análisis de riesgos de cómo es el riesgo en la actualidad. Por
último, se repiten otros argumentos ya sostenidos en los apartados anteriores, como la
ausencia de prueba en el procedimiento y la configuración de la Privacidad en el uso
de Google Analytics por EDREAMS, los cuales ya han sido objeto de respuesta.
En contestación a esta alegación, en primer lugar, se debe aclarar con relación a la
valoración realizada por el Inspector que realizó en las actuaciones previas de
investigación (página 5373 del expediente) a la que alude EDREAMS en su recurso de
reposición que, con independencia de que esta Agencia haya sido capaz de demostrar
técnicamente que se producen transferencias internacionales de datos a los EE. UU.,
éstas han quedado acreditadas documentalmente, tal y como se ha razonado en la
contestación a la alegación de EDREAMS en el apartado anterior a este, en el cual se
hace referencia al punto 10 de los “Términos del Tratamiento de Datos de Google
Ads”, según el cual el responsable del tratamiento ha acordado que Google pueda
almacenar y tratar datos personales del cliente en cualquier país en el que Google o
cualquiera de sus subencargados de tratamiento de datos mantengan instalaciones y
que, específicamente, el documento obrante en el expediente enviado por Google LLC
con fecha 9 de abril de 2021, en el último párrafo a la respuesta de la pregunta 8,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/29
Google manifiesta que todos los datos recopilados a través de Google Analytics están
alojados en los Estados Unidos.
Ya se justificó en la resolución recurrida que la configuración de Google Analytics
utilizada por EDREAMS en su web, sin tener habilitado Google Signal, no impedía el
tratamiento de datos personales. En el documento de fecha 09 de abril de 2021 que
GOOGLE LLC remite a la autoridad austríaca de protección de datos, en el que se
GOOGLE LLC responde una serie de preguntas formuladas por la autoridad austriaca
con relación a una reclamación sustancialmente similar a la del presente
procedimiento, y al cual EDREAMS ha tenido acceso ya que está incorporado al
expediente; en el punto número 9 (página 5234 del expediente), se dice lo siguiente:
(traducción no oficial):
“En la presente reclamación, la parte reclamante estaba logado en su cuenta de
Google al visitar el sitio web específico del propietario del sitio. ¿La implementación de
los servicios de Google (incluido Google Analytics) permite a Google recibir
información de que un determinado usuario de una cuenta de Google ha visitado un
sitio web concreto? En caso afirmativo, por favor describa cómo y qué información
sobre el usuario de la cuenta de Google es recogida.
No, la implementación de Google Analytics como tal no permite que Google reciba la
información que un determinado usuario de Google ha visitado un sitio web específico.
La implementación de Google Analytics en un sitio web permite a Google recibir la
información de que un determinado usuario de Google ha visitado un sitio web
específico, sólo si se cumplen las siguientes condiciones adicionales:
(1) El usuario ha activado la actividad en Internet y en su cuenta de Google y, además,
ha visitado el sitio web;
(2) El usuario ha optado por incluir la actividad de las empresas que utilizan los
servicios de Google;
(3) El usuario ha activado la personalización de anuncios;
(4) y el usuario se conecta a su cuenta de Google en el mismo navegador mientras
visita el sitio web.
Si Google Signals (véase nuestra respuesta a la pregunta 6(ii)) está activado en ese
sitio web, Google podrá entonces la visita del usuario a dicho sitio web en la actividad
de la cuenta de Google en Internet y aplicaciones del usuario. “
Como puede comprobarse, de nuevo por la propia respuesta de Google, no es
necesario tener activado Google Signals para que Google reciba información de un
usuario de Google si se cumplen las cuatro condiciones transcritas, siendo una función
opcional cuya desactivación no impide a Google recibir información de que un
determinado usuario de una cuenta de Google ha visitado un sitio web concreto. En la
respuesta 6 (ii), Google dice: “Google Signals es una función opcional de Google
Analytics que, cuando se activa, añade informes suplementarios que se basan en los
datos de los usuarios de Google que han activado la personalización de anuncios en
su cuenta.”
Por otra parte, EDREAMS en cuanto a la recogida de las Direcciones IP: “Las
direcciones IP se anonimizarían en el momento de recolección y dicha anonimización,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/29
como ha sido confirmada por Google, se produce dentro de la región europea para
usuarios que navegan desde el EEE. En consecuencia, los datos que podrían ser
potencialmente transferidos a EE.UU. no son datos personales, sino que han sufrido
un proceso de anonimización sólido e irreversible.” Ni Google ni EDREAMS han
acreditado de modo- alguno que las IPs sean anonimizadas dentro del territorio de la
Unión Europea.
Podemos tener por buenas las afirmaciones realizadas por Google de que las IPs son
anonimizadas dentro del territorio de la UE al igual que hemos reproducido
anteriormente cómo tratan las cookies y su uso para distinguir a usuarios, pero,
podrían ser objeto de tratamiento una vez recolectadas. A modo de ejemplo, en
Google Analytics, según el documento la “Privacidad y Datos en la UE” de Google
(disponible en https://support.google.com/analytics/answer/12017362?
hl=es&ref_topic=2919631), “…los datos de direcciones IP se usan únicamente para
obtener los datos de geolocalización y se descartan de inmediato”, por lo que sí se
utiliza información que pueda proporcionar la IP antes de la anonimización.
EDREAMS, esgrime como prueba de que las IPs son siempre anonimizadas en
territorio de la Unión Europea un correo electrónico de un trabajador de Google, por lo
que no existe ninguna evidencia técnica que lo acredite.
En consecuencia, de conformidad con lo más ampliamente desarrollado en el
Fundamento de Derecho IV de la resolución recurrida, en especial, en su punto 2,
“Sobre la calificación de los datos objeto de tratamiento como datos personales”,
EDREAMS realiza transferencias internacionales de datos personales mediante
Google Analytics.
Por último, según lo expresado por EDREAMS, en la resolución recurrida no se ha
tenido en cuenta el análisis de riesgos de cómo es el riesgo en la actualidad. Sin
embargo, no puede aplicarse al presente procedimiento la modificación del marco
normativo en materia de protección de datos que ha tenido lugar en EE. UU., el cual
se ha producido con posterioridad a los hechos en cuestión.
En la fecha en la que se produjeron los hechos objeto de reclamación era de
aplicación los fundamentos de la sentencia del TJUE en el asunto C-311/18 (Schrems
II), que declaró inválida la Decisión de Ejecución (UE) 2016/1250 de la Comisión, de
12 de julio de 2016, sobre la adecuación de la protección conferida por el Escudo de la
Privacidad UE-EE. UU.
En los párrafos 184 y 185 de esta sentencia se establece: “Por tanto, resulta evidente
que ni el artículo 702 de la FISA ni la E.O. 12333, interpretados en relación con la
PPD-28, satisfacen las exigencias mínimas establecidas por el Derecho de la Unión
con respecto al principio de proporcionalidad, de modo que no puede considerarse
que los programas de vigilancia basados en esas disposiciones se limiten a lo
estrictamente necesario.
En estas circunstancias, las limitaciones de la protección de datos personales que se
derivan de la normativa interna de los Estados Unidos relativa al acceso y la
utilización, por las autoridades estadounidenses, de los datos transferidos desde la
Unión a los Estados Unidos, que la Comisión evaluó en la Decisión EP, no están
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/29
reguladas conforme a exigencias sustancialmente equivalentes a las requeridas, en el
Derecho de la Unión, en el artículo 52, apartado 1, segunda frase, de la Carta.”
Google LLC (como importador de los datos a los EE. UU.) debe calificarse como
proveedor de servicios de comunicaciones electrónicas en el sentido del apartado (b)
del punto 4 del artículo 1881 del título 50 del Código de los Estados Unidos y, por lo
tanto, está sujeto a vigilancia por parte de los servicios de inteligencia de EE. UU. de
acuerdo con el apartado (a) del artículo 1881 del título 50 del Código de los Estados
Unidos («FISA 702»). Por lo tanto, Google LLC tiene la obligación de proporcionar
datos personales al gobierno de los Estados Unidos cuando se le solicite de
conformidad con el apartado (a) del artículo 1881 del título 50 del Código de los
Estados Unidos (FISA 702). Como se puede ver en el Informe de transparencia de
Google, Google LLC está sujeto regularmente a solicitudes de acceso por parte de los
servicios de inteligencia de Estados Unidos. El informe puede consultarse en:
https://transparencyreport.google.com/user-data/us-national-security?hl=en
En consecuencia, las transferencias internacionales de datos realizadas por
EDREAMS mediante la herramienta Google Analytics en el momento de la
reclamación no cumplían con lo dispuesto en el artículo 44 del RGPD, sin que la
aplicación de la nueva decisión de adecuación “Marco de privacidad de datos UE-
EE.UU”, pueda solventar .
Por todo lo expuesto, se desestima la presente alegación.
“TERCERO.- Incongruencia de la Resolución Sancionadora. Sanción con efectos
antijurídicos y de contenido imposible.”
EDREAMS aduce que es incongruente que en la resolución recurrida no se analice el
nuevo marco jurídico de EE. UU. y la Decisión de Adecuación de la Comisión Europea
porque no es automática ni aplican al presente procedimiento, pero al mismo tiempo,
precisamente en la sanción que se impone, se hace referencia al momento actual y a
la adaptación a la normativa aplicable que incluye necesariamente el nuevo marco
jurídico de EE. UU. y la Decisión de Adecuación. Según EDREAMS, la sanción le
genera un perjuicio desproporcionado e injusto, y es antijurídica porque se estarían
prohibiendo tratamientos futuros que son lícitos. Por último, EDREAMS estima que la
sanción impuesta tiene un contenido imposible ya que se estaría obligando a
EDREAMS a imponer y modular un servicio que no es suyo sino de un tercero
(Google), y por tanto que no recae bajo su esfera de control.
En respuesta a la alegación acerca del nuevo marco jurídico de EE. UU. y la nueva
Decisión de Adecuación “Marco de Privacidad de Datos UE-EE. UU.”, tal y como esta
Agencia sostuvo en la resolución recurrida y vuelve a justificarse en la alegación
anterior, a efectos de determinar responsabilidad en la comisión de la infracción, no es
aplicable el marco jurídico actual, sino el régimen jurídico vigente en la fecha de los
hechos constitutivos de la infracción, en particular por lo establecido por el TJUE en la
sentencia en el asunto C-311,/18 (Schrems II), que declaró inválida la Decisión de
Ejecución (UE) 2016/1250 de la Comisión, de 12 de julio de 2016, sobre la adecuación
de la protección conferida por el Escudo de la Privacidad UE-EE. UU.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/29
Dado que Google LLC, tiene la obligación de proporcionar datos personales al
Gobierno de los Estados Unidos cuando se le solicite de conformidad con el apartado
(a) del artículo 1881 del título 50 del Código de los Estados Unidos (FISA 702), como
puede verse en su Informe de Transparencia
(https://transparencyreport.google.com/user-data/us-national-security?hl=en), le es de
plena aplicación la doctrina establecida por el TJUE en la citada sentencia.
Por otra parte, a efectos de garantizar que las transferencias internacionales de datos
a EE. UU. cumplen con el RGPD, la aprobación de la Decisión de Ejecución de la
Comisión de fecha 10 de julio de 2023, de conformidad con el Reglamento (UE)
2016/679 del Parlamento Europeo y del Consejo sobre el nivel adecuado de
protección de los datos personales en el “Marco de Privacidad de Datos UE-EE.UU.”,
establece en su Anexo I, “Principios del Marco de privacidad de datos UE-EE.UU.
emitido por el Departamento de Comercio de los Estados Unidos” lo siguiente
(traducción no oficial):
“2. Con el fin de confiar en el Marco de Privacidad de Datos UE-EE.UU. para
efectuar transferencias de datos personales desde la UE, una organización, debe
autocertificar su adhesión a los Principios al Departamento (o a su persona
designada). Si bien las decisiones de las organizaciones para entrar así en el Marco
de Privacidad UE-EE.UU. son totalmente voluntarias, el cumplimiento efectivo es
obligatorio: las organizaciones que se autocertifiquen ante el Departamento y declaren
públicamente su compromiso de adherirse a los Principios deben cumplir plenamente
con los Principios…
3. … Los beneficios del Marco de Privacidad UE-EE.UU. están asegurados a partir de
la fecha en que el Departamento coloca a la organización en la Lista Marco de
Privacidad de Datos.”
Sin embargo, en el momento de dictarse la resolución, Google no había autocertificado
su adhesión a los Principios del Marco de Privacidad de Datos UE-EE. UU. por lo que
no podía considerarse que las transferencias internacionales de datos se hacían con
garantías suficientes y al amparo de la nueva Decisión de Adecuación.
La resolución recurrida no puede considerarse “antijurídica”, cuando lo que ordena es
precisamente el cumplimiento de la normativa vigente, esto es, adaptar la actividad de
tratamiento de datos al servicio de Google Analytics a lo dispuesto en los artículos 44 y
siguientes del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de
27 de abril de 2016, en particular mediante el cese de la transferencia internacional de
datos hasta que se acredite que el servicio de Google Analytics cumple con las citadas
disposiciones del Reglamento. El cumplimiento de este mandato no se acreditó antes
de dictarse resolución en el procedimiento sancionador, sin que la adaptación
realizada con posterioridad determine la invalidez de aquella, al contrario, supone que
se ha cumplido con la medida impuesta.
Por otro lado, el mandato incluido en la resolución recurrida no tiene un contenido
imposible. Recordemos que, con independencia de que las actuales Cláusulas
Contratuales Tipo (Google Ads y Medición: Cláusulas Contractuales Tipo (Módulo 3:
Procesador a Procesador) contemplan como exportador de datos a Google Irlanda.
EDREAMS, como responsable del tratamiento, asume, junto con las demás
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/29
condiciones de la contratación de los servicios de Google LLC, los acuerdos relativos
al tratamiento de datos y las Cláusulas Contractuales Tipo que permiten que los datos
sean transferidos a Google LLC, con sede en los Estados Unidos.
Concretamente, EDREAMS asume el punto 10 de los “Términos del Tratamiento de
Datos de Google Ads”, por lo que el responsable del tratamiento ha acordado que
Google pueda almacenar y tratar datos personales del cliente (es decir, datos
personales de la parte reclamante y de cualquier usuario que visite la web en cuestión)
en cualquier país en el que Google o cualquiera de sus “subencargados” de
tratamiento de datos mantengan instalaciones, incluido los EE. UU., según declara la
propia Google LLC en el documento de fecha de 9 de abril de 2021.
En consecuencia, al haber contratado los servicios de GOOGLE, asumiendo sus
condiciones de contratación, EDREAMS, como responsable del tratamiento, es quien
tiene debe tomar las medidas necesarias para que los datos de quienes visitan su web
sean tratados conforme establece el RGPD.
Por todo lo expuesto, se desestima la presente alegación.
“CUARTO.- Falta de objeto del procedimiento sancionador.”
En esta alegación hace un resumen de lo ya argumentado en las alegaciones
precedentes a esta: Aplicación de la nueva Decisión de Adecuación Marco de
Privacidad de Datos UE-EE. UU., no existen transferencias internacionales de datos al
no poder demostrarse técnicamente y debido a la configuración de privacidad de
Google Analytics seleccionada por EDREAMS (anonimización de IP y la desactivación
de Google Signals). Se incluye un argumento novedoso: El Comité Europeo de
Protección de Datos ha confirmado “que todas las garantías que ha implementado el
gobierno estadounidense son de aplicación a todas las transferencias de datos a los
EE.UU. con independencia del mecanismo de transferencia empleado” y, en su
defecto, “aunque no fuera de aplicación el Marco de Privacidad UE-EE. UU., la
Comisión Europea y el CEPD han confirmado claramente que la Decisión de
Adecuación sí es plenamente aplicable a todas las transferencias a EE. UU.”
En contestación a este argumento, cabe resaltar que la adopción por la Comisión de la
Decisión de Adecuación Marco de Privacidad de Datos UE-EE. UU no viene sino a
confirmar que las transferencias internacionales de datos efectuadas por EDREAMS
con anterioridad a la aprobación de aquella, suponían una violación de los derechos y
libertades de los ciudadanos europeos en materia de protección de datos, mediante el
acceso indiscriminado a sus datos personales por los servicios de inteligencia de los
EE. UU., desde el momento en el que la mencionada Decisión de Adecuación se
justifica en base a las nuevas garantías en materia de protección de datos
establecidas por los EE.UU. Entre estas garantías se encuentran la limitación del
acceso por parte de los servicios de inteligencia estadounidenses a los datos
personales de los ciudadanos de la UE a lo necesario y proporcionado, y el
establecimiento de un Tribunal de Recurso en Materia de Protección de Datos, al que
los ciudadanos de la UE tendrán acceso.
Pues bien, ninguna de estas garantías existían en la fecha de los hechos a que se
refiere la resolución recurrida, cuando EDREAMS, a través de su web, y debido a que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/29
opera en otros Estados Miembros de la Unión, transfería datos personales de
ciudadanos de la Unión Europea a los EE. UU. infringiendo el marco normativo vigente
según la sentencia del TJUE en el asunto C-311/18 (Schrems II), que declaró inválida
la Decisión de Ejecución (UE) 2016/1250 de la Comisión, de 12 de julio de 2016, sobre
la adecuación de la protección conferida por el Escudo de la Privacidad UE EE. UU.
En esta sentencia, el Tribunal consideró que los requisitos del Derecho nacional
estadounidense, y en particular, algunos programas que permitían a las autoridades
públicas de los Estados Unidos acceder a los datos personales transferidos desde la
UE a los EE.UU. con fines de seguridad nacional, imponían limitaciones a la
protección de los datos personales que no estaban circunscritas de un modo que
ofreciesen garantías sustancialmente equivalentes a las exigidas en el Derecho de la
Unión, y que esta legislación no proporcionaba ninguna vía de recurso judicial contra
las autoridades de los Estados Unidos a los titulares de los datos.
Sin embargo, EDREAMS sostiene en su recurso de reposición la inexistencia de la
infracción, y que sus transferencias internacionales de datos a EE. UU. han cumplido
en todo momento con el ordenamiento jurídico, incluso con anterioridad a la nueva
Decisión de Adecuación, mediante la cual la Comisión viene a concluir la existencia de
garantías en EE. UU que aseguran un nivel de protección equivalente al de la UE para
los ciudadanos europeos, y considera que se ha dado respuesta a las cuestiones
dilucidadas por el TJUE en la sentencia Schrems II. Este razonamiento, según el cual
EDREAMS defiende la validez de su actuación con independencia del marco jurídico
aplicable, resulta del todo incongruente. Además, cabe recordar que, entre otros
argumentos, EDREAMS ha defendido ideas tales como que los datos enviados no
eran datos personales, incluso ha puesto en duda que los datos se envíen a los EE.
UU., cuando así ha sido reconocido por la propia Google. En consecuencia, se
mantiene la validez de la resolución recurrida y la necesidad del mandato establecido
en la misma de “adaptar la actividad de tratamiento de datos al servicio de Google
Analytics a lo dispuesto en los artículos 44 y siguientes del Reglamento (UE) 2016/679
del Parlamento Europeo y del Consejo, de 27 de abril de 2016, en particular mediante
el cese de la transferencia internacional de datos hasta que se acredite que el servicio
de Google Analytics cumple con las citadas disposiciones del Reglamento”. Que en la
actualidad existan nuevas circunstancias que permitan que tratamientos anteriormente
contrarios al RGPD, ahora puedan ser conformes al mismo, no impide atribuir a
EDREAMS la responsabilidad en la comisión de la infracción, ni invalida la orden
impuesta, sin perjuicio de que, reconocidos los hechos y fundamentos de derecho de
la resolución sancionadora, y de acuerdo con las medidas adoptadas, permita
considerar que EDREAMS ha cumplido con la medida impuesta en la resolución
recurrida.
A mayor abundamiento, EDREAMS no ha justificado que haya firmado con Google,
como encargado de tratamiento, las cláusulas contractuales tipo adaptadas a la
Decisión (UE) 2021/914 de 4 de junio de 2021 relativa a las cláusulas contractuales
tipo para la transferencia de datos personales a terceros países, las cuales, junto con
las garantías contempladas en el Marco de Privacidad de Datos UE-EE. UU.,
permitiría considerar que la transferencia internacional de datos a EE. UU. es acorde a
la normativa de protección de datos.
Por todo lo expuesto, se desestima la presente alegación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/29
“QUINTO.- Falta de elemento subjetivo y culpabilidad.”
Como ya sostuvo EDREAMS en los Escritos de Alegaciones, el requisito de
culpabilidad del sujeto que realiza la conducta ilícita es necesario para la imposición de
una sanción administrativa.
En respuesta a esta alegación, como ya dijo en la contestación a la alegación Cuarta
del recurso de reposición, EDREAMS asume el punto 10 de los “Términos del
Tratamiento de Datos de Google Ads”, por lo que el responsable del tratamiento ha
acordado que Google pueda almacenar y tratar datos personales del cliente (es decir,
datos personales de la parte reclamante y de cualquier usuario que visite la web en
cuestión) en cualquier país en el que Google o cualquiera de sus “subencargados” de
tratamiento de datos mantengan instalaciones, incluido los EE. UU., más allá de que
las Cláusulas Contractuales Tipo hayan sido modificadas respecto a las vigentes en el
momento de los hechos objeto de reclamación, atribuyendo la condición de exportador
a Google Irlanda. Así, la actuación de Google LLC. se ciñe a lo estipulado y, por
cuenta de EDREAMS, llevando a cabo el tratamiento de los datos personales
necesarios para la correcta prestación del servicio, lo que determina la responsabilidad
administrativa del responsable del tratamiento.
Por todo lo expuesto, se desestima la presente alegación.
III
Conclusión
En consecuencia, en el presente recurso de reposición, la parte recurrente no ha
aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez
de la resolución impugnada.
Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia
Española de Protección de Datos RESUELVE:
PRIMERO: DESESTIMAR el recurso de reposición interpuesto por VACACIONES
EDREAMS, S.L. contra la resolución de esta Agencia Española de Protección de
Datos dictada con fecha 26 de julio de 2023, en el expediente EXP202306257.
SEGUNDO: NOTIFICAR la presente resolución a VACACIONES EDREAMS, S.L.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/29
de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas
(LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante
la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo
dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la
Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa,
en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto,
según lo previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada
LPACAP. También deberá trasladar a la Agencia la documentación que acredite la
interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese
conocimiento de la interposición del recurso contencioso-administrativo en el plazo de
dos meses desde el día siguiente a la notificación de la presente resolución, daría por
finalizada la suspensión cautelar.
180-111122
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es