1/14
Expediente Nº: PS/00132/2022
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 7 de abril de 2022, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a A.A.A. (en adelante,
la parte reclamada), mediante el Acuerdo que se transcribe:
<<
Procedimiento Nº: PS/00132/2022
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos ante
Dª A.A.A.., con NIF.: ***NIF.1, titular de la página web, ***URL.1 (en adelante “la parte
reclamada”), en virtud de la reclamación presentada por D. B.B.B., por la presunta
vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del
Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las
Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre
Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y
contra la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y
Comercio Electrónico (LSSI), y atendiendo a los siguientes:
HECHOS
PRIMERO: Con fecha 20/04/21, tuvo entrada en esta Agencia, escrito presentado por
el reclamante, en la que indicaba, entre otras, lo siguiente:
“La web ***URL.1, en la que se realizan promociones de tipo comercial (libros etc.) e
incluso consejos de salud, carece de todos los requisitos legales vigentes en estos
momentos. La web carece de Información legal (Obligatoria según LSSI) La web
carece de la información sobre uso de datos personales. La web tiene un formulario
de contacto en https://(...)/contacto-2/ sin el preceptivo aviso legal sobre el tratamiento
de los datos y sin la posibilidad de que el ciudadano sea conocedor del tratamiento
que se le pueda dar a sus datos, sus derechos y la aceptación de ese tratamiento.
Hay que resaltar que según un plugin que la web utiliza, las cookies estarían
desactivadas si el usuario de esta no las acepta, pero es tanto las cookies de Google
como la de otros terceros, tienen acceso a los usuarios de esta web, engañando al
usuario que llegue a rechazar todas las cookies salvo las funcionales”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/14
SEGUNDO: Con fecha 03/06/21, por parte de la Directora de la Agencia Española de
Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación
presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles
indicios racionales de una vulneración de las normas en el ámbito de las competencias
de la Agencia Española de Protección de Datos.
TERCERO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de los poderes de investigación otorgados a las autoridades de
control en el artículo 58.1 del RGPD y de conformidad con lo establecido en el Título
VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los
siguientes extremos sobre la página web, ***URL.1:
a). - Sobre la obtención de los datos personales de los usuarios:
1º.- A través del enlace: <<contacto>>, situado en la parte izquierda de la página
principal, la web redirige a una nueva página https://(...)/contacto-2/ donde se pueden
introducir datos personales de los usuarios como, el nombre, la dirección de correo
electrónico y el asunto.
Para enviar el formulario, el usuario solo debe cliquear la opción <<enviar>>
b). - Sobre la “Política de Privacidad”:
1º.- Si se accede a la “Política de Privacidad” de la web, a través del enlace existe en
la parte inferior de la página principal, <<privacidad>>, la web despliega un banner con
la siguiente información:
“Su privacidad es importante para nosotros y nuestros socios almacenamos o
accedemos a información en un dispositivo, tales como cookies, y procesamos datos
personales, tales como identificadores únicos e información estándar enviada por un
dispositivo, para anuncios y contenido personalizados, medición de anuncios y del
contenido e información sobre el público, así como para desarrollar y mejorar
productos.
Con su permiso, nosotros y nuestros socios podemos utilizar datos de localización
geográfica precisa e identificación mediante las características de dispositivos.
Puede hacer clic para otorgarnos su consentimiento a nosotros y a nuestros socios
para que llevemos a cabo el procesamiento previamente descrito. De forma
alternativa, puede acceder a información más detallada y cambiar sus preferencias
antes de otorgar o negar su consentimiento.
Tenga en cuenta que algún procesamiento de sus datos personales puede no requerir
de su consentimiento, pero usted tiene el derecho de rechazar tal procesamiento. Sus
preferencias se aplicarán solo a este sitio web. Puede cambiar sus preferencias en
cualquier momento entrando de nuevo en este sitio web o visitando nuestra política de
privacidad”
c). - Sobre la Política de Cookies:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/14
1.- Al entrar en la web ***URL.1 por primera vez, una vez limpiado el equipo terminal
de historial de navegación y de cookies, sin aceptar cookies ni realizar ninguna acción
sobre la página web se ha comprobado, a través de la herramienta
“inspeccionaraplicación del navegador de Google Chrome, que se utilizan las
siguientes cookies del proveedor Google, instaladas asociadas al dominio del
responsable de la web, que no son técnicas o necesarias:
Cookie Proveedor
_gat_gtag_UA_49758120_1 1 (…) /
_gid (…) /
_ga (…) /
2.- Existe un banner de información sobre cookies en la página principal con el
siguiente mensaje:
“Su privacidad es importante para nosotros y nuestros socios almacenamos o
accedemos a información en un dispositivo, tales como cookies, y procesamos datos
personales, tales como identificadores únicos e información estándar enviada por un
dispositivo, para anuncios y contenido personalizados, medición de anuncios y del
contenido e información sobre el público, así como para desarrollar y mejorar
productos.
Con su permiso, nosotros y nuestros socios podemos utilizar datos de localización
geográfica precisa e identificación mediante las características de dispositivos.
Puede hacer clic para otorgarnos su consentimiento a nosotros y a nuestros socios
para que llevemos a cabo el procesamiento previamente descrito. De forma
alternativa, puede acceder a información más detallada y cambiar sus preferencias
antes de otorgar o negar su consentimiento.
Tenga en cuenta que algún procesamiento de sus datos personales puede no requerir
de su consentimiento, pero usted tiene el derecho de rechazar tal procesamiento. Sus
preferencias se aplicarán solo a este sitio web. Puede cambiar sus preferencias en
cualquier momento entrando de nuevo en este sitio web o visitando nuestra política de
privacidad”.
<<Más Opciones>> <<Acepto>>.
3.- Si se accede al panel de control de cookies a través del enlace <<Más Opciones>>,
la web despliega una página o panel de control con las siguientes características:
- Datos de localización geográfica precisa e identificación mediante las
características de dispositivos: DESACTIVADO
- Anuncios y contenido personalizados, medición de anuncios y del contenido,
información sobre el público y desarrollo de productos: DESACTIVADO
- Almacenar o acceder a información en un dispositivo: DESACTIVADO
<<Bloquear todo>> <<Aceptar Todo>>
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/14
Si se opta por “Rechazar todas las cookies”, sin deslizar ninguna de las opciones
premarcadas y cliqueando en la opción <<bloquear todo>> se comprueba como la web
sigue utilizando las cookies de Google indicadas anteriormente.
4.- No existe “Política de Cookies”, o enlace en la página principal que redirija al
usuario a una nueva página donde se identifiquen las cookies que se utilizan y se
informe sobre sus características.
FUNDAMENTOS DE DERECHO
I.- Competencia:
- Sobre el tratamiento de los datos personales y la “Política de Privacidad”:
Es competente para iniciar y resolver este procedimiento, la Directora de la Agencia
Española de Protección de Datos, en virtud de los poderes que el art 58.2 del RGPD
reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y
68.1 de la Ley LOPDGDD.
- Sobre la “Política de Cookies”:
Es competente para iniciar y resolver este procedimiento, la Directora de la Agencia
Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1,
párrafo segundo, de la de la Ley LSSI.
II.- Sobre el tratamiento de los datos personales de la web ***URL.1:
Al acceder a la página web se constata que la misma se pueden introducir datos
personales de los usuarios que desean ponerse en contacto con la titular de la página,
a través del enlace <<contacto>>, pero no existe ningún tipo de posibilidad de
proporcionar el consentimiento necesario para el tratamiento de los datos personales
ofrecidos y ni la posibilidad de leer y aceptar su política de privacidad.
Respecto a esto, el artículo 6.1 del RGPD, establece, sobre la licitud del tratamiento de
datos personales, lo siguiente:
“El tratamiento de los datos personales será licito si, cumple una de las siguientes
condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos; b) el tratamiento es necesario para la
ejecución de un contrato en el que el interesado es parte o para la aplicación a
petición de este de medidas precontractuales; (…).
El hecho de que la responsable de la página web pueda obtener datos personales de
los usuarios sin haber obtenido previamente su consentimiento para el tratamiento de
estos, mediante un acto afirmativo claro y voluntario, puede ser constitutivo de una
infracción del artículo 6.1 del RGPD.
Por su parte, el artículo 72.1.b) de la LOPDGDD, considera muy grave, a efectos de
prescripción, “El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/14
Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD.
El balance de las circunstancias contempladas, con respecto a las infracciones
cometidas, al vulnerar lo establecido en su artículo 6.1 del RGPD, permite una sanción
inicial de 1.000 euros (mil euros).
Junto a ello y de conformidad con el artículo 58.2 del RGPD, la medida correctiva que
podría imponerse al titular de la página web consistiría en ordenarle que, tome las me-
didas necesarias para adecuarla a la normativa vigente, con la inclusión en la misma
de un mensaje de advertencia para que lea la “Política de Privacidad” previamente al
envío de sus datos personales y de un mecanismo que posibilite a los usuarios propor-
cionar el consentimiento para el tratamiento de sus datos personales, de una forma
afirmativa y voluntaria, previo a su envío.
III.- Sobre la “Política de Privacidad” en la web ***URL.1:
Se ha podido comprobar que, si se accede a la “Política de Privacidad” de la web, a
través del enlace existe en la página principal de la web <<privacidad>>, la web
despliega un banner con información referente al almacenamos y procesos de datos
personales para anuncios y contenido personalizados, medición de anuncios y del
contenido e información sobre el público, así como para desarrollar y mejorar
productos sin que se proporcione información sobre la identidad y los datos de
contacto del responsable y, en su caso, de su representante; los fines del tratamiento
a que se destinan los datos personales y la base jurídica del tratamiento; los intereses
legítimos del responsable o los derechos que asisten al usuario de la página en
relación al tratamiento de sus datos personales.
En este sentido, establece el considerando 61) del RGPD que: “Se debe facilitar a los
interesados la información sobre el tratamiento de sus datos personales en el
momento en que se obtengan de ellos o, si se obtienen de otra fuente, en un plazo
razonable, dependiendo de las circunstancias del caso. Si los datos personales
pueden ser comunicados legítimamente a otro destinatario, se debe informar al
interesado en el momento en que se comunican al destinatario por primera vez. El
responsable del tratamiento que proyecte tratar los datos para un fin que no sea aquel
para el que se recogieron debe proporcionar al interesado, antes de dicho tratamiento
ulterior, información sobre ese otro fin y otra información necesaria. Cuando el origen
de los datos personales no pueda facilitarse al interesado por haberse utilizado varias
fuentes, debe facilitarse información general.
Por su parte, el artículo 13 del RGPD, detalla por su parte, la información que se debe
facilitar al interesado cuando los datos son recogidos directamente de él,
estableciéndose lo siguiente:
“1.Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que estos se obtengan, le facilitará: a)
la identidad y los datos de contacto del responsable y, en su caso, de su
representante; b) los datos de contacto del delegado de protección de datos, en su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/14
caso; c) los fines del tratamiento a que se destinan los datos personales y la base
jurídica del tratamiento; d) cuando el tratamiento se base en el artículo 6, apartado 1,
letra f), los intereses legítimos del responsable o de un tercero; e) los destinatarios o
las categorías de destinatarios de los datos personales, en su caso; f) en su caso, la
intención del responsable de transferir datos personales a un tercer país u
organización internacional y la existencia o ausencia de una decisión de adecuación
de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o
el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o
apropiadas y a los medios para obtener una copia de estas o al hecho de que se
hayan prestado.
2.Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado, en el momento en que se obtengan los datos
personales, la siguiente información necesaria para garantizar un tratamiento de datos
leal y transparente: a) el plazo durante el cual se conservarán los datos personales o,
cuando no sea posible, los criterios utilizados para determinar este plazo; b) la
existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos
personales relativos al interesado, y su rectificación o supresión, o la limitación de su
tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los
datos; c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el
artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el
consentimiento previo a su retirada; d) el derecho a presentar una reclamación ante
una autoridad de control; e) si la comunicación de datos personales es un requisito
legal o contractual, o un requisito necesario para suscribir un contrato, y si el
interesado está obligado a facilitar los datos personales y está informado de las
posibles consecuencias de que no facilitar tales datos; f) la existencia de decisiones
automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22,
apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica
aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento
para el interesado”.
Por tanto, el hecho de que en la “Política de Privacidad” en la web no se informe de
todos los aspectos señalados anteriormente, puede ser constitutivo de una infracción
al artículo 13 del RGPD.
En este sentido, el artículo 72.1.h) de la LOPDGDD, considera muy grave, a efectos
de prescripción, “la omisión del deber de informar al afectado acerca del tratamiento
de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD”
Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD.
El balance de las circunstancias contempladas, con respecto a la infracción cometida,
al vulnerar lo establecido en su artículo 13 del RGPD, permite fijar una sanción inicial
de 1.000 euros (mil euros).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/14
Junto a ello y de conformidad con el artículo 58.2 del RGPD, la medida correctiva que
podría imponerse al titular de la página web consistiría en ordenarle que, tome las me-
didas necesarias para adecuarla a la normativa vigente, con la inclusión de la informa-
ción necesaria que debe proporcionar a los usuarios de la página web, de acuerdo con
lo estipulado en el artículo 13 del RGPD.
IV.- Sobre la Política de Cookies de la página web ***URL.1:
a). - Sobre la instalación de cookies en el equipo terminal previo al
consentimiento:
El artículo 22.2 de la LSSI establece que se debe facilitar a los usuarios información
clara y completa sobre la utilización de los dispositivos de almacenamiento y
recuperación de datos y, en particular, sobre los fines del tratamiento de los datos.
Esta información debe facilitarse con arreglo a lo dispuesto el RGPD.
Por tanto, cuando la utilización de una cookie conlleve un tratamiento que posibilite la
identificación del usuario, los responsables del tratamiento deberán asegurarse del
cumplimiento de las exigencias establecidas por la normativa sobre protección de
datos.
No obstante, es necesario señalar que quedan exceptuadas del cumplimiento de las
obligaciones establecidas en el artículo 22.2 de la LSSI aquellas cookies necesarias
para la intercomunicación de los terminales y la red y aquellas que prestan un servicio
expresamente solicitado por el usuario.
En este sentido, el GT29, en su Dictamen 4/2012, interpretó que entre las cookies
exceptuadas estarían las Cookies de entrada del usuario” (aquellas utilizadas para
rellenar formularios, o como gestión de una cesta de la compra); cookies de
autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario
(aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio
web); cookies de sesión de reproductor multimedia; cookies de sesión para equilibrar
la carga; cookies de personalización de la interfaz de usuario y algunas de
complemento (plug-in) para intercambiar contenidos sociales.
Estas cookies quedarían excluidas del ámbito de aplicación del artículo 22.2 de la
LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su
uso. Por el contrario, será necesario informar y obtener el consentimiento previo del
usuario antes de la utilización de cualquier otro tipo de cookies, tanto de primera como
de tercera parte, de sesión o persistentes.
En la comprobación realizada por esta Agencia en la página web reclamada se pudo
constatar que, al entrar en la página principal y sin realizar ninguna acción sobre la
mimas ni aceptar las cookies, se utilizaban las siguientes cookies no necesarias:
Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción
sobre la página, se ha comprobado que se utilizan cookies de terceros (de Google)
que no son técnicas o necesarias.
b). - Sobre el consentimiento a la instalación de cookies en el equipo terminal:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/14
Para la utilización de las cookies no exceptuadas, será necesario obtener el
consentimiento del usuario de forma expresa. Este consentimiento se puede obtener
haciendo clic en, “aceptar” o infiriéndolo de una inequívoca acción realizada por el
usuario que denote que el consentimiento se ha producido inequívocamente. Por
tanto, la mera inactividad del usuario, hacer scroll o navegar por el sitio web, no se
considerará a estos efectos, una clara acción afirmativa en ninguna circunstancia y no
implicará la prestación del consentimiento por sí misma. Del mismo modo, el acceso a
la segunda capa si la información se presenta por capas, así como la navegación
necesaria para que el usuario gestione sus preferencias en relación con las cookies en
el panel de control, tampoco es considerada una conducta activa de la que pueda
derivarse la aceptación de cookies.
No está permitido tampoco la existencia de “Muros de Cookies”, esto es, ventanas
emergentes que bloquean el contenido y el acceso a la web, obligando al usuario a
aceptar el uso de las cookies para poder acceder a la página y seguir navegando sin
ofrecer al usuario ningún tipo de alternativa que le permita gestionar libremente sus
preferencias sobre la utilización de las cookies.
Si la opción es dirigirse a una segunda capa o panel de control de cookies, el enlace
debe llevar al usuario directamente a dicho panel de configuración. Para facilitar la
selección, en el panel podrá implementarse, además de un sistema de gestión
granular de cookies, dos botones más, uno para aceptar todas las cookies y otro para
rechazarlas todas. Si el usuario guarda su elección sin haber seleccionado ninguna
cookie, se entenderá que ha rechazo todas las cookies. En relación con esta segunda
posibilidad, en ningún caso son admisibles las casillas premarcadas a favor de aceptar
cookies.
Si para la configuración de las cookies, la web remite a la configuración del navegador
instalado en el equipo terminal, esta opción podría ser considerada complementaria
para obtener el consentimiento, pero no como único mecanismo. Por ello, si el editor
se decanta por esta opción, debe ofrecer además y en todo caso, un mecanismo que
permita rechazar el uso de las cookies y/o hacerlo de forma granular.
Por otra parte, la retirada del consentimiento prestado previamente por el usuario
deberá poder ser realizado en cualquier momento. A tal fin, el editor deberá ofrecer un
mecanismo que posibilite retirar el consentimiento de forma fácil en cualquier
momento. Se considerará que esa facilidad existe, por ejemplo, cuando el usuario
tenga acceso sencillo y permanente al sistema de gestión o configuración de las
cookies.
Si el sistema de gestión o configuración de las cookies del editor no permite evitar la
utilización de las cookies de terceros una vez aceptadas por el usuario, se facilitará
información sobre las herramientas proporcionadas por el navegador y los terceros,
debiendo advertir que, si el usuario acepta cookies de terceros y posteriormente desea
eliminarlas, deberá hacerlo desde su propio navegador o el sistema habilitado por los
terceros para ello.
En el caso que nos ocupa, el banner de la primera capa posibilita aceptar todas las
cookies o gestionarlas en el panel de control. No obstante, si se accede al panel de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/14
control y se opta por “rechazar todas las cookies”, en la opción existente se
comprueba como la web sigue utilizando cookies de terceros que no son técnicas o
necesarias.
c). - Sobre la información suministrada en la segunda capa (política de
cookies):
En la segunda capa o “política de cookies” se debe proporcionar información más de-
tallada sobre las características de las cookies, incluyendo información sobre, la defini-
ción y función genérica de las cookies (qué son las cookies); sobre el tipo de cookies
que se utilizan y su finalidad (qué tipos de cookies se utilizan en la página web); la
identificación de quién utiliza las cookies, esto es, si la información obtenida por las
cookies es tratada solo por el editor y/o también por terceros con identificación de es-
tos últimos; el periodo de conservación de las cookies en el equipo terminal; y si es el
caso, información sobre las transferencias de datos a terceros países y la elaboración
de perfiles que implique la toma de decisiones automatizadas.
En el caso que nos ocupa, de la información sobre cookies que se proporciona en el
panel de control no identifica las cookies utilizadas en la web, ni su misión, ni el tiempo
que estarán activas, solamente se informa de forma genérica de la misión que tienen
las cookies.
d). - Calificación y sanciones que pudieran corresponder respecto a las
infracciones cometidas en la política de Cookies:
De las deficiencias detectadas, respecto de la política de cookies, en la página web en
cuestión: la utilización de cookies de terceros que no son técnicas o necesarias; la
imposibilidad de rechazar las cookies de terceros y la falta de información en la
“política de cookies”, podrían suponer por parte del reclamado, la comisión de la
infracción del artículo 22.2 de la LSSI, pues establece que:
“Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y
recuperación de datos en equipos terminales de los destinatarios, a condición de que
los mismos hayan dado su consentimiento después de que se les haya facilitado
información clara y completa sobre su utilización, en particular, sobre los fines del
tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13
de diciembre, de protección de datos de carácter personal.
Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para
aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros
adecuados del navegador o de otras aplicaciones.
Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo
fin de efectuar la transmisión de una comunicación por una red de comunicaciones
electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de
un servicio de la sociedad de la información expresamente solicitado por el
destinatario”.
Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que
considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/14
cuando no se hubiera facilitado la información u obtenido el consentimiento del
destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser
sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada
LSSI.
Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de
lo que resulte de la instrucción, se considera que procede graduar la sanción a
imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de
la LSSI: La existencia de intencionalidad, expresión que ha de interpretarse como
equivalente a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia
Nacional de 12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a la
entidad denunciada la determinación de un sistema de obtención del consentimiento
informado que se adecue al mandato de la LSSI.
Con arreglo a dichos criterios, se estima adecuado imponer una sanción inicial de
1.000 euros, (mil euros), por la infracción del artículo 22.2 de la LSSI, respecto de la
política de cookies realizada en la página web de su titularidad.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,
SE ACUERDA:
INICIAR: PROCEDIMIENTO SANCIONADOR a ante Dª A.A.A.., con NIF.: ***NIF.1,
titular de la página web ***URL.1 por:
a). - Infracción del artículo 6.1 del RGPD por la inexistencia de un mecanismo que
permita a los usuarios prestar su consentimiento al tratamiento sus datos personales.
b). - Infracción del artículo 13 del RGPD, por la falta de información necesaria en la
“Política de Privacidad”, según se establece en el citado artículo,
c). - Infracción del artículo 22.2 de la LSSI, por las deficiencias detectadas en su
página web respecto de la “Política de Cookies”.
NOMBRAR: como Instructor a D. C.C.C., y Secretaria, en su caso, a Dª D.D.D.,
indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo
establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico
del Sector Público (LRJSP).
INCORPORAR: al expediente sancionador, a efectos probatorios, la reclamación
interpuesta por el reclamante y su documentación, los documentos obtenidos y
generados por la Subdirección General de Inspección de Datos durante la fase de
investigaciones, todos ellos parte del presente expediente administrativo.
QUE: a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que
pudiera corresponder sería de
a).- 1.000 euros (mil euros), por la infracción del artículo 6.1 del RGPD, sin perjuicio de
lo que resulte de la instrucción del presente expediente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/14
b).- 1.000 euros (mil euros), por la infracción del artículo 13 del RGPD, sin perjuicio de
lo que resulte de la instrucción del presente expediente.
c).- 1.000 euros (mil euros), por la infracción del artículo 22.2 de la LSSI, sin perjuicio
de lo que resulte de la instrucción del presente expediente.
La sanción total que pudiera corresponder sería de: 3.000 euros (tres mil euros).
NOTIFICAR: el presente acuerdo de inicio de expediente sancionador a Dª A.A.A.,
otorgándole un plazo de audiencia de diez días hábiles para que formule las
alegaciones y presente las pruebas que considere convenientes.
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la
sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del
plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo
que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en
el presente procedimiento, equivalente en este caso a 600 euros. Con la aplicación de
esta reducción, la sanción quedaría establecida en 2.400 euros, resolviéndose el
procedimiento con la imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de esta, equivalente en este caso a
600 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en
2.400 euros y su pago implicará la terminación del procedimiento.
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 1.800 euros (mil ochocientos euros).
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas
anteriormente, deberá hacerlo efectivo mediante su ingreso en la cuenta Nº ES00
0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de
Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de
referencia del procedimiento que figura en el encabezamiento de este documento y la
causa de reducción del importe a la que se acoge.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/14
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
El procedimiento tendrá una duración máxima de nueve meses a contar desde la
fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio.
Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de
actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la
LPACAP, contra el presente acto no cabe recurso administrativo alguno.
Mar España Martí
Directora de la Agencia Española de Protección de Datos.
>>
SEGUNDO: En fecha 26 de abril de 2022, la parte reclamada ha procedido al pago de
la sanción en la cuantía de 1800 euros haciendo uso de las dos reducciones previstas
en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la
responsabilidad.
TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio.
FUNDAMENTOS DE DERECHO
I
De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de
servicios de la sociedad de la información y de comercio electrónico (en adelante
LSSI), los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento
General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de
control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de
5 de diciembre, de Protección de Datos Personales y garantía de los derechos
digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este
procedimiento la Directora de la Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/14
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”
Por último, la Disposición adicional cuarta "Procedimiento en relación con las
competencias atribuidas a la Agencia Española de Protección de Datos por otras
leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo
será de aplicación a los procedimientos que la Agencia Española de Protección de
Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por
otras leyes."
II
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento PS/00132/2022, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a A.A.A..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/14
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
936-240122
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es