1/6
Procedimiento Nº: PS/00299/2019
938-051119
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
En el procedimiento sancionador PS/00299/2019, instruido por la Agencia Española de
Protección de Datos, a la entidad TWITTER INTERNATIONAL COMPANY (TWITTER
SPAIN, S.L.), con CIF. B86672318, titular de la página web: www.twitter.com, (en ade-
lante “la entidad reclamada”), por presunta infracción a la Ley 34/2002, de 11 de julio,
de servicios de la sociedad de la información y de comercio electrónico (LSSI), y en
base a los siguientes,
ANTECEDENTES
PRIMERO: con fecha 04/05/18, D. A.A.A., (en adelante, “el reclamante”), presentó es-
crito ante la Agencia Española de Protección de Datos, en la que, entre otras, denun-
ciaba:
“La red Twitter facilita información inadecuada sobre las cookies que utiliza, lo
que afecta a usuarios y no usuarios de la red social. Twitter no identifica con
claridad todos los usos y socios de Twitter que podrían utilizar esta información
de las cookies. También existen cookies que se cargan directamente, sin ac-
ción alguna por parte de la persona que accede a la página inicial”.
SEGUNDO: Con fecha 04/10/18 y 13/06/19, por los Servicios de Inspección de la
Agencia Española de Protección de datos, se practican diligencias de investigación, te-
niendo conocimiento de lo siguiente:
a).- Al acceder al sitio web www.twitter.com, (página de bienvenida), y sin haber reali-
zado ningún tipo de acción, se comprueba que se almacenan automáticamente en el
navegador, las siguientes cookies:
cookie permanente Uso
_ga 2 años Está asociado con Google Universal Analytics, que es una actualización importante del
servicio de análisis más comúnmente utilizado por Google. Esta cookie se usa para dis-
tinguir usuarios únicos al asignar un número generado aleatoriamente como un identifi-
cador de cliente. Se incluye en cada solicitud de página en un sitio y se utiliza para cal-
cular los datos de visitantes, sesiones y campañas para los informes de análisis de si-
tios. . El propósito principal de esta cookie es: Rendimiento.
_gat 1 minuto Este nombre de cookie está asociado con Google Universal Analytics, de acuerdo con la
documentación que se utiliza para regular la tasa de solicitud, lo que limita la recopila-
ción de datos en sitios de alto tráfico. Caduca a los 10 minutos. El propósito principal de
esta cookie es: Rendimiento.
_gid 1 dia Este nombre de cookie está asociado con Google Universal Analytics. Esto parece ser
una nueva cookie y desde la primavera de 2017 no hay información disponible de
Google. Parece almacenar y actualizar un valor único para cada página visitada. El pro-
pósito principal de esta cookie es: Rendimiento.
_twitter_sess Caduca al fi- Esta cookie permite que los visitantes del sitio web utilicen las funciones relacionadas
nalizar la se- con Twitter desde la página que visitan. El propósito principal de esta cookie es: Funcio-
sión nalidad.
Ct0 6 horas Aún no hay información general sobre esta cookie basada únicamente en su nombre. El
propósito principal de esta cookie es: Desconocido.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/6
Guest_id 2 años Esta cookie está configurada por Twitter para identificar y rastrear al visitante del sitio
web. El objetivo principal de esta cookie es: segmentación / publicidad.
Personalization_id 2 años Esta cookie lleva a cabo información sobre cómo el usuario final utiliza el sitio web y
cualquier publicidad que el usuario final haya visto antes de visitar dicho sitio web. El
objetivo principal de esta cookie es: segmentación / publicidad.
b).- En esa primera página (primera capa), el banner sobre cookies es el siguiente:
“Al usar los servicios de Twitter, aceptas nuestra política de cookies. Twitter y
sus socios operan a nivel global y utilizan cookies para análisis, personaliza-
ción y anuncios entre otras cosas”.
No existe ningún tipo de link, dentro del banner anterior, que posibilite el rechazo de la
cookies o que redirija a una segunda capa para la gestión y configuración de las
cookies.
c).- Para poder gestionar la política de cookies, existe un link en la parte inferior de la
página de inicio, con el título de “cookies”, pero fuera del banner indicado en el punto
anterior. Si se hace clic en dicho link se accede a la política de cookies, donde se infor-
ma de:
- Qué son las cookies, los píxeles y el almacenamiento local.
- Por qué y dónde usan estas tecnologías.
- Cuáles son las opciones de privacidad. Se indica que existen varias opciones
para controlar o limitar el uso de las cookies:
- Para controlar si Twitter almacenará información sobre otros sitios web en los
que has visto contenido de Twitter, ajusta la configuración Registrar dónde ves
contenido de Twitter en la web en la configuración de Personalización y datos.
Si tienes esta configuración desactivada, o si te encuentras en la Unión Euro-
pea o en alguno de los estados miembro de la Asociación Europea de Libre
Comercio, Twitter no almacenará ni usará las visitas a dichas páginas web para
mejorar tu experiencia en el futuro. Si almacenamos anteriormente tu historial
de navegación web, tu experiencia puede seguir siendo personalizada sobre la
base de la información que ya se infirió de dicho historial.
- Si no quieres que Twitter te muestre anuncios basados en intereses dentro ni
fuera de Twitter, hay varias maneras de desactivar esta función: En tu configu-
ración de Twitter, ve a los ajustes de Personalización y datos y modifica la op-
ción Personalizar anuncios. Desde la web, puedes visitar la herramienta de
preferencias de los consumidores de Digital Advertising Alliance en optout.a-
boutads.info para desactivar los anuncios de Twitter basados en los intereses
en tu navegador actual.
- Si no quieres que Twitter te muestre anuncios basados en los intereses en la
aplicación de Twitter para iOS de tu dispositivo móvil actual, activa la opción
“Limitar seguimiento de anuncios” en la configuración de tu teléfono iOS.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/6
- Si no quieres que Twitter te muestre anuncios basados en los intereses en la
aplicación de Twitter para Android de tu dispositivo móvil actual, activa la op-
ción “Inhabilitar personalización de anuncios” en tu teléfono Android.
- Para controlar la personalización en todos los dispositivos en Twitter, ve a la
configuración de Personalización datos y modifica la configuración Personaliza
en todos tus dispositivos. Esta configuración determina si podemos vincular tu
cuenta con otros navegadores o dispositivos diferentes de los que usas para
iniciar sesión en Twitter (o bien, si no iniciaste sesión, si podemos vincular el
navegador que estás usando con otros navegadores o dispositivos).
- Si deseas controlar los anuncios segmentados en función de los intereses que
recibes de determinados socios de publicidad externos, puedes obtener más
información sobre cómo dejar de recibir este tipo de anuncios en optout.abou-
tads.info y en www.networkadvertising.org/choices. Si estás en la versión web,
también puedes deshabilitar Google Analytics si instalas el complemento de
inhabilitación para navegadores de Google, y puedes cancelar el servicio de
anuncios de Google basados en intereses mediante la configuración de anun-
cios de Google.
- Para controlar las cookies, puedes modificar tu configuración en la mayoría de
los navegadores web para aceptar o rechazar cookies, o para que se solicite tu
autorización cada vez que un sitio web intente establecer una cookie. Aunque
las cookies no son necesarias en algunas partes de nuestros servicios, es po-
sible que Twitter y Periscope no funcionen correctamente si las desactivas por
completo. Por ejemplo, no podrás iniciar sesión en twitter.com o en pscp.tv si
desactivaste el uso de cookies por completo.
TERCERO: Con fecha 13/09/19, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador contra la entidad reclamada, en virtud
de los poderes establecidos en el artículo 43.1 de la Ley 34/2002, de 11 de julio, de
Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), por infrac-
ción del artículo 22.2. de la citada norma, fijando una sanción inicial de 30.000 euros
(treinta mil euros), sin perjuicio de lo que resultara en transcurso de la instrucción del
procedimiento.
CUARTO Con fecha 24/09/19, se notificó la incoación de expediente a la entidad recla-
mada, que no ha presentado ante esta Agencia, ningún escrito o alegación, dentro del
el periodo concedido al efecto.
HECHOS PROBADOS
De la información y documentación obtenida de la página web www.twitter.com, se ha
podido comprobar lo siguiente:
1.- Al acceder a la página web y sin haber realizo ningún otro tipo de acción, se insta-
lan varias cookies en el navegador, entre ellas, algunas de tipo desconocido y otras de
publicidad.
2º.- El mensaje que aparece en la primera capa, solamente indica “Al usar los servi-
cios de Twitter, aceptas nuestra política de cookies. Twitter y sus socios operan a nivel
global y utilizan cookies para análisis, personalización y anuncios entre otras cosas”,
no existiendo ninguna mensaje o link que posibilite el rechazo o la configuración de las
mismas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/6
3º.- No obstante, existe, en la parte inferior de la página, varios links, entre los que se
encuentra uno con el título de “cookies”. A través de este link se accede a la página de
“política de cookies”, donde se informa sobre las cookies y se indica como gestionarlas
a través de la configuración en los diferentes navegadores, no ofreciendo la posibilidad
de rechazar las cookies o gestionarlas de forma granular.
FUNDAMENTOS DE DERECHO
I
De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la LSSI,
es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de
la Agencia Española de Protección de Datos.
II
En el presente caso, si se accede a la página web www.twitter.com, y sin haber reali-
zado ningún otro tipo de acción se ha comprobado que se instalan cookies no neces-
arias. Además, el mensaje que se edita para advertir sobre las cookies solamente indi-
ca que “si se sigue navegando se aceptan la utilización de cookies” pero no se da in-
formación de cómo rechazar las cookies o cómo gestionarlas de forma granular.
Si existe un enlace en la parte inferior de la página con el título de “cookies”, a través
del cual se accede a la política de cookies (segunda capa), pero tampoco en esta capa
se posibilita la acción de rechazar las cookies o de hacerlo de forma granular. La pági-
na se limita a informar como configurar los diferentes navegadores para la gestión de
las cookies.
III
Los hechos expuestos suponen, por parte de la entidad reclamada, la comisión de la
infracción del artículo 22.2 de la LSSI, según el cual: “Los prestadores de servicios
podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos
terminales de los destinatarios, a condición de que los mismos hayan dado su consen-
timiento después de que se les haya facilitado información clara y completa sobre su
utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo
dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de
carácter personal.
Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para
aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros
adecuados del navegador o de otras aplicaciones.
Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo
fin de efectuar la transmisión de una comunicación por una red de comunicaciones
electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de
un servicio de la sociedad de la información expresamente solicitado por el destinata-
rio.
Esta Infracción estas tipificada como leve en el artículo 38.4 g), de la citada Ley, que
considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos
cuando no se hubiera facilitado la información u obtenido el consentimiento del desti-
natario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancio-
nada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/6
III
Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de
lo que resulte de la instrucción, se considera que procede graduar la sanción a impo-
ner en la cuantía de 30.000 euros de acuerdo con los siguientes criterios que estable-
ce el art. 40 de la LSSI:
- La existencia de intencionalidad, expresión que ha de interpretarse como
equivalente a grado de culpabilidad de acuerdo con la Sentencia de la Audien-
cia Nacional de 12/11/2007 recaída en el Recurso núm. 351/2006, correspon-
diendo a la entidad denunciada la determinación de un sistema de obtención
del consentimiento informado que se adecue al mandato de la LSSI.
- Plazo de tiempo durante el que ha venido cometiendo la infracción, al ser la
reclamación de mayo de 2018, (apartado b).
- La naturaleza y cuantía de los perjuicios causados, con relación al volumen
de usuarios a los que afecta la infracción, al tener en la actualidad más de 4 mi-
llones de perfiles registrados en España, (apartado d).
- Los beneficios obtenidos por la infracción, con relación al volumen de usua-
rios a los que afecta la infracción (apartado e).
- Volumen de facturación a que afecte la infracción cometida, (apartado f).
Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia
Española de Protección de Datos
RESUELVE
PRIMERO: IMPONER a la entidad TWITTER INTERNATIONAL COMPANY (TWITTER
SPAIN, S.L.), con CIF. B86672318, titular de la página web: www.twitter.com , una san-
ción de 30.000 euros (treinta mil euros), por infracción del artículo 22.2) de la Ley
LSSI, tipificada como “leve” en el artículo 38.4.g) de la citada Ley.
SEGUNDO: REQUERIR a la entidad TWITTER INTERNATIONAL COMPANY (TWI-
TTER SPAIN, S.L.), para que, en el plazo de un mes desde este acto de notificación,
proceda a tomar las medidas adecuadas para adecuar su página web a lo estipulado
en el artículo 22.2 de la LSSI, para lo que podrá seguir las recomendaciones publica-
das, por esta AEPD, en su “Guía Sobre Uso de las Cookies”, de noviembre de 2019.
TERCERO: NOTIFICAR la presente resolución a la entidad TWITTER INTERNATIO-
NAL COMPANY (TWITTER SPAIN, S.L.). y, e INFORMAR al reclamante sobre el re-
sultado de la reclamación.
Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea
ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Ad-
ministraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artícu-
lo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005,
de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, me-
diante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/6
a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK,
S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago vo-
luntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se en-
cuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciem-
bre, de medidas fiscales, administrativas y del orden social, la presente Resolución se
hará pública, una vez haya sido notificada a los interesados. La publicación se realiza-
rá conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia
Española de Protección de Datos sobre publicación de sus Resoluciones.
Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo
establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interpo-
ner, potestativamente, recurso de reposición ante la Directora de la Agencia Española
de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la noti-
ficación de esta resolución, o, directamente recurso contencioso administrativo ante la
Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dis-
puesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley
29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el pla-
zo de dos meses a contar desde el día siguiente a la notificación de este acto, según
lo previsto en el artículo 46.1 del referido texto legal.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el interesa-
do manifiesta su intención de interponer recurso contencioso-administrativo. De ser
éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Re-
gistro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a
través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-adminis-
trativo en el plazo de dos meses desde el día siguiente a la notificación de la presente
resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es