1/5
Procedimiento Nº: PS/00386/2019
938-051119
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
En el procedimiento sancionador PS/00386/2019, instruido por la Agencia Española de
Protección de Datos, ante entidad IMNOVA RESORT, S.L. con CIF: B64138407, titular
dela página web ***URL.1, (en adelante, “la entidad reclamada”), por presunta infrac-
ción a la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de
comercio electrónico (LSSI), y en base a los siguientes,
ANTECEDENTES
PRIMERO: con fecha 25/02/19, Dª A.A.A. (en adelante, “la reclamante”), presentó es-
crito ante la Agencia Española de Protección de Datos, en la que, entre otras, denun-
ciaba:
“Que la tienda online ***URL.1 instala un gran número de cookies, entre ellas
cookies analíticas y cookies con objetivo publicitario sin solicitar en ningún caso
el consentimiento del usuario para dicha instalación”
SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos
aportados por el reclamante, la Subdirección General de Inspección de Datos procedió
a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investiga-
ción otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), Así, con
fecha 01/04/19 y 12/04/19, se dirige un requerimiento informativo a la entidad reclama-
da.
TERCERO: Según certificado del Servicio de Notificaciones Electrónicas y Dirección
Electrónica Habilitada, el requerimiento enviado a la entidad reclamada, con fecha
01/04/19, a través del servicio de Notific@, resultó rechazado, con fecha 12/04/19.
Según certificado de la Sociedad Estatal de Correos, la notificación enviada a la socie-
dad reclamada, con fecha 31/10/18, a través del servicio SICER, a la dirección: P Fe-
rrocarriles Catalanes 131; 08940 Cornella de Llobregat (Barcelona), resultó entregada
el 26/04/19, siendo la persona receptora de la misma Dª B.B.B. ***NIF.1
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/5
CUARTO: Consultada la página web ***URL.1, Con fecha 23/10/19, se observa las si-
guientes situaciones:
a).- Sin aceptar cookies ni realizar ninguna acción sobre la web, se cargan, entre otras,
las siguientes cookies: MUID, test_cookie, _ga, y _gid.
b).- Se comprueba la existencia de una primera capa de información sobre cookies,
manifestando que “Si continúa navegando, consideramos que acepta su uso”.
c).- Se comprueba la existencia de una Política de cookies de ***URL.1 la cual con-
tiene, entre otras, las siguientes manifestaciones:
- “Sin su expreso consentimiento –mediante la activación de las cookies en su
navegador–***NAVEGADOR.1 no enlazará en las cookies los datos memoriza-
dos con sus datos personales proporcionados en el momento del registro o la
compra.”
-“El Usuario acepta expresamente, por la utilización de este Sitio, el tratamiento
de la información recabada en la forma y con los fines anteriormente menciona-
dos. Y asimismo reconoce conocer la posibilidad de rechazar el tratamiento de
tales datos o información rechazando el uso de Cookies mediante la selección
de la configuración apropiada a tal fin en su navegador. Si bien esta opción de
bloqueo de Cookies en su navegador puede no permitirle el uso pleno de todas
las funcionalidades del Website”.
- “Puede usted permitir, bloquear o eliminar las cookies instaladas en su equipo
mediante la configuración de las opciones del navegador instalado en su orde-
nador: Chrome, Explorer, Firefox, Safari”.
- “Si tiene dudas sobre esta política de cookies, puede contactar con ***NAVE-
GADOR.1 en ***EMAIL.1”.
QUINTO: Con fecha 02/12/19, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador contra el titular de la página web recla-
mada, en virtud de los poderes establecidos en el artículo 43.1 de la LSSI, fijando una
sanción inicial de 3000 (tres mil euros), sin perjuicio de lo que resultara en transcurso
de la instrucción del procedimiento, y requiriendo al titular de dicha página que: “para
que tome las medidas adecuadas para incluir en la página web de su titularidad
(***URL.1), información sobre las cookies que se instalan y un mecanismo que permi-
ta habilitar o rechazar todas las cookies y otro para habilitar las cookies de forma gra-
nular para poder administrar las preferencias del usuario”.
SEXTO: Con fecha 12/12/19, se notificó la incoación de expediente a la entidad recla-
mada, que no ha presentado ante esta Agencia, ningún escrito o alegación, dentro del
el periodo concedido al efecto.
HECHOS PROBADOS
1.- Consultada la página web reclamada, ***URL.1, con fecha 23/10/19, se observa
que se cargan sin realizar ninguna actuación previa. En la primera capa de información
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/5
sobre cookies, se manifiesta que “si continúa navegando, consideramos que acepta su
uso” y en la segunda capa: “Política de Cookies”, manifiesta que para bloquear o elimi-
nar las cookies instaladas en el equipo se debe configurar las opciones del navegador
sin existir ninguna opción donde se permita rechazar todas las cookies.
FUNDAMENTOS DE DERECHO
I
De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley
34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio
Electrónico (LSSI), es competente para iniciar y resolver este Procedimiento Sanciona-
dor, la Directora de la Agencia Española de Protección de Datos.
II
En el presente caso, la página web ***URL.1 carga sin realizar ninguna actuación pre-
via. En la primera capa de información sobre cookies, se manifiesta que “si continúa
navegando, consideramos que acepta su uso” y en la segunda capa “Política de
Cookies”, manifiesta que para bloquear o eliminar las cookies instaladas en el equipo
se debe configurar las opciones del navegador, sin que exista ninguna opción donde
se permita rechazar todas las cookies.
III
Los hechos expuestos suponen, por parte de la entidad reclamada, la comisión de la
infracción del artículo 22.2 de la LSSI, según el cual: “Los prestadores de servicios
podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos
terminales de los destinatarios, a condición de que los mismos hayan dado su consen-
timiento después de que se les haya facilitado información clara y completa sobre su
utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo
dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de
carácter personal.
Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para
aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros
adecuados del navegador o de otras aplicaciones.
Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo
fin de efectuar la transmisión de una comunicación por una red de comunicaciones
electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de
un servicio de la sociedad de la información expresamente solicitado por el destinata-
rio.
Esta Infracción estas tipificada como leve en el artículo 38.4 g), de la citada Ley, que
considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos
cuando no se hubiera facilitado la información u obtenido el consentimiento del desti-
natario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancio-
nada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI.
III
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/5
A tenor de lo establecido en el artículo 39.1. c) de la LSSI, las infracciones leves po-
drán sancionarse con multa de hasta 30.000 €, estableciéndose los criterios para su
graduación en el artículo 40 de la misma norma.
Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de
lo que resulte de la instrucción, se considera que procede graduar la sanción a impo-
ner de acuerdo con los siguientes criterios que establece el art. 40 de la LSSI:
- La existencia de intencionalidad, expresión que ha de interpretarse como
equivalente a grado de culpabilidad de acuerdo con la Sentencia de la Audien-
cia Nacional de 12/11/2007 recaída en el Recurso núm. 351/2006, correspon-
diendo a la entidad denunciada la determinación de un sistema de obtención
del consentimiento informado que se adecue al mandato de la LSSI.
- Plazo de tiempo durante el que ha venido cometiendo la infracción, al ser la
reclamación de febrero de 2019, (apartado b).
Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada
una sanción de 3.000 euros (tres mil euros).
Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia
Española de Protección de Datos.
RESUELVE
PRIMERO: IMPONER a la entidad titular IMNOVA RESORT, S.L. con CIF: B64138407,
titular dela página web ***URL.1, una sanción de 3.000 euros (tres mil euros), por in-
fracción del artículo 22.2) de la Ley LSSI, tipificada como “leve” en el artículo 38.4.g)
de la citada Ley.
SEGUNDO: REQUERIR a la entidad IMNOVA RESORT, S.L. para que, en el plazo de
un mes desde este acto de notificación, proceda a tomar las medidas adecuadas para
adecuar su página web a lo estipulado en el artículo 22.2 de la LSSI, para lo que podrá
seguir las recomendaciones publicadas, por esta AEPD, en su “Guía Sobre Uso de las
Cookies”, de noviembre de 2019.
TERCERO: NOTIFICAR la presente resolución a la entidad IMNOVA RESORT, S.L. y
al reclamante sobre el resultado de la reclamación.
Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea
ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Ad-
ministraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artícu-
lo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/5
de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, me-
diante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta
a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK,
S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago vo-
luntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se en-
cuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciem-
bre, de medidas fiscales, administrativas y del orden social, la presente Resolución se
hará pública, una vez haya sido notificada a los interesados. La publicación se realiza-
rá conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia
Española de Protección de Datos sobre publicación de sus Resoluciones.
Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo
establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interpo-
ner, potestativamente, recurso de reposición ante la Directora de la Agencia Española
de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la noti-
ficación de esta resolución, o, directamente recurso contencioso administrativo ante la
Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dis-
puesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley
29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el pla-
zo de dos meses a contar desde el día siguiente a la notificación de este acto, según
lo previsto en el artículo 46.1 del referido texto legal.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el interesa-
do manifiesta su intención de interponer recurso contencioso-administrativo. De ser
éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Re-
gistro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a
través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-adminis-
trativo en el plazo de dos meses desde el día siguiente a la notificación de la presente
resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es