1/18
Expediente N.º: EXP202201704 (PS/00393/2022)
RESOLUCIÓN DEL PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes:
ANTECEDENTES
PRIMERO: Con fecha 21/12/21, Dª A.A.A. (en adelante, la parte reclamante) interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se
dirigía contra la entidad INFINITY ECOM S.L. con CIF B42993956, titular de la página
web ***URL.1 (en adelante, la parte reclamada), por la presunta vulneración de la
normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento
Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas
en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de
estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y contra la Ley
34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio
Electrónico (LSSI), y atendiendo a lo siguiente:
Los motivos en que basaba la reclamación eran los siguientes:
“La página web NO tiene Aviso Legal ni datos fiscales del negocio:
identificación fiscal, CIF o el DNI que son imprescindibles para cualquier página
web creada por una empresa. La Política de Privacidad de la página no es
correcta y no existe Política de cookies”.
SEGUNDO: Con fecha 11/02/22, por parte de esta Agencia se trasladó la reclamación
a la entidad PETCONFORT.SHOP para que diese respuesta a la misma, de
conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales
(LOPDGDD). Esta solicitud de información fue notificada el 18/02/22,
TERCERO: Con fecha 21/03/22, por parte de la Directora de la Agencia Española de
Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación
presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles
indicios racionales de una vulneración de las normas en el ámbito de las competencias
de la Agencia Española de Protección de Datos
CUARTO: Con fecha 09/05/22, por parte de esta Agencia se accede a la página web
***URL.1, constatándose las siguientes características sobre el su “Política de
Privacidad” y sobre su “Política de Cookies”:
a).- Sobre la “Política de Privacidad”:
Si se accede a la “Política de Privacidad” a través del enlace situado en la parte
inferior de la página principal, se accede a una nueva página ***URL.2, donde se
proporciona información sobre:
INFORMACIÓN PERSONAL QUE RECOPILAMOS
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/18
Cuando visita el Sitio, recopilamos automáticamente cierta información sobre
su dispositivo, incluida información sobre su navegador web, dirección IP, zona
horaria y algunas de las cookies que están instaladas en su dispositivo.
Además, a medida que navega por el Sitio, recopilamos información sobre las
páginas web individuales o los productos que ve, qué sitios web o términos de
búsqueda lo remitieron al Sitio e información sobre cómo interactúa con el
Sitio. Nos referimos a esta información recopilada automáticamente como
"Información del dispositivo". Recopilamos información del dispositivo utilizando
las siguientes tecnologías:
- Las "cookies" son archivos de datos que se colocan en su dispositivo o
computadora y que a menudo incluyen un identificador único anónimo. Para
obtener más información sobre las cookies y cómo deshabilitarlas, visite
***URL.3 - Los "archivos de registro" rastrean las acciones que ocurren en el
Sitio y recopilan datos, incluyendo su dirección IP, tipo de navegador,
proveedor de servicios de Internet, páginas de referencia / salida y marcas de
fecha / hora. - Las "balizas web", las "etiquetas" y los "píxeles" son archivos
electrónicos que se utilizan para registrar información sobre cómo navega por
el Sitio.
Además, cuando realiza una compra o intenta realizar una compra a través del
Sitio, recopilamos cierta información de usted, incluido su nombre, dirección de
facturación, dirección de envío, información de pago (incluidos números de
tarjeta de crédito, dirección de correo electrónico y número de teléfono). a esta
información como "Información del pedido". Cuando hablamos de "Información
personal" en esta Política de privacidad, estamos hablando tanto de la
Información del dispositivo como de la Información del pedido.
¿CÓMO UTILIZAMOS SU INFORMACIÓN PERSONAL? Usamos la
información de pedidos que recopilamos generalmente para cumplir con los
pedidos realizados a través del Sitio (incluido el procesamiento de su
información de pago, la organización del envío y el suministro de facturas y / o
confirmaciones de pedidos). Además, utilizamos esta información de pedido
para: - Comunicarnos con usted; - Revise nuestros pedidos de riesgo potencial
o fraude; y - Cuando esté de acuerdo con las preferencias que ha compartido
con nosotros, proporcionarle información o publicidad relacionada con nuestros
productos o servicios.
Usamos la información del dispositivo que recopilamos para ayudarnos a
detectar posibles riesgos y fraudes (en particular, su dirección IP) y, en
general, para mejorar y optimizar nuestro sitio (por ejemplo, generando análisis
sobre cómo navegan e interactúan nuestros clientes) el Sitio, y para evaluar el
éxito de nuestras campañas de marketing y publicidad).
COMPARTIENDO SU INFORMACIÓN PERSONAL Compartimos su
información personal con terceros para ayudarnos a usar su información
personal, como se describe anteriormente. Por ejemplo, usamos Shopify para
impulsar nuestra tienda en línea: puede leer más sobre cómo Shopify usa su
información personal aquí: ***URL.4. También usamos Google Analytics para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/18
ayudarnos a comprender cómo nuestros clientes usan el Sitio. Puede leer más
sobre cómo Google usa su Información personal aquí: ***URL.5. También
puede optar por no participar en Google Analytics aquí: ***URL.6.
Finalmente, también podemos compartir su información personal para cumplir
con las leyes y regulaciones aplicables, para responder a una citación, orden
de allanamiento u otra solicitud legal de información que recibimos, o para
proteger nuestros derechos.
PUBLICIDAD DE COMPORTAMIENTO Como se describió anteriormente,
utilizamos su información personal para proporcionarle anuncios dirigidos o
comunicaciones de marketing que creemos que pueden ser de su interés. Para
obtener más información sobre cómo funciona la publicidad dirigida, puede
visitar la página educativa de Network Advertising Initiative ("NAI") en ***URL.7.
Puede optar por no recibir publicidad dirigida utilizando los enlaces a
continuación: - Facebook: ***URL.8 - Google: ***URL.9 - Bing: ***URL.10 .
Además, puede optar por no participar en algunos de estos servicios visitando
el portal de exclusión de Digital Advertising Alliance en: ***URL.11.
NO RASTREAR Tenga en cuenta que no alteramos las prácticas de
recopilación y uso de datos de nuestro Sitio cuando vemos una señal de No
Rastrear desde su navegador.
SUS DERECHOS Si es residente europeo, tiene derecho a acceder a la
información personal que tenemos sobre usted y a solicitar que su información
personal sea corregida, actualizada o eliminada. Si desea ejercer este derecho,
contáctenos a través de la información de contacto a continuación.
Además, si usted es un residente europeo, notamos que estamos procesando
su información para cumplir con los contratos que podamos tener con usted
(por ejemplo, si realiza un pedido a través del Sitio), o de otra manera para
perseguir nuestros intereses comerciales legítimos mencionados
anteriormente. Además, tenga en cuenta que su información se transferirá
fuera de Europa, incluso a Canadá y Estados Unidos.
RETENCIÓN DE DATOS Cuando realiza un pedido a través del Sitio,
mantendremos su Información de pedido para nuestros registros a menos y
hasta que nos solicite que eliminemos esta información.
CAMBIOS Podemos actualizar esta política de privacidad de vez en cuando
para reflejar, por ejemplo, cambios en nuestras prácticas o por otros motivos
operativos, legales o reglamentarios.
MENORES El Sitio no está destinado a personas menores de 18 años.
CONTÁCTENOS Para obtener más información sobre nuestras prácticas de
privacidad, si tiene preguntas o si desea presentar una queja, comuníquese
con nosotros por correo electrónico a ***EMAIL.1
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/18
Si se accede al formulario de contacto, <<contacto>>, situado en la parte inferior de la
página principal, la web redirige al usuario a una nueva página ***URL.12 donde existe
la siguiente información:
“Puede contactarnos mediante email: ***EMAIL.1. O bien puede ponerse en
contacto mediante el formulario que aparece en la parte inferior”.
b).- Sobre la Política de Cookies:
1.- Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial
de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción
sobre la página web, se ha comprobado, que se utilizan cookies que no son técnicas o
necesarias, con las siguientes características:
A).- Cookies de rendimiento (8)
COOKIE DOMINIO DESCRIPCIÓN
_landing_page ***DOMINIO.1 Se utiliza para rastrear, informar y analizar en las
páginas de destino.
shopify_sa_t ***DOMINIO.1 Asociada con el conjunto de análisis de Shopify
sobre marketing y referencias.
_shopify_y ***DOMINIO.1 Asociada con la suite de análisis de Shopify.
_shopify_s ***DOMINIO.1 Asociada con la suite de análisis de Shopify.
_shopify_sa_p ***DOMINIO.1 Asociada con el conjunto de análisis de Shopify
sobre marketing y referencias.
_y ***DOMINIO.1 Asociada con la suite de análisis de Shopify.
_s ***DOMINIO.1 Asociada con la suite de análisis de Shopify.
__kla_id ***DOMINIO.1 Rastrea cuando alguien hace clic a través de un
correo electrónico de Klaviyo a su sitio web
B).- Cookies de orientación (5)
COOKIE DOMINIO DESCRIPCIÓN
_pin_unauth ***DOMINIO.1 Registra una identificación única que identifica y
reconoce al usuario. Se utiliza para publicidad
dirigida.
test_cookie ***DOMINIO.2 La establece DoubleClick (que es propiedad de
Google) para determinar si el navegador del
visitante del sitio web admite cookies.
IDEMás ***DOMINIO.2 Esta cookie la establece Doubleclick y lleva
información sobre cómo el usuario final usa el sitio
web y cualquier publicidad que el usuario final haya
visto antes de visitar dicho sitio web.
_gcl_au ***DOMINIO.1 Utilizado por Google AdSense para experimentar con
la eficiencia de la publicidad en los sitios web que
utilizan sus servicios.
_fbp ***DOMINIO.1 Utilizado por Meta para ofrecer una serie de
productos publicitarios, como ofertas en tiempo real
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/18
de anunciantes externos.
2.- Existe un banner de información sobre cookies en la página principal con el
siguiente mensaje:
“Este sitio web utiliza cookies para garantizar que obtenga la mejor experiencia en
nuestro sitio web”. <<Mas>> <<De acuerdo>>
Si se cliquea en el enlace <<Mas>>, la web despliega la página de “Política de
Privacidad” ***URL.13 indicada anteriormente.
No existe “Política de Cookies”. La única información sobre cookies proporcionada por
la web se encuentra en la página de la “Política de Privacidad”:
“(…) Recopilamos información del dispositivo utilizando las siguientes
tecnologías: - Las "cookies" son archivos de datos que se colocan en su
dispositivo o computadora y que a menudo incluyen un identificador único
anónimo. Para obtener más información sobre las cookies y cómo
deshabilitarlas, visite ***URL.14 (…)”.
No existe ningún mecanismo que posibilite rechazar las cookies o gestionarlas de
forma granular a través de un panel de control.
QUINTO: Con fecha 11/05/22 se requirió a SHOPIFY INTERNATIONAL LIMITED
(plataforma donde se aloja la página web en cuestión), información sobre los datos de
identificación y contacto del titular del dominio petconfort.shop referido a la fecha 17
de diciembre de 2021, en virtud de los poderes de investigación otorgados a las
autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679, del
Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las
Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre
Circulación de estos Datos (RGPD) y de conformidad con lo establecido en el Título
VII, Capítulo I, Sección segunda, de la LOPDGDD.
SEXTO: Con fecha 25/05/22, la entidad SHOPIFY INTERNATIONAL LIMITED, remite
a esta Agencia información sobre la titularidad de la página web en cuestión aportando
los datos de contacto de titular de la página web en cuestión indicando que dicha
página está asociada al número de teléfono ***TELÉFONO.1.
SÉPTIMO: Con fecha 06/06/22 se requirió a la entidad VODAFONE ESPAÑA SAU.
información sobre los datos de identificación y contacto del titular del número de
teléfono ***TELÉFONO.1, referidos a la fecha 17 de diciembre de 2021.
OCTAVO: Con fecha 29/06/22, la compañía VODAFONE ESPAÑA SAU, remite escrito
de contestación al requerimiento realizado por esta Agencia en el que manifiesta:
“Tras realizar las consultas pertinentes en los sistemas internos de mi se pone
en conocimiento de esta Agencia que, durante el periodo solicitado, la línea
telefónica ***TELÉFONO.1 consta a nombre de INFINTY E COME SL con CIF
B42993956 y dirección ***DIRECCIÓN.1”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/18
NOVENO: Con fecha 17/10/22, por parte de la Directoria de la Agencia Española de
Protección de Datos, se inicia procedimiento sancionador a la entidad reclamada, al
apreciar indicios razonables de vulneración de lo establecido en los artículos:
- Por infracción del artículo 13 del RGPD, por la falta de información necesaria
en la “Política de Privacidad”, según se establece en el citado artículo, con una
sanción inicial de 5.000 euros (cinco mil euros).
- Por infracción del artículo 22.2 de la LSSI, por las irregularidades detectadas
en su página web respecto de la “Política de Cookies”, con una sanción inicial
de 5.000 euros (cinco mil euros).
Junto a ello y de conformidad con el artículo 58.2 del RGPD, se proponía como
medidas correctivas a imponer al reclamado:
- Que implante, en el plazo de un mes, las medidas correctoras necesarias para
adecuar su actuación a la normativa de protección de datos personales, con la
inclusión de la información necesaria que debe proporcionar a los usuarios de
la página web de su titularidad, de acuerdo con lo estipulado en el artículo 13
del RGPD, así como que informe a esta Agencia en el mismo plazo sobre las
medidas adoptadas.
Según certificado de la Sociedad Estatal Correos y Telégrafos, el escrito de incoación
de expediente enviado a la parte reclamada, el día 25/10/22 a través del servicio de
notificaciones postales de Correos, fue devuelto a origen el día 28/10/22, con el men-
saje de “desconocido”.
DÉCIMO: Con fecha 03/11/22 se realizó la notificación del acuerdo de inicio mediante
anuncio en el Tablón Edictal único del Boletín Oficial del Estado, de acuerdo con el
artículo 44 de LPACAP.
Notificada la incoación del expediente, a fecha de hoy, no consta que la reclamada
haya formulado alegaciones al acuerdo de inicio del procedimiento. En este sentido, el
artículo 64.2.f) de la LPACAP -disposición de la que se informó la reclamada en el
acuerdo de apertura del procedimiento- establece que, si no se efectúan alegaciones
en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste
contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá
ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del
expediente sancionador determinaba los hechos en los que se concretaba la
imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría
imponerse. Por ello, tomando en consideración que la reclamada no ha formulado
alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el
artículo 64.2.f) LPACAP, el citado acuerdo de inicio es considerado en el presente
caso propuesta de resolución.
HECHOS PROBADOS.
De las actuaciones practicadas en el presente procedimiento y de la información y
documentación presentada ha quedado acreditadas los siguientes hechos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/18
Primero: Con fecha 09/05/22 se constata por parte de esta Agencia las siguientes
características sobre el su “Política de Privacidad” y sobre su “Política de Cookies”:
a).- Sobre la “Política de Privacidad”:
Si se accede a la “Política de Privacidad” a través del enlace situado en la parte
inferior de la página principal, se accede a una nueva página
https://petconfort.shop/pages/ politica-de-privacidad, donde se proporciona información
sobre: la información personal que recopilan; cómo utilizan dicha información personal;
cómo comparten esa información; sobre los derechos que asisten al usuario y como
contactar con el responsable de la página web.
b).- Sobre la Política de Cookies:
1.- Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial
de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción
sobre la página web, se ha comprobado, que se utilizan cookies que no son técnicas o
necesarias:
A).- Cookies de rendimiento:
_landing_page
shopify_sa_t
_shopify_y
_shopify_s
_shopify_sa_p .
_y
_s
__kla_id
B).- Cookies de orientación:
_pin_unauth
test_cookie
IDEMás
_gcl_au
_fbp
2.- Existe un banner de información sobre cookies en la página principal con el
siguiente mensaje:
“Este sitio web utiliza cookies para garantizar que obtenga la mejor experiencia en
nuestro sitio web”. <<Mas>> <<De acuerdo>>
Si se cliquea en el enlace <<Mas>>, la web despliega la página de “Política de
Privacidad” ***URL.12 indicada anteriormente.
No existe “Política de Cookies”. La única información sobre cookies proporcionada por
la web se encuentra en la página de la “Política de Privacidad”:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/18
“(…) Recopilamos información del dispositivo utilizando las siguientes
tecnologías: - Las "cookies" son archivos de datos que se colocan en su
dispositivo o computadora y que a menudo incluyen un identificador único
anónimo. Para obtener más información sobre las cookies y cómo
deshabilitarlas, visite ***URL.13 (…)”.
No existe ningún mecanismo que posibilite rechazar las cookies o gestionarlas de
forma granular a través de un panel de control.
FUNDAMENTOS DE DERECHO
I.-
Competencia:
- Sobre el tratamiento de los datos personales y la “Política de Privacidad” en la
página web:
Es competente para resolver este procedimiento, la Directora de la Agencia Española
de Protección de Datos, en virtud de los poderes que el art 58.2 del RGPD reconoce a
cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley
LOPDGDD.
- Sobre la “Política de Cookies” en la página web:
Es competente para resolver este procedimiento, la Directora de la Agencia Española
de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo
segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la
Información y Comercio Electrónico (LSSI),
II.-
Sobre la “Política de Privacidad” en la web:
Si se accede a la “Política de Privacidad” a través del enlace situado en la parte
inferior de la página principal, <<Política de Privacidad>> se accede a una nueva
página donde se proporciona información sobre la información personal que recopilan;
cómo utilizan la información; cómo comparten la información personal; cómo
desarrollan la publicidad de comportamiento o sobre la retención de los datos.
Sobre los derechos que asisten a los usuarios, respecto a sus datos personales se
informa de lo siguiente:
Si es residente europeo, tiene derecho a acceder a la información personal que
tenemos sobre usted y a solicitar que su información personal sea corregida,
actualizada o eliminada. Si desea ejercer este derecho, contáctenos a través
de la información de contacto a continuación.
Además, si usted es un residente europeo, notamos que estamos procesando
su información para cumplir con los contratos que podamos tener con usted
(por ejemplo, si realiza un pedido a través del Sitio), o de otra manera para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/18
perseguir nuestros intereses comerciales legítimos mencionados
anteriormente. Además, tenga en cuenta que su información se transferirá
fuera de Europa, incluso a Canadá y Estados Unidos.
Sobre la identificación del responsable del tratamiento de los datos personales de la
web, se informa de lo siguiente
Para obtener más información sobre nuestras prácticas de privacidad, si tiene
preguntas o si desea presentar una queja, comuníquese con nosotros por
correo electrónico a ***EMAIL.1
Si se accede a la página de contacto, situada en la parte inferior de la página principal,
la web redirige al usuario a una nueva página ***URL.11 donde existe la siguiente
información:
Puede contactarnos mediante email: ***EMAIL.1 O bien puede ponerse en
contacto mediante el formulario que aparece en la parte inferior.
II.-1
Infracción administrativa
El considerando 61) del RGPD indica que:
“Se debe facilitar a los interesados la información sobre el tratamiento de sus
datos personales en el momento en que se obtengan de ellos o, si se obtienen
de otra fuente, en un plazo razonable, dependiendo de las circunstancias del
caso. Si los datos personales pueden ser comunicados legítimamente a otro
destinatario, se debe informar al interesado en el momento en que se
comunican al destinatario por primera vez. El responsable del tratamiento que
proyecte tratar los datos para un fin que no sea aquel para el que se recogieron
debe proporcionar al interesado, antes de dicho tratamiento ulterior,
información sobre ese otro fin y otra información necesaria. Cuando el origen
de los datos personales no pueda facilitarse al interesado por haberse utilizado
varias fuentes, debe facilitarse información general.
Por su parte, el artículo 13 del RGPD, detalla por su parte, la información que se debe
facilitar al interesado cuando los datos son recogidos directamente de él,
estableciéndose lo siguiente:
“1.Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que estos se obtengan, le
facilitará: a) la identidad y los datos de contacto del responsable y, en su caso,
de su representante; b) los datos de contacto del delegado de protección de
datos, en su caso; c) los fines del tratamiento a que se destinan los datos
personales y la base jurídica del tratamiento; d) cuando el tratamiento se base
en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de
un tercero; e) los destinatarios o las categorías de destinatarios de los datos
personales, en su caso; f) en su caso, la intención del responsable de transferir
datos personales a un tercer país u organización internacional y la existencia o
ausencia de una decisión de adecuación de la Comisión, o, en el caso de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/18
transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1,
párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los
medios para obtener una copia de estas o al hecho de que se hayan prestado.
2.Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado, en el momento en que se obtengan los
datos personales, la siguiente información necesaria para garantizar un
tratamiento de datos leal y transparente: a) el plazo durante el cual se
conservarán los datos personales o, cuando no sea posible, los criterios
utilizados para determinar este plazo; b) la existencia del derecho a solicitar al
responsable del tratamiento el acceso a los datos personales relativos al
interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a
oponerse al tratamiento, así como el derecho a la portabilidad de los datos; c)
cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el
artículo 9, apartado 2, letra a), la existencia del derecho a retirar el
consentimiento en cualquier momento, sin que ello afecte a la licitud del
tratamiento basado en el consentimiento previo a su retirada; d) el derecho a
presentar una reclamación ante una autoridad de control; e) si la comunicación
de datos personales es un requisito legal o contractual, o un requisito
necesario para suscribir un contrato, y si el interesado está obligado a facilitar
los datos personales y está informado de las posibles consecuencias de que
no facilitar tales datos; f) la existencia de decisiones automatizas, incluida la
elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al
menos en tales casos, información significativa sobre la lógica aplicada, así
como la importancia y las consecuencias previstas de dicho tratamiento para el
interesado”.
II.-2
Sanción
Por tanto, el hecho de que no se informe convenientemente de los derechos que
asisten a los usuarios de la página web, respecto al tratamiento de sus datos
personales o que tienen derecho a interponer reclamación, en este caso, ante la
AEPD, ni se identifique convenientemente al responsable del tratamiento de los datos
personales en la web, es constitutivo de una infracción del artículo 13 del RGPD.
Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD.
En este sentido, el artículo 72.1.h) de la LOPDGDD, considera muy grave, a efectos
de prescripción, “la omisión del deber de informar al afectado acerca del tratamiento
de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD”
A efectos de fijar el importe de la sanción a imponer en el presente caso, procede
graduar la sanción de acuerdo con los siguientes criterios que establece el artículo
83.2 del RGPD:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/18
“2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas
contempladas en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la
imposición de una multa administrativa y su cuantía en cada caso individual se
tendrá debidamente en cuenta: a) la naturaleza, gravedad y duración de la
infracción, teniendo en cuenta la naturaleza, alcance o propósito de la
operación de tratamiento de que se trate así como el número de interesados
afectados y el nivel de los daños y perjuicios que hayan sufrido; b) la
intencionalidad o negligencia en la infracción; c) cualquier medida tomada por
el responsable o encargado del tratamiento para paliar los daños y perjuicios
sufridos por los interesados; d) el grado de responsabilidad del responsable o
del encargado del tratamiento, habida cuenta de las medidas técnicas u
organizativas que hayan aplicado en virtud de los artículos 25 y 32; e) toda
infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida; i) cuando las medidas indicadas en el artículo 58, apartado 2,
hayan sido ordenadas previamente contra el responsable o el encargado de
que se trate en relación con el mismo asunto, el cumplimiento de dichas
medidas; j) la adhesión a códigos de conducta en virtud del artículo 40 o a
mecanismos de certificación aprobados con arreglo al artículo 42, k) cualquier
otro factor agravante o atenuante aplicable a las circunstancias del caso, como
los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Por su parte, en relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en
su artículo 76, “Sanciones y medidas correctivas”, dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del
Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de
graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo
previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también podrán
tenerse en cuenta: a) El carácter continuado de la infracción. b) La vinculación
de la actividad del infractor con la realización de tratamientos de datos
personales. c) Los beneficios obtenidos como consecuencia de la comisión de
la infracción. d) La posibilidad de que la conducta del afectado hubiera podido
inducir a la comisión de la infracción. e) La existencia de un proceso de fusión
por absorción posterior a la comisión de la infracción, que no puede imputarse
a la entidad absorbente. f) La afectación a los derechos de los menores. g)
Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado”
De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción a
imponer en el presente caso por la infracción tipificada en el artículo 83.5.a), se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/18
estiman concurrentes los siguientes factores que se consideran circunstancias
agravantes según se establece el apartado 2 del artículo 76 de la LOPDGDD:
- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales, pues tratándose de una web de venta online de productos
para mascotas, tratan un elevado número de datos personales de los clientes.
(Artículo 76.2.b)
El balance de las circunstancias contempladas, con respecto a la infracción cometida,
al vulnerar lo establecido en su artículo 13 del RGPD, permite fijar una sanción de
5.000 euros (cinco mil euros).
II.-3
Medidas
En este caso, se requiere al responsable de la página web ***DOMINIO.1/ para que,
en el plazo de un mes, tome las medidas necesarias para adecuar la página web de su
titularidad a la normativa vigente, con la inclusión de la información necesaria que
debe proporcionar a los usuarios de ésta, de acuerdo con lo estipulado en el artículo
13 del RGPD.
Se advierte que no atender a los requerimientos de este organismo puede ser conside-
rado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipifica-
da como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertu-
ra de un ulterior procedimiento administrativo sancionador.
III.-
Sobre la Política de Cookies de la página web:
a).- Sobre la instalación de cookies en el equipo terminal previo al
consentimiento:
El artículo 22.2 de la LSSI establece que se debe facilitar a los usuarios información
clara y completa sobre la utilización de los dispositivos de almacenamiento y
recuperación de datos y, en particular, sobre los fines del tratamiento de los datos.
Esta información debe facilitarse con arreglo a lo dispuesto el RGPD.
Por tanto, cuando la utilización de una cookie conlleve un tratamiento que posibilite la
identificación del usuario, los responsables del tratamiento deberán asegurarse del
cumplimiento de las exigencias establecidas por la normativa sobre protección de
datos.
No obstante, es necesario señalar que quedan exceptuadas del cumplimiento de las
obligaciones establecidas en el artículo 22.2 de la LSSI aquellas cookies necesarias
para la intercomunicación de los terminales y la red y aquellas que prestan un servicio
expresamente solicitado por el usuario.
En este sentido, el GT29, en su Dictamen 4/2012, interpretó que entre las cookies
exceptuadas estarían las Cookies de entrada del usuario” (aquellas utilizadas para
rellenar formularios, o como gestión de una cesta de la compra); cookies de
autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/18
(aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio
web); cookies de sesión de reproductor multimedia; cookies de sesión para equilibrar
la carga; cookies de personalización de la interfaz de usuario y algunas de
complemento (plug-in) para intercambiar contenidos sociales.
Estas cookies quedarían excluidas del ámbito de aplicación del artículo 22.2 de la
LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su
uso. Por el contrario, será necesario informar y obtener el consentimiento previo del
usuario antes de la utilización de cualquier otro tipo de cookies, tanto de primera como
de tercera parte, de sesión o persistentes.
En la comprobación realizada por esta Agencia en la página web reclamada se pudo
constatar que, al entrar en la página principal y sin realizar ninguna acción sobre la
mimas ni aceptar las cookies, se utilizaban las siguientes cookies no necesarias:
Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción
sobre la página, se ha comprobado que se utilizan las siguientes cookies que no son
técnicas o necesarias:
A).- Cookies de rendimiento (8)
COOKIE DOMINIO DESCRIPCIÓN
_landing_page ***DOMINIO.1 Se utiliza para rastrear, informar y analizar en
las páginas de destino.
shopify_sa_t ***DOMINIO.1 Asociada con el conjunto de análisis de Shopify
sobre marketing y referencias.
_shopify_y ***DOMINIO.1 Asociada con la suite de análisis de Shopify.
_shopify_s ***DOMINIO.1 Asociada con la suite de análisis de Shopify.
_shopify_sa_p ***DOMINIO.1 Asociada con el conjunto de análisis de Shopify
sobre marketing y referencias.
_y ***DOMINIO.1 Asociada con la suite de análisis de Shopify.
_s ***DOMINIO.1 Asociada con la suite de análisis de Shopify.
__kla_id ***DOMINIO.1 Rastrea cuando alguien hace clic a través de un
correo electrónico de Klaviyo a su sitio web
B).- Cookies de orientación (5)
COOKIE DOMINIO DESCRIPCIÓN
_pin_unauth ***DOMINIO.1 Registra una identificación única que identifica y
reconoce al usuario. Se utiliza para publicidad
dirigida.
test_cookie ***DOMINIO.2 La establece DoubleClick (que es propiedad de
Google) para determinar si el navegador del
visitante del sitio web admite cookies.
IDEMás ***DOMINIO.2 Esta cookie la establece Doubleclick y lleva
información sobre cómo el usuario final usa el
sitio web y cualquier publicidad que el usuario
final haya visto antes de visitar dicho sitio web.
_gcl_au ***DOMINIO.1 Utilizado por Google AdSense para
experimentar con la eficiencia de la publicidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/18
en los sitios web que utilizan sus servicios.
b).- Sobre el consentimiento a la instalación de cookies en el equipo terminal:
Para la utilización de las cookies no exceptuadas, será necesario obtener el
consentimiento del usuario de forma expresa. Este consentimiento se puede obtener
haciendo clic en, “aceptar” o infiriéndolo de una inequívoca acción realizada por el
usuario que denote que el consentimiento se ha producido inequívocamente. Por
tanto, la mera inactividad del usuario, hacer scroll o navegar por el sitio web, no se
considerará a estos efectos, una clara acción afirmativa en ninguna circunstancia y no
implicará la prestación del consentimiento por sí misma. Del mismo modo, el acceso a
la segunda capa si la información se presenta por capas, así como la navegación
necesaria para que el usuario gestione sus preferencias en relación con las cookies en
el panel de control, tampoco es considerada una conducta activa de la que pueda
derivarse la aceptación de cookies.
No está permitido tampoco la existencia de “Muros de Cookies”, esto es, ventanas
emergentes que bloquean el contenido y el acceso a la web, obligando al usuario a
aceptar el uso de las cookies para poder acceder a la página y seguir navegando sin
ofrecer al usuario ningún tipo de alternativa que le permita gestionar libremente sus
preferencias sobre la utilización de las cookies.
Si la opción es dirigirse a una segunda capa o panel de control de cookies, el enlace
debe llevar al usuario directamente a dicho panel de configuración. Para facilitar la
selección, en el panel podrá implementarse, además de un sistema de gestión
granular de cookies, dos botones más, uno para aceptar todas las cookies y otro para
rechazarlas todas. Si el usuario guarda su elección sin haber seleccionado ninguna
cookie, se entenderá que ha rechazo todas las cookies. En relación con esta segunda
posibilidad, en ningún caso son admisibles las casillas premarcadas a favor de aceptar
cookies.
Si para la configuración de las cookies, la web remite a la configuración del navegador
instalado en el equipo terminal, esta opción podría ser considerada complementaria
para obtener el consentimiento, pero no como único mecanismo. Por ello, si el editor
se decanta por esta opción, debe ofrecer además y en todo caso, un mecanismo que
permita rechazar el uso de las cookies y/o hacerlo de forma granular.
Por otra parte, la retirada del consentimiento prestado previamente por el usuario
deberá poder ser realizado en cualquier momento. A tal fin, el editor deberá ofrecer un
mecanismo que posibilite retirar el consentimiento de forma fácil en cualquier
momento. Se considerará que esa facilidad existe, por ejemplo, cuando el usuario
tenga acceso sencillo y permanente al sistema de gestión o configuración de las
cookies.
Si el sistema de gestión o configuración de las cookies del editor no permite evitar la
utilización de las cookies de terceros una vez aceptadas por el usuario, se facilitará
información sobre las herramientas proporcionadas por el navegador y los terceros,
debiendo advertir que, si el usuario acepta cookies de terceros y posteriormente desea
eliminarlas, deberá hacerlo desde su propio navegador o el sistema habilitado por los
terceros para ello.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/18
En el caso que nos ocupa, el banner de la primera capa posibilita aceptar todas las
cookies, pero no existe ningún otro mecanismo que posibilite el rechazo de todas
cookies que no sean técnicas o necesarias, ni en la primera capa ni a través de una
segunda capa. Tampoco se posibilita realizar la gestión de las cookies de forma
granular o por grupos a través de un panel de control.
c).- Sobre el banner de información de cookies existente en la primera capa
(página principal):
El banner sobre cookies de la primera capa deberá incluir información referente a la
identificación del editor responsable del sitio web, en el caso de que sus datos identifi-
cativos no figuren en otras secciones de la página o que su identidad no pueda des-
prenderse de forma evidente del propio sitio. Deberá incluir también una Identificación
genérica de las finalidades de las cookies que se utilizarán y si éstas son propias o
también de terceros, sin que sea necesario identificarlos en esta primera capa. Ade-
más, deberá incluir información genérica sobre el tipo de datos que se van a recopilar
y utilizar en caso de que se elaboren perfiles de los usuarios y deberá incluir informa-
ción y el modo en que el usuario puede aceptar, configurar y rechazar la utilización de
cookies, con la advertencia, en su caso, de que, si se realiza una determinada acción,
se entenderá que el usuario acepta el uso de las cookies.
A parte de la información genérica sobre cookies, en este banner deberá existir un en-
lace claramente visible dirigido a una segunda capa informativa sobre el uso de las
cookies. Este mismo enlace podrá utilizarse para conducir al usuario al panel de confi-
guración de cookies, siempre que el acceso al panel de configuración sea directo, esto
es, que el usuario no tenga que navegar dentro de la segunda capa para localizarlo.
En el caso que nos ocupa, en el banner de información sobre cookies existente en la
primera capa de la web (“Este sitio web utiliza cookies para garantizar que obtenga la
mejor experiencia en nuestro sitio web”), no se identifican las finalidades para las que
se utilizarán las cookies y si éstas son propias o también de terceros.
d).- Sobre la información suministrada en la segunda capa (política de cookies):
En la segunda capa o “política de cookies” se debe proporcionar información más de-
tallada sobre las características de las cookies, incluyendo información sobre, la defini-
ción y función genérica de las cookies (qué son las cookies); sobre el tipo de cookies
que se utilizan y su finalidad (qué tipos de cookies se utilizan en la página web); la
identificación de quién utiliza las cookies, esto es, si la información obtenida por las
cookies es tratada solo por el editor y/o también por terceros con identificación de es-
tos últimos; el periodo de conservación de las cookies en el equipo terminal; y si es el
caso, información sobre las transferencias de datos a terceros países y la elaboración
de perfiles que implique la toma de decisiones automatizadas.
En el caso que nos ocupa, se ha comprobado que no existe “Política de Cookies” en
la web. La única información sobre cookies proporcionada por la web es en la página
de su “Política de Privacidad”:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/18
(…) Recopilamos información del dispositivo utilizando las siguientes
tecnologías: - Las "cookies" son archivos de datos que se colocan en su
dispositivo o computadora y que a menudo incluyen un identificador único
anónimo. Para obtener más información sobre las cookies y cómo
deshabilitarlas, visite ***URL.13 (…)”.
III.-1
Infracción administrativa
De las deficiencias detectadas, respecto de la política de cookies, en la página web en
cuestión: la utilización de cookies de terceros que no son técnicas o necesarias; la
imposibilidad de rechazar las cookies de terceros y la falta de información en la
“política de cookies”, podrían suponer por parte del reclamado, la comisión de la
infracción del artículo 22.2 de la LSSI, pues establece que:
“Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y
recuperación de datos en equipos terminales de los destinatarios, a condición
de que los mismos hayan dado su consentimiento después de que se les haya
facilitado información clara y completa sobre su utilización, en particular, sobre
los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley
Orgánica 15/1999, de protección de datos de carácter personal.
Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario
para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los
parámetros adecuados del navegador o de otras aplicaciones.
Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica
al solo fin de efectuar la transmisión de una comunicación por una red de
comunicaciones electrónicas o, en la medida que resulte estrictamente
necesario, para la prestación de un servicio de la sociedad de la información
expresamente solicitado por el destinatario”.
Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que
considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos
cuando no se hubiera facilitado la información u obtenido el consentimiento del
destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser
sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada
LSSI.
Tras las evidencias obtenidas, se considera que procede graduar la sanción a imponer
de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de la LSSI:
La existencia de intencionalidad, expresión que ha de interpretarse como
equivalente a grado de culpabilidad de acuerdo con la Sentencia de la
Audiencia Nacional de 12/11/07 recaída en el Recurso núm. 351/2006,
correspondiendo a la entidad denunciada la determinación de un sistema de
obtención del consentimiento informado que se adecue al mandato de la LSSI.
III.-2
Sanción
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/18
Con arreglo a dichos criterios, se estima adecuado imponer una sanción de 5.000
euros, (cinco mil euros), por la infracción del artículo 22.2 de la LSSI, respecto de la
política de cookies realizada en la página web de su titularidad.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,
RESUELVE
PRIMERO: IMPONER a la entidad INFINITY ECOM S.L. con CIF B42993956, titular
de la página web ***DOMINIO.1/, por la infracción del artículo 13 del RGPD, por la
falta de información necesaria en la “Política de Privacidad” en su página web, , con
una sanción de 5.000 euros (cinco mil euros).
SEGUNDO: IMPONER a la entidad INFINITY ECOM S.L. con CIF B42993956, titular
de la página web ***DOMINIO.1/, por infracción del artículo 22.2 de la LSSI, por las
irregularidades detectadas en su página web respecto de la “Política de Cookies”, una
sanción de 5.000 euros (cinco mil euros).
TERCERO: ORDENAR a la entidad INFINITY ECOM S.L. con CIF B42993956, titular
de la página web ***DOMINIO.1/, que implante, en el plazo de un mes, las medidas
correctoras necesarias para adecuar su actuación a la normativa de protección de
datos personales, respecto del artículo 13 del RGPD, así como que informe a esta
Agencia en el mismo plazo sobre las medidas adoptadas.
CUARTO: NOTIFICAR la presente resolución a la entidad INFINITY ECOM S.L.
QUINTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una
vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el
artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (LPACAP), en el plazo de pago voluntario
que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000
0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el
Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en
período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de
diciembre, de medidas fiscales, administrativas y del orden social, la presente
Resolución se hará pública, una vez haya sido notificada a los interesados. La
publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de
diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus
Resoluciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/18
Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo
establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán
interponer, potestativamente, recurso de reposición ante la Directora de la Agencia
Española de Protección de Datos en el plazo de un mes a contar desde el día
siguiente a la notificación de esta resolución, o, directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional,
con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición
adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción
Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente
a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto
legal.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/],
o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es