Çerezlerin Rıza Dışında Kullanılması

1/31

Procedimiento Nº: PS/00524/2023

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

De las actuaciones practicadas de oficio por la Agencia Española de Protección de
Datos ante la entidad, TECHPUMP SOLUTIONS S.L. (TECHPUMP), CIF.: B33950338,
titular de las páginas web: ***URL.1; ***URL.2, ***URL.3, ***URL.4; ***URL.5, por la
presunta vulneración de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de
la Información y Comercio Electrónico (LSSI), y atendiendo a los siguientes:

ANTECEDENTES

PRIMERO: Con fecha 22/12/23, la Directora de la Agencia Española de Protección de
Datos acordó la apertura de actuaciones previas de investigación frente a la entidad,
TECHPUMP SOLUTIONS S.L. atendiendo a los poderes de investigación que la
autoridad de control puede disponer al efecto, establecidos en el apartado 1), del
artículo 58 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de
27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al
Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), y en
relación la “Política de Cookies” seguida en las páginas webs indicadas anteriormente.

SEGUNDO: Con fecha 27/12/23, La Subdirección de Inspección de la Agencia
Española de Protección de Datos realizó la siguiente diligencia respecto de la “Política
de Cookies” de las páginas webs citadas anteriormente, obtenida a través de la
herramienta “inspeccionar  aplicación” del navegador de Google Chrome y después
de haber limpiado la memoria caché del navegador web y sus cookies, y tras haber
forzado al navegador a descargar la última versión de la página web alojada en el
servidor remoto:

a).- Sobre la instalación de cookies sin el previo al consentimiento del usuario:

En las comprobaciones realizadas en las webs en cuestión se comprobó que al entrar
en las mismas, por primera vez, una vez limpiado el equipo terminal de historial de
navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre
la misma, se utilizaban las siguientes cookies propias:

- En la web ***URL.2, se utilizaba una cookie propia, “OptanonConsentimiento”,
detectada como de naturaleza técnica.

- En la web ***URL.1, se utilizaba una cookie propia “OptanonConsentimiento”,
detectada como de naturaleza técnica y las cookies propias, “usuario_país”;
“stop_redirect”; “país” y “redirect_es” cuya misión no pudo ser identificada,
aunque según la información aportada en la “Política de Cookies” de la web,
dichas cookies eran “necesarias para que el sitio funcione…”

- En la web ***URL.4, se utilizaba una cookie propia: “stop_redirect”, cuya misión
no pudo ser identificada, aunque según la información aportada en la “Política
de Cookies” de la web era una cookie necesaria, utilizada para redireccionar al
usuario a la zona del país de origen.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/31

- Al intentar entrar en las webs ***URL.3 y ***URL.5 se observó que se
redireccionaba al usuario a la página web ***URL.6.

b).- Sobre el consentimiento a la instalación de cookies en el equipo terminal:

Se comprobó que, si el usuario no prestaba el consentimiento en panel de control de
cookies para que las webs utilizaran cookies que no fueran de naturaleza técnica, a
través de la opción “rechazar todas”, e iniciaba la navegación por cualquiera de ellas,
éstas empezaban a utilizar, dos cookies de terceros, “__uvt” y “__upt”, cuyo dominio
pertenece a “.magsrv.com”.

El dominio “magsrv.com” está clasificado en internet como distribuidor de “adware”,
que es un software que muestra anuncios no deseados en el dispositivo del usuario,
que puede interrumpir la experiencia del usuario, ralentizar los sistemas y
comprometer la privacidad al recopilar datos para publicidad dirigida.

Se pudo detectar que la misión de la cookie “__uvt”, era la de realizar operaciones
estadísticas sobre preferencias de los usuarios para ofrecer publicidad dirigida, pero
respecto de la cookie “__upt”, su misión no pudo ser identificada. Tampoco existía
información sobre ella en la “Política de Cookies” de las páginas web investigadas.

c).- Sobre el banner de información de cookies existente en la primera capa y en la
“Política de Cookies”:

También se indica que las finalidades para las que se utilizarán las cookies, era “para
fines analíticos y mostrar contenido personalizado en base a un perfil elaborado a
partir de los hábitos de navegación (…)”, No obstante, se pudo comprobar que, de las
dos cookies de terceros instaladas cuando se iniciaba la navegación web (“__uvt” y
“_upt”), no existía ningún tipo de información sobre las mismas en la “Política de
Cookies”.

d).- Sobre la posibilidad de retirar el consentimiento una vez prestado.

Se comprobó que, si el usuario había prestado su consentimiento para el uso de
cookies que no fueran de naturaleza técnicas a través de la opción existente en el
banner de información inicial o a través de consentimiento prestado en el panel de
control y deseaba modificarlo después, sí existía la posibilidad de acceder nuevamente
al panel de control a través del enlace existente en la “Política de Cookies” de las
webs.

No obstante, si el deseo del usuario era ahora rechazar todas las cookies cliqueando
en la opción <<Rechazar todas>> o moviendo los cursores de los grupos de cookies a
la posición “OFF” y cliqueando en <<Confirmar mis preferencias>> , del panel de
control, se comprobaba como las webs seguían utilizando las cookies de terceros
instaladas. Esto es, no eliminaba las cookies en cuestión, por lo que esta herramienta,
presente en las webs, no era operativa.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/31

TERCERO: Con fecha 29/12/23, D. A.A.A. presenta escrito de reclamación ante la
Agencia Española de Protección de Datos.

La reclamación se dirigía contra la entidad TECHPUMP SOLUTIONS S.L. con CIF.:
B33950338, titular de las páginas webs citadas anteriormente, por la presunta
vulneración de LSSI y en su escrito manifestaba que tras haberse indicado que se
había instalado un sistema de verificación de edad para las páginas porno indicadas,
había entrado en algunas de ellas para ver como estaban configuradas, puesto que
había pasado casi dos años desde el inicio del procedimiento que dio lugar al anterior
expediente sancionador (PS/00555/2021), abierto en esta Agencia, comprobando que
se seguía incumpliendo lo establecido en la norma sobre política de cookies.

CUARTO: Con fecha 28/02/24, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la entidad TECHPUMP SOLUTIONS
S.L. con CIF.: B33950338, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (LPACAP), por la presunta vulneración del artículo 22.2 de
la LSSI, respecto a la “Política de Cookies” de las páginas webs de su titularidad.

En el acuerdo de apertura se determinó que las posibles vulneraciones de lo
establecido en el artículo 22.2 de la LSSI eran como consecuencia de la utilización de
cookies de terceros sin el consentimiento previo de usuario y la imposibilidad de
rechazarlas; la falta de información en la “Política de Cookies” sobre la finalidad de
estas cookies y la imposibilidad de retirar el consentimiento si éste era prestado
previamente.

En el acuerdo de apertura se determinó que la sanción que pudiera corresponder,
atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo
que resultase de la instrucción, ascendería a 30.000 euros por las deficiencias
detectadas en la “Política de Cookies” de la página web ***URL.2, 30.000 euros por las
deficiencias detectadas en la “Política de Cookies” de la página web ***URL.1 y 30.000
euros por las deficiencias detectadas en la “Política de Cookies” de la página web
***URL.4

QUINTO: Notificado el acuerdo de inicio conforme a las normas establecidas en la
LPACAP, la parte reclamada presentó escrito de alegaciones el 25/03/24, basándose
en los siguientes argumentos:

- La vulneración del principio “non bis in idem”, defendiendo que los hechos que
son tratados en presente expediente (PS/524/2023), tienen identidad subjetiva,
fáctica y causal, con los que ya se analizaron en el expediente PS/555/2021.

- La prejudicialidad contencioso-administrativa al existir de una cuestión
prejudicial, con la circunstancia añadida de que sin haber sido contestadas
procesalmente las mismas se abre este nuevo expediente sancionador, con
idénticos caracteres y sobre la misma materia que los anteriores.

- Que, ante el mencionado procedimiento contencioso administrativo, así como
en relación con el expediente PS/00523/2023, se presentó el documento de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/31

revisión de las cookies de Techpump, auditoría externa de medidas
implementadas en las webs de contenidos para adultos de la compañía (N
REF. 21B 7), donde todas aquellas cuestiones indicadas han sido solucionadas
y subsanadas.

- La desproporción en relación a los expedientes iniciados por la AEPD respecto
de otras empresas competidoras en contenidos para adultos.

SEXTO: Con fecha 26/03/24 se recibe en esta Agencia un nuevo escrito de
alegaciones en el que se manifiesta lo siguiente:

Que como complemento al escrito presentado esta mañana se adiciona el
presente elaborado por el departamento técnico de la empresa acerca de los
motivos por los que se ha iniciado este expediente a la vista del siguiente:
Resumen cookies __uvt y __upt

1. Cookies Involucradas: La empresa ExoClick gestiona dos cookies
específicas, denominadas __uvt y __upt.

2. Estado en Diciembre: Durante diciembre, cuando la agencia de protección
de datos evaluó las cookies, no existían medidas implementadas para bloquear
estas cookies específicas ya que ExoClick no tenía opción de bloquearlas.

3. Solución en Febrero: En febrero, ExoClick presentó una solución que
permite bloquear las cookies __uvt y __upt cuando los usuarios eligen bloquear
todas las cookies en el sitio.

4. Implementación Parcial: Esta solución se ha implementado solamente en
dos sitios web, XXXXXXX y XXXXXXX. Aún falta su implementación en
XXXXXXXX.

5. Impacto del Bloqueo de Cookies: Al bloquear estas cookies, se observa que
no aparece publicidad alguna en los sitios web.

6. Solución Pendiente de ExoClick: ExoClick todavía necesita desarrollar una
solución que permita mostrar publicidad en los sitios web incluso cuando estas
cookies estén bloqueadas.

A tener en cuenta: Para abordar este problema, ExoClick introdujo en febrero
una solución que permite a los usuarios bloquear estas cookies. Sin embargo,
esta solución se ha implementado de manera limitada, estando activa solo en
dos de sus principales sitios web, XXXXXXX y XXXXXX, mientras que sitios
como XXXXXXX aún están pendientes de implementación.

Es importante destacar que el bloqueo de estas cookies tiene un impacto
significativo en la visualización de publicidad en los sitios web. Cuando un
usuario opta por bloquear las cookies __uvt y __upt, no se muestra ningún tipo
de publicidad. Esta situación plantea un desafío para ExoClick, que aún debe
encontrar una manera de mostrar publicidad sin el uso de estas cookies. Por
todo lo expuesto, SOLICITO que tenga por cumplimentado en tiempo y forma
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/31

legal el requerimiento efectuado en el Expediente 00524/2023, procediéndose,
al archivo sin más trámite de las presentes actuaciones.
SÉPTIMO: Con fecha 22/05/24 se formuló propuesta de resolución en el sentido de
que por la Directora de la AEPD se sancionase a la parte reclamada, por la
vulneración del artículo 22.2 de la LSSI, respecto a la “Política de Cookies” de las
páginas webs en cuestión, con 30.000 euros (treinta mil euros) por las deficiencias
detectadas en la “Política de Cookies” de la página web ***URL.2, 30.000 euros
(treinta mil euros) por las deficiencias detectadas en la “Política de Cookies” de la
página web ***URL.1 y 30.000 euros (treinta mil euros) por las deficiencias detectas
en la “Política de Cookies” de la página web ***URL.4.

La propuesta de resolución se realizó conforme a las deficiencias detectadas en la
“Política de Cookies”, de las webs en cuestión y que eran, en esencia, las siguientes:

- Aunque el usuario no prestara el consentimiento para utilizar cookies que no
fueran de naturaleza técnica, e iniciaba la navegación por cualquiera de las
páginas web indicadas, éstas empezaban a utilizar dos cookies de terceros:
“__uvt” y “__upt”, cuyo dominio pertenece a “.magsrv.com”, pudiéndose
comprobar que, la cookie “__uvt”, era utilizada para realizar operaciones
estadísticas sobre preferencias de los usuarios y mostrar publicidad dirigida y
respecto de la cookie “__upt”, su misión no pudo ser identificada. Tampoco
existía información sobre las mismas en la “Política de Cookies” de las webs.

- Que, sobre la posibilidad de modificar el consentimiento, aunque existiera la
posibilidad de acceder nuevamente al panel de control a través del enlace
existente en la “Política de Cookies” de las webs y se retirase el consentimiento
prestado, las webs seguían utilizando las cookies de terceros instaladas. Esto
es, las cookies instaladas no eran eliminadas, por lo que esta herramienta,
presente en las webs, no era operativa.

OCTAVO: Con fecha 13/06/24, la entidad TECHPUMP presenta escrito de alegaciones
a la propuesta de resolución donde manifiesta lo siguiente:

Nota: Solamente se trascribe el apartado C) y D) del escrito de alegaciones, pues
corresponde a las alegaciones presentas respecto a los acontecimientos que se están
tratando en el presente expediente, el PS/00524/2023, omitiendo las alegaciones
presentadas en los apartados A) y B) por economía procesal, al hacer referencia a los
acontecimientos tratados en los expedientes PS/00555/2021 y PS/00523/2023
respectivamente y que serán resueltas, en su caso, en el seno de dichos expedientes:

“CUESTIÓN PREVIA: Esta representación lleva a cabo una alegación conjunta
con relación a los diversos procedimientos sancionadores abiertos por la
AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS a TECHPUMP como
consecuencia de la existencia de diversos expedientes sancionadores
relacionados con la normativa vigente de protección de datos personales.

Mediante el presente escrito de alegaciones al mismo tiempo se procede a
cumplimentar el requerimiento efectuado en el Procedimiento PS524/2023, en
tiempo y forma legal, derivado de la Propuesta de Resolución del meritado
Procedimiento Sancionador de fecha 22 de mayo de 2024.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/31

Este escrito de alegaciones mantiene referencias que reproduce de
contestaciones anteriores e incluye actualizaciones y alegaciones nuevas en
relación a los mismos. También contiene referencias (REF) que ayudan con las
trazabilidades de los documentos de acuerdo con el sistema interno utilizado
de mejora continua en protección de datos de carácter personal.

Asimismo siempre que se mencione a Techpump nos referimos a Techpump
Solutions, S.L. Y al referirnos a páginas web de Techpump nos referiremos en
la mayoría de las ocasiones a las páginas con contenidos exclusivos para
adultos, lo que no quiere decir que Techpump tenga otras páginas web, y como
ejemplo www.padresprotegen.com que es una web educativa para padres y
tutores precisamente para proteger a menores.

A). CON RELACIÓN AL PS 55/2021: (…)

B). PROCEDIMIENTO PS 523/2023: (…)

C) EXPEDIENTE 524/2023

Finalmente, a mi representada se le incoó el Procedimiento PS524/2023,
efectuándose al respecto las siguientes alegaciones.

PRIMERA. VULNERACIÓN DEL PRINCIPIO NON BIS IN IDEM.

En primer término, esta parte alegó nuevamente la vulneración del principio
non bis in idem, ya que los hechos que son enjuiciados en el expediente
00555/2021, tienen como más adelante se verá una identidad subjetiva, fáctica
y causal, con los analizados en el presente expediente 524/2023, no existiendo
diferencia alguna entre ambos procedimientos administrativos sancionadores.
Pero es que además hay otro expediente sancionador que fue incoado y con
referencia 523/2023 al que se dio respuesta, incluso se presentaron escritos de
complemento en cuanto a las distintas medidas que se adoptaron tanto a la
presentación del escrito como con posterioridad.

Entendíamos con todo ello que la AEPD estaba incoando distintos expedientes,
además muy reiterativos en el tiempo, y que versan sobre las mismas materias
y además que ya han sido resueltas. Todo ello sin dar respuesta a los escritos
que venía presentando TECHPUMP SOLUTIONS S.L. y donde se demuestra
una absoluta y sincera voluntad de colaboración por parte de esta mercantil,
con la Agencia, generando con ello una clara indefensión.

A mayor abundamiento, todo ello cuando a través de medios de comunicación
TECHPUMP SOLUTIONS S.L. mostró una absoluta voluntad de colaborar con
la AEPD, y cuando incluso se ha interesado una reunión, la cual ha sido
denegada por parte de esta autoridad de manera incomprensible, dado que el
objeto era abordar esta cuestión de importancia social de la manera más
constructiva posible, más que incluso los procedimientos sancionadores
incoados, los cuales en la práctica no van a solucionar los problemas, a los que
mi representada está poniendo todo el empeño de dar una solución
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/31

constructiva, y asumidas tanto por el regulador en cuestión, como por mi propia
representada.

En cuanto a la calificación y aplicación del concepto del “non bis idem” al
presente expediente, dimos por reproducido todo lo ya se había indicado en la
contestación a la incoación del expediente PS 253/2023 en cuanto al alcance
de las identidades subjetiva, fáctica y casual del principio invocado, así como la
base jurídica de la legalidad y tipicidad y la proporcionalidad.

Con todo ello, la sanción que se pretende en este nuevo procedimiento trae la
misma causa legal que las anteriores, y por ello se está sancionando ya tres
veces a mi representada por unos mismos hechos, lesionando con ello los
derechos que deben proteger a la misma, frente a actuaciones irregulares y/o
excesivas frente a la propia Administración, tal como ocurre en el presente
caso, máxime teniendo en consideración que las actuaciones seguidas sobre
la base del expediente 00555/2021 se encontraban expresamente impugnadas
ante la Sección 1ª de la Sala de lo Contencioso Administrativo de la Audiencia
Nacional, y consiguientemente con ello, no tenían en el momento presente el
carácter de firme, habiéndose además presentado demanda que fue admitida
mediante diligencia de ordenación de fecha 13 de febrero de 2024, la cual se
sustancia en el Procedimiento Ordinario número 1794/2022, tal como ha
quedado indicado, ante la Sección Primera de la Sala de lo Contencioso
Administrativo de la Audiencia Nacional, y con las novedades conocidas por las
partes incluyendo el pronunciamiento realizado por la Abogacía del Estado.

Con ello se pone de manifiesto nuevamente la quiebra producida en este
expediente del citado principio non bis in idem, con la consiguiente vulneración
del artículo 25 de la Constitución Española, donde se reconoce expresamente
el principio de legalidad en la actuación de la Administración.

En este sentido se ha vulnerado la doctrina del Tribunal Europeo de Derechos
Humanos, v.gr. en la Sentencia 15963/90, de 23 de octubre de 1995, Caso
Gradinger v. Austria [ECLI: CE: ECHR:1995:1023JUD001596390], donde el
TEDH, considera que la multa impuesta por la autoridad administrativa
después de una condena por unos mismos hechos constituye una auténtica
pena, lo que vulnera el principio non bis in ídem. Ha existido vulneración del
artículo 4 del Protocolo 7 del Convenio Europeo de Derechos Humanos.
Asimismo, debe tenerse presente la Sentencia 38237/1997, de 6 de junio de
2002, Caso Sailer v. Austria [ECLI: CE: ECHR:2002:0606JUD003823797], en
la que por parte del TEDH se considera que el artículo 4 del Protocolo nº7 del
Convenio Europeo de Derechos Humanos debe ser entendido en el sentido de
que a través del mismo se prohíbe el inicio de un proceso o el enjuiciamiento
de una segunda infracción, en tanto derive de hechos idénticos o
sustancialmente iguales. Este precepto contiene una garantía contra un
enjuiciamiento en un nuevo procedimiento, tal como de manera indebida está
ocurriendo en el presente caso.

En el plano interno, sirva de referencia entre otras muchas Sentencias del
Tribunal Constitucional Español, la STC 177/1999, de 11 de octubre, Recurso
de amparo 3657-94. Promovido frente a las Sentencias de la Audiencia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/31

Provincial y del Juzgado de lo Penal núm. 22 de Barcelona que condenaron al
recurrente como autor de un delito contra el medio ambiente. Vulneración del
derecho a la legalidad penal. Dicho Alto Tribunal, expresa al efecto la doctrina
acerca del principio non bis in idem, indicando que atendiendo a lo expuesto,
es de advertir que no nos hallamos en la hipótesis de que los Tribunales del
orden jurisdiccional penal aprecien diversidad de conductas o de hechos, o
bien que no sean idénticos el fundamento o bien jurídico protegido tutelado por
la norma administrativa y el preservado por el tipo penal aplicable y, ante tal
ausencia de identidad, entiendan inaplicable la prohibición del bis in idem o
dualidad de reproche punitivo, sino ante un caso que presenta la peculiaridad
de que los órganos judiciales parten, como premisa inicial, de que concurren
los mencionados elementos identificadores del principio que se alega como
vulnerado, es decir, la triple identidad de sujeto, hecho y fundamento, y ello no
obstante, no concluyen en un pronunciamiento absolutorio por la sola y única
razón, explicitada en las Sentencias condenatorias, de la regla o criterio de
prevalencia de la jurisdicción penal sobre la potestad administrativa
sancionadora, entendiendo que ésta, por su rango subordinado, debe ceder en
su ejercicio o manifestación ante el ius puniendi de aquélla, lo que conduce a la
incriminación penal y consiguiente Sentencia condenatoria al estimar que la
conducta del inculpado es constitutiva de delito, y ello pese a que la misma
conducta haya sido anteriormente sancionada por la Administración.

Puede, por ello, afirmarse que las Sentencias impugnadas constatan la
vulneración material del non bis in idem, pero entienden ineludible la ulterior
imposición de pena en aplicación de la indicada regla de prevalencia.

El principio de non bis in idem se configura como un derecho fundamental del
ciudadano frente a la decisión de un poder público de castigarlo por unos
hechos que ya fueron objeto de sanción, como consecuencia del anterior
ejercicio del ius puniendi del Estado. Se orienta, esencialmente, no tan sólo a
impedir el proscrito resultado de la doble incriminación y castigo por unos
mismos hechos, sino también a evitar que recaigan eventuales
pronunciamientos de signo contradictorio, en caso de permitir la prosecución
paralela o simultánea de dos procedimientos --penal y administrativo
sancionador-- atribuidos a autoridades de diverso orden. A impedir tales
resultados se encamina la atribución prioritaria a los órganos jurisdiccionales
penales del enjuiciamiento de hechos que aparezcan, prima facie, como delitos
o faltas.

Hemos de concluir que, irrogada una sanción, sea ésta de índole penal o
administrativa, no cabe, sin vulnerar el mencionado derecho fundamental,
superponer o adicionar otra distinta, siempre que concurran las tan repetidas
identidades de sujeto, hechos y fundamento. Es este núcleo esencial el que ha
de ser respetado en el ámbito de la potestad punitiva genéricamente
considerada, para evitar que una única conducta reciba un doble reproche.

Todo ello lleva a la conclusión, de que tal como ocurre en el presente caso, se
está produciendo en el orden administrativo sancionador, que presenta y
reviste los mismos caracteres que la propia jurisdicción de carácter penal, a la
imposición de una doble sanción por hechos análogos a los ya sancionados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/31

anteriormente, existiendo entre ambos procedimientos las correspondientes
identidades subjetiva, fáctica y casual, lo que determina, precisamente, la
aplicación del principio “non bis in idem” ahora invocado, así como la misma
base jurídica relativa a la legalidad, a la tipicidad y a exigencia de la
proporcionalidad, que debe existir en el uso de las facultades administrativas
sancionadoras.

SEGUNDA. PREJUDICIALIDAD CONTENCIOSOADMINISTRATIVA.

A los efectos de evitar reiteraciones argumentativas, es procedente dar por
reproducidas las manifestaciones realizadas en el expediente 523/2023, a las
cuales es procedente remitirse a los efectos de tener en consideración la
existencia de una cuestión prejudicial de índole contencioso-administrativa, con
idénticos caracteres y sobre la misma materia que los anteriores.

TERCERA. DE MANERA SUBSIDIARIA A LOS ANTERIORES APARTADOS Y
EN RELACIÓN CON LAS CONSIDERACIONES REALIZADAS POR EL AEPD.

Ha de indicarse que, ante el mencionado procedimiento ante la Sala de lo
Contencioso Administrativo, así como en relación con el anterior expediente
523/2023, se presentó el DOCUMENTO DE REVISIÓN DE LAS COOKIES DE
TECHPUMP. AUDITORÍA EXTERNA DE MEDIDAS IMPLEMENTADAS EN
LAS WEBS DE CONTENIDOS PARA ADULTOS DE LA COMPAÑÍA (N REF.
21B 7) del que por economía procesal no se acompañan las documentales ya
que han sido aportadas en los mencionados procedimientos, a los que procede
remitirse a los efectos de fundamentar el presente escrito de alegaciones,
como el típico caso de fundamentación por remisión, a los efectos de la
motivación de las presentes alegaciones.

Entendemos que todas aquellas cuestiones indicadas por el regulador han sido
abiertamente solucionadas y subsanadas por parte de mi representada, y,
consecuentemente con ello, por lo tanto no procede la incoación de un nuevo
expediente sancionador, sin perjuicio de que en este nuevo procedimiento se
realizó una inspección. Concluimos que esta cookie efectivamente fue
colocada temporalmente por un error técnico por parte del proveedor
publicitario Exoclick sin estar activa en el momento que se realizó la auditoría
externa (enero de 2024), y sin estarlo en la actualidad. Por ello se trató
únicamente de un error temporal dentro de un proceso técnico.

A estos efectos se le interesó al proveedor publicitario que emitiese informe el
cual estamos pendiente de recibir, y en la actualidad la publicidad en caso de
consentir cookies se gestiona con independencia de las cookies, lo que supone
un total cumplimiento por parte de mi presentada.

Y no solo eso, sino que además las páginas web de Techpump Solutions S.L.
relacionadas con contenidos para adultos, como es el caso de las que se han
abierto expediente está en un proceso claro de mitigación de errores en la ya
mencionada transición a sitios de pago, así como al posible establecimiento de
un sistema de pago también en caso de no aceptarse las cookies, lo que
supondría una identificación del usuario de las webs, con lo que ello conlleva
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/31

en materia de privacidad del adulto pero también estableciendo un mejor
sistema de control en evitación del acceso de menores, que como ya hemos
indicado y demostrado documentalmente no tenemos indicios de que se haya
producido en las webs para adultos de Techpump Solutions, S.L. Ni por las
estadísticas de accesos ya mencionadas, ni por reclamación alguna a través
del DPO o de los sistemas de compliance. Se acompañó un DOCUMENTO DE
REVISIÓN DE LAS COOKIES llevado a cabo por parte de TECHPUMP
SOLUTIONS, S.L. que constituía una AUDITORÍA EXTERNA DE MEDIDAS
IMPLEMENTADAS EN LAS WEBS DE CONTENIDOS PARA ADULTOS DE LA
COMPAÑÍA, de fecha 24 de enero de 2024. (N REF. 21 B 7).

Además de lo anterior, y por su íntima relación, y habiendo sido aportado
también en los expedientes sancionadores anteriores, se realizó una completa
revisión del procedimiento de onboarding para la protección de los menores
colocando a TECHPUMP SOLUTIONS S.L. con toda seguridad como el sitio
actualmente más seguro en el ámbito de su sector de actuación, es decir, en
este aspecto que se conoce y dentro de páginas de contenidos para adultos en
abierto. Se acompañó como DOCUMENTO NUMERO 2º, DOCUMENTO DE
REVISIÓN DEL PROCESO DE ONBOARDING DE TECHPUMP Y
MECANISMO PARA EVITAR EL ACCESO DE MENORES. AUDITORÍA
EXTERNA DE MEDIDAS IMPLEMENTADAS EN LAS WEBS DE
CONTENIDOS PARA ADULTOS DE LA COMPAÑÍA. (N REF. 21 F 1 4).

Pero, es que desde entonces además se ha implementado un nuevo
procedimiento de Compliance (N REF. 21 C 0) denominado POLÍTICA DE
PROTECCIÓN DE LA INFANCIA Y LA ADOLESCENCIA DE TECHPUMP y que
se acompañó como DOCUMENTO NUMERO. No cabe duda de la intención de
TECHPUMP SOLUTIONS S.L. que coloca en un plano de absoluta prioridad.

CUARTA. DESPROPORCIÓN EN RELACIÓN CON LOS EXPEDIENTES
INICIADOS POR LA AEPD RESPECTO DE OTRAS EMPRESAS
COMPETIDORAS EN CONTENIDOS PARA ADULTOS.

Debemos por último indicar, y como continuación a todo lo ya manifestado en
las anteriores alegaciones, así como en los anteriores presentados en los
expedientes administrativos sancionadores presentados contra mi
representada, y todos los cambios que se vienen realizando dentro de esta
más que demostrable voluntad de colaborar, que se percibe por parte de la
misma, lleva consigo una más que evidente desproporción en cuanto al trato
que esta empresas competidoras están recibiendo de la Agencia Española de
Protección de Datos, cuyas páginas webs están recibiendo muchísimo más
tráfico incluso que las de TECHPUMP SOLUTIONS S.L.

Dichos sitios web a los que en ningún momento se le ha restringido el acceso a
tráfico en España, pudiendo hacerlo si es que tanto preocupa, y que tienen
muchísimas menos garantías que las que tienen las de TECHPUMP
SOLUTIONS S.L., y al mismo tiempo, presentan circunstancias que pueden
poner en riesgo el tratamiento de sus datos con relación a los menores y/o
terceros, por no afirmar, que, en muchos casos, se encuentran carentes de
cualquier tipo de garantía. En este sentido, véanse los comparables que se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/31

acompañan en las documentales a modo de ejemplo, y por no entrar en
verdaderos disparates en los que se accede libremente y sin restricción alguna
de alguna clase desde España.

Y no solo eso, sino que únicamente el sitio web generado por mi representada
TECHPUMP SOLUTIONS S.L. en 2023 ***URL.7 es un referente en cuanto a
la educación a padres, madres y tutores en la navegación segura, cuando
incluso en instituciones educativas dependientes del Estado y de las
Comunidades Autónomas ha habido denuncias de prácticas educativas muy
inadecuadas y precoces a menores en relación a la formación sexual y no solo
eso, sino que incluso se ha llegado a animar al visionado de pornografía a
menores así como también practica sexuales inadecuadas para menores, lo
que mucho se aleja de todos los esfuerzos que se vienen realizando desde
TECHPUMP SOLUTIOS S.L. y que en este caso es la propia administración la
que las tolera. Con toda esta experiencia es con lo que TECHPUMP
SOLUTIONS S.L. ha realizado acercamientos a esta AEPD para intentar
contribuir en el desarrollo de políticas adecuadas que pasan por la educación,
dada la evolución tecnológica y el conocimiento que tienen los menores y que
hace que los controles no funcionen, además del choque de derechos entre la
libertad del adulto al acceso y la restricción a los menores.

Lamentamos que este intento de acercamiento a la AEPD por parte de
TECHPUMP SOLUTIONS obtenga como respuesta una nueva incoación de
expediente sancionador que entendemos es desproporcionado y fuera de lugar
por todo lo indicado, y que además en el caso que nos ocupa las medidas han
sido ya implementadas.

En todo caso, mi representada duda que otros sitios webs similares hayan
mostrado una voluntad de colaborar tan evidente como lo está llevando a cabo
la misma, con la intensidad, seriedad y compromiso en defensa de los mismos
valores que trata de defender la Agencia Española de Protección de Datos.

D). ALEGACIONES SOBRE EL CONJUNTO DE LOS EXPEDIENTES
INCOADOS A MI REPRESENTADA, INCLUIDAS LAS CORRESPONDIENTES
AL PS 524/2023

De manera conjunta a todos los expedientes incoados por la AGENCIA
ESPAÑOLA DE PROTECCIÓN DE DATOS con relación a mi representada se
efectúan a continuación, las siguientes alegaciones aclaratorias.

PRIMERO. En el caso que nos ocupa, tal y como se desprende del conjunto de
alegaciones llevadas a cabo por mi representada en lo EXPEDIENTES PS
00555/2021, PS00523/2023 PS524/2023, se evidencia ciertamente la
existencia de incumplimientos llevados a cabo por mi representada, que se
reconocen como tales, como se evidencia también que se ha desplegado por
parte de la misma toda la actividad encaminada a corregir de manera eficiente
y eficaz dichas anomalías haciendo desaparecer en la práctica dichas
deficiencias evidenciadas por la AGENCIA ESPAÑOLA DE PROTECCIÓN DE
DATOS.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/31

Esta circunstancia mitigadora desarrollada por mi representada no es más que
el reflejo que por parte de la misma, no se ha dudado en ningún momento en la
necesidad de proteger la privacidad de las personas que se acercan a esta
tipología de páginas webs, y al mismo tiempo, con un carácter fundamental,
proteger los derechos de los menores a los efectos de que los mismos no
tuvieran acceso alguno a dichas páginas webs.

La comunicación pública realizada por parte de mi representada ha tratado de
llevar al ánimo del público en general la necesidad y concienciarse
efectivamente de la necesidad de establecer las oportunas medidas de
protección que garantizan que dichos menores no tenían ni podían tener
acceso a las meritadas páginas webs, habiendo conseguido este propósito.

En este sentido debe recalcarse de una manera pormenorizada en importante
las inversiones realizadas por parte de mi representada en el sentido de tratar
de transmitir de manera holística y global a todo el mundo de la necesidad de
concienciarse acerca de la necesaria protección de los menores. Ello se ha
conseguido mediante la creación de webs específicas, tal como ha quedado
indicado en las alegaciones incorporadas al presente documento, de formación
y concienciación de padres, a los efectos de que por parte de los mismos se
ejerza el debido control con relación a sus hijos menores y dichas páginas
webs.

Del mismo modo, debe ponerse de manifiesto, que por parte de mi
representada se han desarrollado sistemas, en colaboración con las empresas
proveedoras de servicios de internet, a los efectos de tratar de impedir el
acceso no autorizado por parte de dichos menores a las indicadas páginas
webs.

Este esfuerzo de concienciación y de mitigación del hipotético daño que estas
páginas pudieran causar, se ha tratado igualmente de mitigar, no solo
corrigiendo y poniendo coto de una manera activa a todas las irregularidades
puestas de manifiesto en sus actuaciones por la AGENCIA ESPAÑOLA DE
PROTECCIÓN DE DATOS, sino que la posición de mi representada ha ido
más allá, en el sentido de ofrecer, dada la experiencia adquirida su
colaboración legal y sincera tanto a los planes gubernamentales llevados a
cabo al efecto por el GOBIERNO DE ESPAÑA, como por la AGENCIA
ESPAÑOLA DE PROTECCIÓN DE DATOS, con el propósito de colaborar en la
regulación jurídica y tecnológica del sector, a los efectos que la tipología de
estas páginas deje de ser un factor de conflicto con relación a los menores de
edad.

Adicionalmente a todo ello, no puede obviarse que mi representada
TECHPUMP SOLUTIONS S.L. en prueba de su convicción de mitigar este tipo
de riesgos, se ha puesto a la cabeza del sector de este tipo de páginas webs,
tanto a nivel nacional como internacional desarrollando medios técnicos
eficaces y convincentes a los efectos de proteger y preservar los legítimos
derechos de los menores de edad con relación a este tipo de páginas webs.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/31

Estas circunstancias quedan suficiente y principalmente acreditadas en las
alegaciones llevadas a cabo con relación al Expediente PS00555/2021, siendo
igualmente constatable el mismo en lo que atañe al PS523/2023 y al
PS524/2023

SEGUNDO: Por esta representación se solicita expresamente la acumulación
de los procedimientos PS00555/2021, PS00523/2023 y PS524/2023, al versar
los mismos sobre cuestiones idénticas, y en todo caso análogas a las
condiciones técnicas que debían reunir dichas páginas webs, a los efectos de
cumplir los requisitos de privacidad exigidos por la legislación vigente.

La acumulación en el ámbito administrativo se configura como un acto de
trámite que se adopta a modo de incidente dentro de un procedimiento
principal por el órgano que lo ha iniciado o tramitado a los efectos de
acumularlo a otros con los que guarde identidad sustancial o íntima conexión,
siempre que sea el mismo órgano quien deba tramitar y resolver el
procedimiento. Analizaremos a continuación su configuración legal.

Con carácter general dispone el artículo 57 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), bajo la rúbrica de Acumulación que "el órgano
administrativo que inicie o tramite un procedimiento, cualquiera que haya sido
la forma de su iniciación, podrá disponer, de oficio o a instancia de parte, su
acumulación a otros con los que guarde identidad sustancial o íntima conexión,
siempre que sea el mismo órgano quien deba tramitar y resolver el
procedimiento" y que "contra el acuerdo de acumulación no procederá recurso
alguno".

Esta acumulación de expedientes tiene su causa en el presente caso en la
identidad sustancial que se produce entre los diversos expedientes incoados
contra mi representada a los que se ha hecho puntual referencia, poseyendo
entre los mismos una íntima conexión, ya que tal como se ha venido
manifestando Esta decisión se adopta respecto de un procedimiento que forma
un expediente administrativo. Por procedimiento administrativo hay que
entender la sucesión de actuaciones realizadas por la Administración sujetas a
las reglas generales iniciación y tramite previstas en el Título VI de la citada
LPACAP y que finalizan mediante alguna de las formas de las previstas en el
Capítulo V del mencionado Título. Los procedimientos se documentan en lo
expedientes.

La acumulación se puede acordar al tiempo de iniciarse el procedimiento o
bien acordarse sobre procedimientos ya incoados, y puede hacerse de oficio o
a instancia de parte. El artículo 57 LPACAP establece el requisito de que el
órgano que decida la acumulación sea el mismo que deba tramitar y resolver el
procedimiento. En este sentido, la jurisprudencia ya entendía que la decisión
de acumular es discrecional y que el órgano que disponga la acumulación debe
tener competencia para decidir sobre las materias a las que se refieren los
procedimientos acumulados, hablando a tal efecto de "órgano con competencia
más específica" (cf. sentencia del TS de 26 de diciembre de 1989).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/31

En cuanto al contenido de la decisión en sí, como se ha dicho la jurisprudencia
entiende se trata de una decisión discrecional, ahora bien no puede olvidarse
que el artículo 57 LPACAP, exige que entre los procedimientos que se
acumulan deba existir la lógica "íntima conexión" o "identidad sustancial",
conceptos jurídicos indeterminados éstos que deberán integrar la autoridad
que decida acumular, lo que hace posible su impugnabilidad no aislada como
se ha visto- pero sí respecto de la resolución que pone fin al procedimiento; en
este sentido la idea de discrecionalidad debe matizarse y no identificarse con la
irrecurribilidad de la decisión de acumular. Por otra parte, no es preciso oír a
los interesados, de ahí que la jurisprudencia entienda que no concurre vicio de
indefensión.

Como se deduce de lo expuesto, el efecto que produce la acumulación es la de
resolver en un solo procedimiento y en una sola resolución todas las
cuestiones planteadas, que es básicamente lo que se solicita en el presente
escrito.

TERCERO. Esta representación tal como se deduce de las alegaciones, y de
la prueba documental aportada en los apartados A), B), y C) del presente
escrito de alegaciones pone de manifiesto ante la AGENCIA ESPAÑOLA DE
PROTECCION DE DATOS la procedencia de que se consideren los factores
de mitigación de la responsabilidad administrativa a imponer a mi
representada.

Ello debe dar comienzo por la aludida acumulación de expedientes
sancionadores, a los efectos de no reiterar una misma sanción por los mismos
hechos, o por hechos que sean consecuencia de los anteriores.

Seguidamente, esta representación pone de manifiesto la necesidad de
ponderar las circunstancias expresamente previstas en el número 2º del
artículo 83 del Reglamento 2016/679 General de Protección de Datos de la UE,
a los efectos de cuantificar de forma adecuada las multas que se impongan
como consecuencia de presuntas infracciones administrativas.

En este sentido, debe traerse a colación la intencionalidad o negligencia en la
infracción, donde con relación a la misma, debe ponerse de manifiesto que la
situación por la que se sancionó o se propuso la sanción a mi representada era
la común existente en el mercado, tanto desde una perspectiva nacional como
internacional, donde debe destacarse, tal como se ha puesto de manifiesto el
nivel de reacción de mi representada en la implementación de medidas
mitigadoras que sean verdaderamente eficaces, tal como ha ocurrido de
manera efectiva, garantizando los derechos la libertades de los titulares de los
datos comprometidos, e impidiendo el acceso de los menores a dichas páginas
webs.

Con relación al artículo 83.2.c., debe tenerse presente cualquier medida
tomada por el responsable o encargado del tratamiento para paliar los daños y
perjuicios sufridos por los interesados.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/31

En este caso, el conjunto de medidas a las que se ha hecho referencia en este
escrito de alegaciones representa la adopción real y efectiva de dichas
medidas, paliar los daños y perjuicios que se puedan producir al efecto, con la
finalidad de que estos sean inexistentes al funciona adecuadamente los
controles llevados a cabo voluntariamente por mi representada.

Es importante resaltar al mismo tiempo, la capacidad de reacción de mi
representada para paliar o evitar la producción de lesiones en los derechos de
los usuarios, procediendo a corregir de una manera activa e inmediata las
irregularidades que se han ido detectando al efecto.

Del mismo modo, debe resaltarse el grado de cooperación de mi representada
con la autoridad de control con el fin de poner remedio a la infracción y mitigar
los posibles efectos adversos de la infracción, tal como se evidencia con las
medidas adoptadas tal y como se constatan de los diversos escritos de
alegaciones incorporados al presente documento.

Asimismo, es importante poner de relieve, tal como se ha venido haciendo, la
posición que ha asumido mi representado, que no ha dudado públicamente a
través de diversos medios de comunicación de asumir sin dudas ni ambages,
las posiciones gubernamentales y/o de la Agencia Española de Protección de
Datos, tratando de concienciar y educar a los usuarios a los efectos de
respetar en primer término, sus derechos y libertades en el ámbito de la
privacidad, pero también en reforzar las medidas de educación, y el
consiguiente control que las mismas llevan consigo, a los efectos de garantizar
en todo momento el derecho de los menores de edad, como principal
preocupación de mi representada, tal y como ha venido manifestando
públicamente, debiéndose valorar dicho posicionamiento y actitud como una
más que importante atenuante cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso, como los beneficios financieros
obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la
infracción.

La implementación expresa de una página web dirigida a los padres, con la
inversión que ello ha llevado consigo debe interpretarse como una muestra de
lealtad institucional por parte de mi representada, al igual que el hecho de
haber implementado medios que han supuesto un recorte más que evidente de
sus ingresos, a los efectos de garantizar los derechos de los usuarios y sobre
todo, teniendo en consideración las medidas de carácter técnico y
organizativas a los efectos de preservar el acceso de los menores.

Consecuentemente con ello, debe traerse a colación la implementación de
importantes medios económicos por parte de mi representada a los efectos de
alinearse en la misma posición indicada, en este caso, por la AGENCIA
ESPAÑOLA DE PROTECCIÓN DE DATOS. Con ello ahora mismo TECHPUMP
SOLUTIONS, S.L. no solo tiene estás páginas webs para adultos contra las
que se han incoado estos recurrentes expedientes sancionadores, sino que
también una web educativa como no existe otra que se conozca y que ya se ha
demostrado que está sirviendo una ayuda efectiva para padres y tutores los

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/31

cuales pueden incluso dirigirse a mi representada en caso de plantearse
cuestiones de índole técnico.

CUARTO. Al hilo de lo expuesto en el apartado anterior, debe tenerse presente
de manera adicional, pero sistemática las acciones emprendidas por mi
representada a los efectos de mitigar de manera responsable y plenamente
colaboradora con la AGENCIA ESPAÑOLA DE PROTECCION DE DATOS
determinadas medidas que han garantizado los derechos de los titulares de los
datos, y especialmente, como se viene señalando con una cierta reiteración, la
protección específica de los menores de edad.

Entre dichas medidas a las que debe hacerse una especial referencia,
destacan por su importancia las que se citan seguidamente, y que son las que
se exponen a continuación: 1). La generación de un procedimiento de
Compliance en relación a menores. “POLÍTICA DE PROTECCIÓN DE LA
INFANCIA Y LA ADOLESCENCIA DE TECHPUMP” ya aportado a la AEPD y
designación de un Compliance Office externo. 2). La generación, tal como se
ha hecho reiterada referencia en el presente escrito de alegaciones del sitio
web www.padresprotegen.com por TECHPUMP SOLUTIONS S.L. para que a
través del mismos tanto los padres, como los tutores puedan gestionar y limitar
el acceso y la seguridad de los menores. Una iniciativa única por parte de un
proveedor y dentro de estándares realistas utilizando como base la educación.
3). La realización de las oportunas comunicaciones con la AEPD con el
propósito de colaborar tanto con la Agencia como con otras administraciones y
con el Gobierno de España en este ámbito de actividad, a los efectos de
aportar soluciones eficaces y eficientes, sobre la base de la experiencia
adquirida por mi representada, como conocedora de este sector concreto de
actividad, que puedan ayudar y aportar a esta Agencia con ideas y datos que
pueden ser importantes ante la urgencia declarada de la situación. A mayor
abundamiento cuando TECHPUMP SOLUTIONS S.L. es seguramente quien
mejor cumple en el sector y cuando su cuota de mercado es ínfima en relación
a operadores extranjeros en España. Todo ello documentado exhaustivamente
en los escritos presentados. Dicha ayuda se ofrece de manera voluntaria y con
toda generosidad a la Agencia a la que tengo el honor de dirigirme, y se
interesa nuevamente su aportación, ya que la misma puede resultar siendo
muy constructiva. 4). La contratación de un equipo jurídico externo para
solventar las incidencias: Techpump ha contratado especialistas externos con
el fin no de ocultar la problemática sino que de afrontarla con soluciones y
planteamientos basados en la ética, lo que ha supuesto un cambio importante
en particular en procesos de onboarding y en educación. 5). Tal como se ha
expuesto también reiterativamente, mi representada ha lanzado diversas
Campañas divulgativas en prensa del sitio web www.padresprotegen.org y de
la voluntad de colaborar con la AEPD y con el Gobierno de España. Con ello
TECHPUMP SOLUTIONS S.L. ha reconocido públicamente en todo momento
su ánimo de aportar y de enmendar en definitiva incumplimientos. 6). La
implementación y revisión continua de un proceso de onboarding más
completo de páginas para adultos no cerradas existente en España en
protección del menor y respetando el acceso de adultos de acuerdo con los
procesos de minimización de los datos y el “equilibrio” exigente: Incluyendo
fecha de nacimiento, acceso a sitios web educacionales, fondos oscuros hasta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/31

la aceptación de cookies, cookies de sesión, entre otras medidas técnicas y
organizativas implementadas a tal efecto. 7). La realización de un Proyecto de
migración a páginas de pago en los próximos meses sin contenidos abiertos y
haciendo necesario registro. Frente a competidores extranjeros y con lo que
supone de pérdida de cuota de mercado. Además Techpump implementará el
sistema de pago para el caso de no aceptación de las cookies, lo que supone
un control más de acceso al hacerse necesario el alta del usuario. Todo ello,
obviando el coste económico que para mí representada supone la adopción de
dichas medidas técnicas. 8). La configuración de un proceso de contacto con
operadoras de telefonía móvil para restringir el acceso a abonados menores de
edad. En este sentido, TECHPUMP SOLUTIONS S.L. Se está estudiando la
implementación de un control de acceso en relación a la edad de los titulares
de los terminales móviles restringiendo el acceso en caso de que el titular sea
un menor. Para esto se ha procurado por parte de mi representada el contacto
y la implicación de la propia AEPD, si bien se está ya comenzando la gestión
con las operadoras. En este sentido TECHPUMP SOLUTIONS S.L. también
apoyaría iniciativas que por ahora no han sido abordadas por la AEPD, hasta
donde se tiene conocimiento, pero que están encaminadas a la prohibición de
terminales de teléfono smartphones a menores de 14 años, como ya indican
docentes que se hace necesario en pro de la protección de los menores y por
la problemática que el uso temprano de estas tecnologías supone en el
desarrollo y en la relación con los demás. TECHPUMP SOLUTIONS S.L.
cuenta ya con estudios internos en este sentido. 9). La contratación y
vinculación del Compliance con el RTA (Restricted to Adults)
https://www.rtalabel.org/ siguiendo los estándares internacionales de la
Association of Sites Advocating Child Protection (ASACP). Como colofón de
todo ello, debe resaltarse el hecho de que TECHPUMP SOLUTIONS S.L. ha
demostrado y demuestra cada día de manera palpable y evidente su absoluto
compromiso con esta AEPD y demás organismos estatales, encaminado a
apoyar de manera decidida las políticas y compromisos públicos de la Agencia
Española de Protección de Datos protegiendo con ello a aquellas medidas que
sean necesarias para garantizar los derechos de los usuarios.

Se ha pretendido con ello una protección con independencia de cualquier
planteamiento ideológico o político, sino que en defensa de la sociedad sin
dejar de lado recomendaciones de ningún tipo encaminadas a una mayor
protección en particular de los menores. Finalmente debe valorarse el hecho
de esta colaboración leal, comprometida y sincera en este ámbito de actividad,
lejos de la imagen que por terceros se ha querido proyectar de algunas
empresas en este ámbito o sector, ya que operadores como TECHPUMP solo
pretenden dentro de su negocio hacer las cosas lo mejor posible y colaborar en
la educación.

QUINTO. Consecuentemente con ello, por esta representación se solicita
expresamente que se acumulen dichos procesos sancionadores, en primer
término, y que en todo caso, se moderen las sanciones impuestas a mi
representada, en función de la actividad de cumplimiento y de ortodoxia
pretendida, que no solamente es ejemplar, sino que constituye un referente
para todo el sector de actividad de estas páginas webs, en el sentido de la
voluntad más que patente y evidente de adecuación a la normativa vigente en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/31

materia de protección de datos y privacidad, garantizando los derechos de los
usuarios y de los menores. Por todo lo expuesto,

SOLICITO DE LA AGENCIA DE PROTECCIÓN DE DATOS, que tenga por
presentado este escrito, y por hechas las alegaciones que en el mismo se
contienen. Y consecuentemente con las mismas: a). Que se tenga por
cumplimentado en tiempo y forma legal, el trámite de alegaciones requerido
correspondiente al procedimiento PS524/2023. b). Que se acumulen los
procedimientos PS00555/2021, PS00523/2023 y PS524/2023 al tener una
íntima conexión entre los mismos, debiéndose tratar en un solo procedimiento
de carácter administrativo. c). Dada la especial situación del procedimiento
PS00555/2021, que se proceda al archivo sin más trámite del mismos. d). Que,
en todo caso, se apliquen las circunstancias mitigadoras de la responsabilidad,
a los efectos de la imposición de la sanción de multa, de acuerdo con las
circunstancias de ponderación de la responsabilidad previstas en el artículo 83
del Reglamento (UE) 2016/679, General de Protección de Datos, a las que se
ha hecho referencia, rebajándose las multas pecuniarias impuestas a mi
representada en los expedientes a los que se ha hecho puntual referencia en el
presente escrito de alegaciones.

NOVENO: Con fecha 04/07/24, la entidad presenta un nuevo escrito de alegaciones
en el cual manifiesta lo siguiente:

Primero.- Que como ya se ha manifestado ante esta AEPD, en caso de
aprobarse el sistema de onboarding publicado en la Nota de Prensa,
TECHPUMP lo adoptará de inmediato, sin perjuicio de las medidas que ya han
sido implementadas, demostrando que no viene establecido hasta la fecha un
procedimiento de onboarding obligatorio para páginas para adultos, tal y como
se hace patente con la propia nota del Ministerio que se acompaña.

Segundo.- Que la publicación de la referida nota de prensa por lo tanto
demuestra que hasta la fecha no existía un sistema de onboarding para
páginas de adultos establecido, y por ello no es admisible que la AEPD
pretenda sancionar a Techpump, cuando tiene un sistema de onboarding, más
garantista que el de sus competidores, y no existía otro de uso obligatorio.

Sin perjuicio de lo anterior, y en caso de no migrar a páginas “de pago” para
cuando resulte de aplicación esta normativa, se aplicará, pese a que se
considera que no es ajustada a derecho. En relación a la legalidad de la
propuesta ministerial, entendemos que emitirá informe la AEPD antes de su
puesta en funcionamiento.

Cuarto.- Que reiteramos, una vez más, que Techpump en este sentido
mantiene una actitud absolutamente proactiva y propone sistemas alternativos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/31

más efectivos y que resultan conformes con la privacidad de las personas,
resultando la propuesta del Gobierno de España a nuestro criterio que no es
proporcional, vulnerando el principio de minimización de datos entre otros”.

DÉCIMO: Con fecha 05/07/24, la entidad presenta un nuevo escrito de alegaciones en
el cual manifiesta lo siguiente:

Que en relación con los expedientes de referencia, por la presente se realizan
nuevas alegaciones complementarias a nuestro escrito de alegaciones de
fecha 13 de junio de 2024 y anteriores. Y a la vista de la publicación el pasado
lunes de la Nota de Prensa “Cartera Digital Beta, la aplicación que incluye el
sistema de verificación de la mayoría de edad en el acceso a contenidos para
adultos, estará disponible al final del verano “ publicada por el MINISTERIO
PARA LA TRANSFORMACIÓN DIGITAL Y DE LA FUNCIÓN PÚBLICA. Que se
acompaña como DOCUMENTAL UNO. Se realizan las siguientes
MANIFESTACIONES:

Tercero.- Que el sistema de onboarding que pretende establecerse según la
mencionada nota de prensa, incluye datos de carácter personal que a nuestro
entender suponen una importante vulneración de los derechos de las
personas, en este caso de las personas adultas, y resulta un sistema de
onboarding fuera del marco del Reglamento General de Protección de Datos y
en consecuencia de la LOPD. Sin perjuicio de lo anterior, y en caso de no
migrar a páginas “de pago” para cuando resulte de aplicación esta normativa,
se aplicará, pese a que se considera que no es ajustada a derecho. En relación
a la legalidad de la propuesta ministerial, entendemos que emitirá informe la
AEPD antes de su puesta en funcionamiento.

Cuarto.- Que reiteramos, una vez más, que Techpump en este sentido
mantiene una actitud absolutamente proactiva y propone sistemas alternativos
más efectivos y que resultan conformes con la privacidad de las personas,
resultando la propuesta del Gobierno de España a nuestro criterio que no es
proporcional, vulnerando el principio de minimización de datos entre otros.

Por ello, solicitamos el archivo de todas las denuncias impuestas a mi
representado, pues a través de lo expuesto en el cuerpo de este escrito se
evidencia nítidamente que el sistema que se exigía a mi mandante no existía al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/31

tiempo de sancionarle gravemente por ello, no siendo todavía obligatoria la
tenencia de un sistema concreto y determinado para ello.

Por todo lo expuesto, SOLICITO A LA AGENCIA ESPAÑOLA DE
PROTECCIÓN DE DATOS que tenga por presentado este escrito, lo admita
junto con la documental que se acompaña, teniendo por efectuadas las
anteriores manifestaciones y DECRETÁNDOSE EL ARCHIVO DE TODAS LAS
DENUNCIAS IMPUESTAS A MI REPRESENTADO.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

Único: Con fecha 27/12/23, La Subdirección de Inspección de la Agencia Española de
Protección de Datos diligenció las siguientes características de las “Política de
Cookies” de las páginas webs:
***URL.1, ***URL.2, ***URL.3, ***URL.4 y ***URL.5:,

a).- Sobre la instalación de cookies previo al consentimiento del usuario:

Al entrar en las mismas, por primera vez, una vez limpiado el equipo terminal de
historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna
acción sobre la misma, se utilizaban las siguientes cookies propias: - En la web
***URL.2, se utilizaba una cookie propia, “OptanonConsentimiento”, detectada como
técnica o necesaria; - En la web ***URL.1, se utiliza una cookie propia
“OptanonConsentimiento”, detectada como técnica o necesaria y las cookies propias,
“usuario_país”; “stop_redirect”; “país” y “redirect_es” cuya misión no ha pudo ser
identificada aunque según la información aportada en la “Política de Cookies” de la
web, dichas cookies “son necesarias para que el sitio web funcione…”; - En la web
***URL.4 , se utilizaba una cookie propia: “stop_redirect”, cuya misión no ha podido ser
identificada, aunque según la información aportada en la “Política de Cookies” de la
web es una cookie necesaria, utilizada para redireccionar al usuario al país de origen.

Se comprobó que al intentar acceder a las webs ***URL.3 y ***URL.5, éstas
redireccionan al usuario a la página web ***URL.6.

b).- Sobre el consentimiento a la instalación de cookies en el equipo terminal:

Quedó constatado que, si el usuario no prestaba el consentimiento para que las webs
utilizaran cookies que no fueran técnicas o necesarias e iniciaba la navegación por
cualquiera de las webs citadas, éstas empezaban a utilizar, dos cookies de terceros:
“__uvt” y “__upt”, cuyo dominio pertenece a “XXXXXXX”. De éstas dos cookies se
pudo averiguar que la misión de la cookie “__uvt”, es la de realizar operaciones
estadísticas sobre preferencias de los usuarios y respecto de la cookie “__upt”, su
misión no pudo ser identificada.

c).- Sobre el banner de información de cookies existente en la primera capa:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/31

El banner de información sobre cookies existente en la primera capa de las webs en
cuestión se informaba de que utilizaban cookies propias y de terceros e informaban del
modo en que el usuario podía aceptar, configurar o rechazar la utilización de cookies.
También se indica que las finalidades para las que se utilizarán las cookies, era “para
fines analíticos y mostrar contenido personalizado en base a un perfil elaborado a
partir de los hábitos de navegación (…)”.

No obstante, se pudo comprobar que, de las dos cookies de terceros instaladas
cuando se iniciaba la navegación web (“__uvt” y “_upt”), no existía ningún tipo de
información sobre las mismas en la “Política de Cookies” de las webs.

d).- Sobre la posibilidad de retirar el consentimiento para el uso de las cookies una vez
prestado.

Quedó constatado que, si el usuario había prestado su consentimiento para el uso de
cookies que no fueran técnicas o necesarias a través de la opción existente en el
banner de información inicial o a través de consentimiento prestado en el panel de
control y deseaba modificarlo después sí existía la posibilidad de acceder nuevamente
al panel de control a través del enlace existente en la “Política de Cookies” de las
webs.

No obstante, si el deseo del usuario era ahora rechazar todas las cookies cliqueando
en la opción <<Rechazar todas>> o moviendo los cursores de los grupos de cookies a
la posición “OFF” y cliqueando en la opción <<Confirmar mis preferencias>> , en el
panel de control, se comprobaba como las webs seguían utilizando las cookies de
terceros instaladas, (“__uvt” y “_upt”).

FUNDAMENTOS DE DERECHO

I
Competencia.

De acuerdo con lo establecido en el artículo 43.1 de la LSSI y lo establecido en los
artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), es
competente para iniciar y resolver este procedimiento la Directora de la Agencia
Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

La Disposición adicional cuarta "Procedimiento en relación con las competencias
atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece
que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a
los procedimientos que la Agencia Española de Protección de Datos hubiera de
tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes."

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/31

II
Contestación a las alegaciones presentadas a la propuesta de resolución

Primero: Inicia el escrito de alegaciones la entidad TECHPUMP indicando que, como
consecuencia de la existencia de diversos expedientes sancionadores relacionados
con la normativa vigente de protección de datos personales agrupa las alegaciones a
cada uno de ellos en este escrito y así, el apartado A), con el título “CON RELACIÓN
AL PS 55/2021” lo dedica a defender sus intereses con relación al expediente
PS/00555/2021 y el apartado B) con el título “PROCEDIMIENTO PS/523/2023” lo
dedica al expediente abierto a la entidad con dicha referencia.

Pues bien, con el objeto de poner en contexto la situación de los tres expedientes a los
que se refiera la entidad TECHPUMP recordemos que, en el PS/00555/2021 se
imputaron y se sancionó a la precitada tanto por infracciones del RGPD como de la
LSSI (aunque como veremos después, los hechos imputados en aquel procedimiento
no coinciden en cuanto a los hechos imputados en el presente procedimientos
sancionador; el PS/00523/2023 se incoó como consecuencia del incumplimiento de las
medidas correctivas impuestas en el PS/00555/2021 en relación únicamente con los
incumplimientos del RGPD y el presente procedimiento sancionador, el
PS/00524/2024 sólo se refiere incumplimientos de la LSSI, como hemos indicado,
referente a hechos distintos y posteriores a los hechos constatados en el
PS/00555/2021.

Por tanto, manifestar respecto a las alegaciones presentadas en los apartados A) y B)
del escrito de alegaciones que no guardan ninguna relación con el asunto que se está
tratando en el presente expediente (PS/00524/2023) y que, por lo tanto, no pueden ser
tenidas en consideración en este procedimiento ya que serán tratadas y resueltas, en
su caso, en el seno de cada uno de ellos.

Además, recordar que el PS/00555/2021 se encuentra en estos momentos
dirimiéndose en un procedimiento judicial contencioso administrativo (CA/00086/2022)
ante la AUDIENCIA NACIONAL (PO 0001794 /2022) y por tanto, será este Órgano
Judicial quien resuelva, en su caso, las controversias planteadas en el apartado A),
mientras que el PS/00523/2023 sigue un procedimiento administrativo independiente
de éste y que será en el seno del mismo, si así procede, donde se diriman las
alegaciones planteadas en el apartado B).

Segundo: En el punto “primero” del apartado C) del escrito de alegaciones, la entidad
TECHPUMP plantea la aplicación del principio “NON BIS IN IDEM” al presente caso,
alegando que los hechos que son enjuiciados en él tienen la misma identidad
subjetiva, fáctica y causal, que los enjuiciados en el expediente PS/00555/2021, no
existiendo diferencia alguna entre ambos procedimientos administrativos
sancionadores y que por tanto, solicita que el presente expediente debe ser archivado.

Pues bien, recordemos que el principio de "non bis in idem"´, aplicado al derecho
administrativo, es un principio jurídico que establece que una persona no puede ser
sancionada dos veces por el mismo hecho, buscando con ello proteger a las personas
de ser perseguidas repetidamente por los mismos hechos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/31

No obstante, para que se aplique el principio de "non bis in idem" es necesario que
exista una identidad subjetiva, fáctica y causal entre las dos causas. La identidad
subjetiva, se refiere a que la persona acusada en ambos procesos sea la misma. La
identidad fáctica se refiere a que los hechos imputados en ambos procesos sean los
mismos, esto es, debe existir una coincidencia en cuanto a la descripción de los
hechos que se imputan y por último, la identidad causal, se refiere a que la causa de la
acción sea la misma en ambos procesos, es decir, debe existir una relación de
causalidad entre los hechos imputados y la norma jurídica infringida. Si se cumplen
estos tres requisitos, entonces se podría aplicar el principio de "non bis in idem"
demandado por la entidad.

No obstante, en el caso que nos ocupa, aunque es evidente que se cumple la
identidad subjetiva al ser el mismo sujeto en ambos expedientes, esto es, la entidad
TECHPUMP SOLUTIONS S.L. y la misma identidad causal pues existe una relación
de causalidad entre los hechos imputados en los dos expedientes y la norma jurídica
infringida, el artículo 22.2 de la LSSI, no ocurre los mismo respecto a la identidad
fáctica pues los hechos imputados en ambos procesos no son idénticos en su
descripción y circunstancias relevantes.

Si vemos la resolución del expediente PS/0555/2021, de fecha 16/09/22, podemos
apreciar que se sancionaba a la entidad TECHPUMP, entre otras cuestiones, por
vulneración del artículo 22.2 de la LSSI en base a las siguientes deficiencias
observadas en la “Política de Cookies” de sus páginas webs (véase punto XXVII de los
FD.- Sobre la “Política de Cookies” de la web):

- a).- Por la instalación de cookies en el equipo terminal previo al consentimiento
del usuario: Se constató que al entrar en sus páginas principales y sin realizar
ningún tipo de acción sobre las mismas, se utilizan cookies de terceros no
necesarias, sin el previo consentimiento del usuario: - En la web ***URL.2, se
utilizaban las cookies: “_ga_RKCN8YSRSF” “_ga” y “_gid” cuyo proveedor es
Google. En la web ***URL.1 , se utilizaban las cookies “User_country” cuyo
proveedor es Addition Technologies GmbH y las cookies “gat_UA-38248820-
52”; “_ga”; “_gid”; “_ga_8WNV1D198Q” cuyo proveedor es Google. En la web
***URL.3 , se utilizaban las cookies: “_ga_JREJ5KRZQT”; “_gat_UA-
50005236-1”; “_ga”; y “_gid” cuyo proveedor es Google. En la web ***URL.4 ,
se utilizaban las cookies “_ga_KJ5V9F3XJJ”; “_ga” y “_gid” cuyo proveedor es
Google y en la web ***URL.5 , se utilizaban las cookies “ga_CKL7S7S25E”;
“_ga” y “_gid” cuyo proveedor es Google.

- b.- No existía ningún tipo de banner en la página principal que informase de
forma genérica sobre las cookies que utilizaban.

- c).- No existía ningún mecanismo que posibilitase rechazar las cookies o la
posibilidad de gestionarlas de forma granular a través de un panel de control y,

- d).- La información sobre cookies que se proporcionaba en la “Política de
Cookies” se encontraba redactado en idioma inglés, no oficial en España.

Mientras que, en el presente expediente, el PS/00524/2023 se sanciona las siguientes
deficiencias en las “Políticas de Cookies” de sus páginas webs:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/31

- a).- Por la instalación de cookies previo al consentimiento del usuario, se ha
detectado que al entrar en las mismas, por primera vez, una vez limpiado el
equipo terminal de historial de navegación y de cookies, sin aceptar nuevas
cookies ni realizar ninguna acción sobre la misma, se utilizaban las siguientes
cookies propias: En la web ***URL.2 , se utiliza una cookie propia,
“OptanonConsentimiento”, detectada como técnica o necesaria. En la web
***URL.1 , se utiliza una cookie propia “OptanonConsentimiento”, detectada
como técnica o necesaria y las cookies propias, “usuario_país”; “stop_redirect”;
“país” y “redirect_es” cuya misión no ha podido ser identificada, aunque según
la información aportada en la “Política de Cookies” de la web, dichas cookies
“son necesarias para que el sitio web funcione…”. En la web ***URL.4 , se
utiliza una cookie propia: “stop_redirect”, cuya misión no ha podido ser
identificada, aunque según la información aportada en la “Política de Cookies”
de la web es una cookie necesaria, utilizada para redireccionar al usuario al
país de origen.

- b).- Si el usuario no presta el consentimiento para que las webs utilicen cookies
que no sean técnicas o necesarias e inicia la navegación por cualquiera de
ellas, éstas empiezan a utilizar dos cookies de terceros: “__uvt” y “__upt”, cuyo
dominio pertenece a “.magsrv.com”. De éstas dos cookies se ha podido saber
que la misión de la cookie “__uvt”, es la de realizar operaciones estadísticas
sobre preferencias de los usuarios para mostrar publicidad dirigida pero
respecto de la cookie “__upt”, su misión no ha podido ser identificada. Tampoco
existe información sobre estas cookies en la “Política de Cookies” de las webs
y,

- c).- No existe la posibilidad de retirar el consentimiento para el uso de las
cookies una vez prestado.

Por tanto, es evidente que una de las tres identidades necesarias para que se pueda
considerar la aplicación del principio “non bis in idem", la identidad fáctica no se
cumple en el presente caso, pues los hechos imputados en ambos procesos no son
idénticos en su descripción ni en sus circunstancias relevantes, y por tanto, no puede
ser atendida la solicitud que hace la entidad TECHPUMP de archivar el presente
expediente en base al principio de non bis in idem.

Tercero: Manifiesta la entidad TECHPUMP en el punto “segundo” del apartado C) de
sus alegaciones, que da por reproducidas las manifestaciones realizadas en el
expediente PS/00523/2023 (de fecha 18/12/23), sobre la prejudicialidad contencioso
administrativa alegando en dicho escrito que los hechos que han motivado las
sanciones establecidas en el expediente administrativo sancionador PS/00555/2021,
se encuentran inmersas en el recurso contencioso-administrativo 0001794/2022 ante
Audiencia Nacional, y por tanto, esta Agencia no puede abrir un nuevo expediente
administrativo por los mismos hechos sobre los que versa el expediente
PS/00555/2021.

Pues bien, se debe volver a reiterar en este punto lo expuesto en el apartado anterior y
es que entre el expediente PS/00555/2021 y el presente expediente PS/00524/2023
aunque exista la misma identidad subjetiva y causal, no existe la misma identidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/31

fáctica, esto es, los hechos imputados en cada uno de los expedientes no son los
mismos y por tanto ambos expedientes son totalmente independientes, por lo que,
aunque el PS/00555/2021 este inmerso en un contencioso administrativo, el
PS/00524/2023, al ser diferente en cuanto a la identidad fáctica, pude seguir su
proceso.

Recordemos que en el expediente PS/00555/2021, se sancionaba a la entidad
TECHPUMP por la utilización, en las páginas web de su titularidad de cookies de
terceros sin el previo consentimiento del usuario. Estas cookies eran, en la web
***URL.2 : “_ga_RKCN8YSRSF” “_ga” y “_gid” de Google. En la web ***URL.1 :
“User_country” de Addition Technologies GmbH y las cookies “gat_UA-38248820-52”;
“_ga”; “_gid”; “_ga_8WNV1D198Q” de Google. En la web ***URL.3 ,
“_ga_JREJ5KRZQT”; “_gat_UA-50005236-1”; “_ga”; y “_gid” de Google. En la web
***URL.4 , las cookies: “_ga_KJ5V9F3XJJ”; “_ga” y “_gid” de Google y en la web
***URL.5 , las cookies: “ga_CKL7S7S25E”; “_ga” y “_gid”, también de Google. Se
sancionaba también que no existiera ningún tipo de banner de información sobre
cookies en la primera capa o capa principal de las webs. Se sancionaba que no
existiera ningún mecanismo que posibilitase rechazar las cookies mencionadas o la
posibilidad de gestionarlas de forma granular y se sancionaba que la información
suministrada en la Política de Cookies se encontrara escrita en idioma inglés, no oficial
en España.

En cambio, el presente expediente, el PS/00524/2023, se sanciona por la utilización de
cookies de terceros, (“__uvt” y “__upt”), cuyo dominio pertenece a “XXXXXXX”,
aunque el usuario no haya dado el consentimiento para ello. Se sanciona que no
exista la posibilidad de rechazar la utilización de estas cookies, ni la posibilidad de
modificar el consentimiento una vez prestado.

Por tanto, es evidente que los hechos que está conociendo la AN en el recurso
contencioso-administrativo 0001794/2022, (PS/0555/2021) no son los mismo por lo
que se ha abierto el presente procedimiento sancionador y por tanto, no cabe
considerar en este punto las alegaciones presentadas sobre la posible prejudicialidad
contencioso administrativo de los hechos conocidos en el presente procedimiento
PS/00524/2023.

Cuarto: Manifiesta la entidad TECHPUMP en el punto “tercero” del apartado C) de sus
alegaciones, haciendo mención al expediente PS/00555/2021 que todas las
cuestiones indicadas, respecto de la política de cookies, “(…) han sido abiertamente
solucionadas y subsanadas por parte de mi representada, y, consecuentemente con
ello, por lo tanto no procede la incoación de un nuevo expediente sancionador, sin
perjuicio de que en este nuevo procedimiento se realizará una inspección o las
correspondientes diligencias de investigación…” y que “...esta cookie efectivamente
fue colocada temporalmente por un error técnico por parte del proveedor publicitario
Exoclick sin estar activa en el momento que se realizó la auditoría externa (enero
2024), y sin estarlo en la actualidad. Por ello se trató únicamente de un error temporal
dentro de un proceso técnico…”

Pues bien, en este punto solamente recordar que es la propia entidad TECHPUMP, en
el escrito presentado ante esta Agencia el pasado día 26/03/24, quien reconoce que
las cookies “__uvt” y “__upt” son gestionadas por la empresa ExoClick. Que durante el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/31

mes de diciembre de 2023, cuando esta Agencia evaluó las cookies, no existían
medidas implementadas para bloquearlas. Que no fue hasta febrero de 2024, cuando
ExoClick presentó una solución que permitía bloquearlas, pero solamente se
implementó en, “XXXXXX” y “XXXXXX”, pero no en “XXXXXX” que aún está
pendientes de solución.

Por tanto, es la propia entidad TECHPUMP la que reconoce que, cuando esta Agencia
evaluó las páginas webs de su titularidad, en diciembre de 2023, las mismas utilizaban
dos cookies de terceros (__uvt y __upt); pero carecían de medidas para bloquearlas,
por lo que no es posible tomar en consideración las alegaciones presentadas en este
punto respecto de que la entidad había solucionado las deficiencias detectadas en la
“Política de Cookies” de sus páginas webs por cuanto, en dic-23, esto no era cierto.

Quinto: Manifiesta la entidad TECHPUMP en el punto “cuarto” del apartado C) de su
escrito lo que considera ser una discriminación en relación con los expedientes
iniciados por la AEPD respecto de otras empresas competidoras en contenidos para
adultos.

Manifestar que estas alegaciones no pueden ser admitidas ni tenidas en consideración
por cuanto el objeto de este expediente sancionador es conocer las deficiencias en la
“Política de Cookies” de las páginas webs de su titularidad y, por tanto, no es tratar la
gestión que realiza esta Agencia respecto al control sobre el tratamiento de datos
personales que hacen las entidades que se dedican a divulgar contenido para adultos,
existiendo otros ámbitos de la Administración Pública donde, si así lo desea la entidad,
puede plantear estas cuestiones.

Sexto: En el apartado D).- (puntos “primero” a “quinto”), del escrito de alegaciones, la
entidad defiende la necesidad de acumulación de los procedimientos PS00555/2021,
PS523/2023 y PS00524/2023, al versar los mismos sobre cuestiones idénticas, según
su apreciación.

Pues bien, recordemos que con carácter general el artículo 57 de la Ley 39/2015, de 1
de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas
(LPACAP), bajo la rúbrica de “Acumulación” dispone que: "el órgano administrativo
que inicie o tramite un procedimiento, cualquiera que haya sido la forma de su
iniciación, podrá disponer, de oficio o a instancia de parte, su acumulación a otros con
los que guarde identidad sustancial o íntima conexión, siempre que sea el mismo
órgano quien deba tramitar y resolver el procedimiento" y que "contra el acuerdo de
acumulación no procederá recurso alguno".

Del citado artículo 57 LPACAP se desprende y la jurisprudencia así lo entiende, que la
decisión de acumular varios expedientes es discrecional y que el órgano que disponga
la acumulación debe tener competencia para decidir sobre las materias a las que se
refieren los procedimientos acumulados, exigiéndose que entre los procedimientos que
se acumulan deba existir la lógica "íntima conexión" o "identidad sustancial".

A la vista de lo anterior, y en relación con los expedientes PS/00524/2023 y
PS/00523/2023, se evidencia que entre los hechos que se están analizando en cada
uno de ellos, no concurre el criterio de identidad sustancial e íntima conexión que
alega la entidad por cuanto en el presente expediente, el PS/00524/2023 se están
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/31

analizando las posibles vulneraciones de lo establecido en la LSSI y en cambio, en el
expediente PS/00523/2023 el objeto es dilucidar si existe o no vulneración del RGPD.

Por último, se debe recordar que el expediente PS/00555/2021 ya es firme en vía
administrativa y se encuentra en estos momentos judicializado en la Audiencia
Nacional bajo el recurso contencioso administrativo PO 0001794/2022 y por tanto, no
coinciden los órganos encargados de resolver las controversias planteadas en los
expedientes PS/00555/2021, que será el Juez de la AN encargado del caso y
PS/00524/2023, que será la Directora de la AEPD.

Por tanto, en base a lo expuesto anteriormente, no es posible atender la solicitud de
acumulación de expedientes tal y como plantea la entidad.

Séptimo: Dentro de las solicitudes que hace la entidad, en el punto d) solicita que se
rebaje la multa pecuniaria impuesta acogiéndose a las circunstancias de ponderación
de la responsabilidad previstas en el artículo 83 del RGPD.

Pues bien, manifestar que el presente procedimiento sancionador se inició por las
irregularidades detectadas en la “Política de Cookies” de las páginas web de su
titularidad vulnerando con ello lo establecido en el artículo 22.2 de la LSSI, y es, en la
LSSI donde se regula el régimen jurídico relativo a las infracciones, por el
incumplimiento de la norma, las sanciones y su ponderación, regulándose en su art. 40
lo relativo a la graduación de las infracciones.

Recordemos que el artículo 38.4 g) de la LSSI tipifica los hechos que dan lugar a la
infracción como “leves”, pudiendo ser sancionados con multa de hasta 30.000 €, de
acuerdo con el artículo 39 LSSI y que para graduar la sanción se debe tener en cuenta
lo establecido en el artículo 40 de la LSSI, estimándose, en este caso que se debía
aplicar como agravantes para calcular la sanción a imponer, la existencia de
intencionalidad (apartado a), expresión que ha de interpretarse como equivalente a
grado de culpabilidad de acuerdo con la Sentencia de la AN 12/11/07 recaída en el
Recurso 351/2006, y la reincidencia por comisión de infracciones de la misma
naturaleza, cuando así haya sido declarado por resolución firme (apartado c), tomando
en consideración la resolución dictada el 16/09/22, expediente PS/00555/2021.

A mayor abundamiento significar que no es posible aplicar el artículo 83.2 del RPGD
para ponderar la multa impuesta en virtud de la LSSI, ya que el RGPD regula un
ámbito objetivo, subjetivo y territorial de aplicación manifiestamente distinto.

Por tanto, en consideración a todo lo expuesto, no puede ser atendida, en este caso,
la solicitud de la entidad en el sentido de reducir la sanción impuesta al existir dos
agravantes que condicionan la imposición de la máxima sanción posible.

Octavo: Respecto de las alegaciones presentadas los días 04/07/24 y 05/07/24, donde
hace referencia a la nota de prensa en la que se anuncia la aprobación del sistema de
“onboarding” obligatorio para páginas web dedicas a divulgar contenido para adultos y
que la publicación de la referida nota de prensa demuestra que hasta la fecha no
existía un sistema de “onboarding” para este tipo de páginas y por ello no es admisible
que la AEPD pretenda sancionar a Techpump, cuando tiene un sistema de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/31

“onboarding”, más garantista que el de sus competidores, solicitando el archivo del
presente expediente, manifestar lo siguiente:

El sistema de “onboarding”, al que hace referencia la entidad, según la nota de prensa
publicada el 1 de julio de 2024, dice textualmente: “El ministro para la Transformación
Digital y de la Función Pública, José Luis Escrivá, ha presentado hoy Cartera Digital
Beta, el “wallet” (porta documentos digital) que incluye el sistema de verificación de la
mayoría de edad en el acceso a contenidos para adultos, tras culminar la fase de
diseño de la herramienta con la publicación de las especificaciones técnicas….”,
mientras que, en el presente procedimiento sancionador, el PS/00524/2023, no se está
dilucidando nada relativo a los sistemas implantados en las páginas web de contenido
para adultos relativo a la verificación de edad para el acceso a las miasma, sino
aspectos relativos a la “Política de Cookies” de las páginas web por lo que no es
posible atender, en este caso, las alegaciones presentadas respecto a este asunto.

III
Tipificación de la infracción cometida

De las deficiencias detectadas, respecto de la política de cookies, en las páginas webs
***URL.2 ; ***URL.1 y ***URL.4, esto es, la utilización de cookies de terceros que no
son técnicas o necesarias aunque el usuario no haya prestado su consentimiento; la
imposibilidad de rechazarlas o poder gestionarlas de forma granular; la falta de
información en la “Política de Cookies” sobre la finalidad de estas cookies de terceros
y la imposibilidad de retirar el consentimiento una vez prestado, suponen la comisión
de una infracción del artículo 22.2 de la LSSI, pues establece lo siguiente:

“Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y
recuperación de datos en equipos terminales de los destinatarios, a condición de que
los mismos hayan dado su consentimiento después de que se les haya facilitado
información clara y completa sobre su utilización, en particular, sobre los fines del
tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13
de diciembre, de protección de datos de carácter personal.

Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para
aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros
adecuados del navegador o de otras aplicaciones.

Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo
fin de efectuar la transmisión de una comunicación por una red de comunicaciones
electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de
un servicio de la sociedad de la información expresamente solicitado por el
destinatario”.

IV.
Graduación de la Sanción

Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que
considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos
cuando no se hubiera facilitado la información u obtenido el consentimiento del
destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/31

sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada
LSSI.

La LSSI, en su artículo 40, establece la “graduación de la cuantía de las sanciones”,
atendiendo a los siguientes criterios:

a) La existencia de intencionalidad.
b) Plazo de tiempo durante el que se haya venido cometiendo la infracción.
c) La reincidencia por comisión de infracciones de la misma naturaleza, cuando
así haya sido declarado por resolución firme.
d) La naturaleza y cuantía de los perjuicios causados.
e) Los beneficios obtenidos por la infracción.
f) Volumen de facturación a que afecte la infracción cometida.
g) La adhesión a un código de conducta o a un sistema de autorregulación
publicitaria aplicable respecto a la infracción cometida, que cumpla con lo
dispuesto en el artículo 18 o en la disposición final octava y que haya sido
informado favorablemente por el órgano u órganos competentes.

Tras las evidencias obtenidas, se considera que procede graduar la sanción a
imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de
la LSSI:

- La existencia de intencionalidad (apartado a). Expresión que ha de
interpretarse como equivalente a grado de culpabilidad de acuerdo con la
Sentencia de la Audiencia Nacional de 12/11/07 recaída en el Recurso núm.
351/2006, correspondiendo a la entidad denunciada la determinación de un
sistema de obtención del consentimiento informado que se adecue al mandato
de la LSSI.

- La reincidencia por comisión de infracciones de la misma naturaleza, cuando
así haya sido declarado por resolución firme (apartado c). En este sentido, se
debe toma en consideración la resolución dictada con fecha 16/09/2022, por la
Directora de la Agencia Española de Protección de datos, en el marco del
expediente sancionador PS/00555/2021, abierto a la entidad TECHPUMP
SOLUTIONS S.L., entre otras cuestiones, por las deficiencias detectadas en
las “Políticas de Cookies” de páginas webs en cuestión.

Con arreglo a dichos criterios, se estima adecuado imponer, por la infracción del
artículo 22.2 de la LSSI, respecto de la política de cookies realizada en las páginas
webs de su titularidad, una sanción de 30.000 euros (treinta mil euros) por las
deficiencias detectadas en la “Política de Cookies” de la página web ***URL.2. Una
sanción de 30.000 euros (treinta mil euros) por las deficiencias detectadas en la
“Política de Cookies” de la página web ***URL.1 y una sanción de 30.000 euros
(treinta mil euros) por las deficiencias detectadas en la “Política de Cookies” de la
página web ***URL.4.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/31

RESUELVE:

PRIMERO: IMPONER a la entidad TECHPUMP SOLUTIONS S.L. (TECHPUMP), CIF.:
B33950338, titular de las páginas web: ***URL.1 ; ***URL.2 , ***URL.3 , ***URL.4 ;
***URL.5 , por la infracción del artículo 22.2 de la LSSI, tipificada como “leve” en el
artículo 38.4 g), las siguientes sanciones:

- 30.000 euros (treinta mil euros) por las deficiencias detectadas en la “Política
de Cookies” de la página web ***URL.2.
- 30.000 euros (treinta mil euros) por las deficiencias detectadas en la “Política
de Cookies” de la página web ***URL.1 y
- 30.000 euros (treinta mil euros) por las deficiencias detectadas en la “Política
de Cookies” de la página web ***URL.4.

SEGUNDO: NOTIFICAR la presente resolución a la entidad TECHPUMP SOLUTIONS
S.L. (TECHPUMP).

Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la
presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida Nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A..

En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la
notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días
1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será
hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre
los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5
del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo
establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública
una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/31

LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si
el interesado manifiesta su intención de interponer recurso contencioso-administrativo.

De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/],
o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.

Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

Çerezlerin Rıza Dışında Kullanılması

Türkçe özet

Hukuki mesele

Sonuç

Karar metni