Source: https://www.abanlex.com/2014/01/primeras-multas-por-vulnerar-la-ley-de-cookies-explicamos-el-caso/
Timestamp: 2020-06-04 17:02:57+00:00

Document:
Primeras multas por vulnerar la Ley de Cookies. Explicamos el caso – Abanlex
Standard / by Pablo Fernández Burgueño / 24 enero, 2014 / 12 Comments
Ley Cookies. ¿Lanza o escudo? (imagen de Dima Peskoff)
Ya hay sanción. Por primera vez en la historia, dos empresas (españolas) son sancionadas por usar Google Analytics, Google Maps, Youtube, WordPress y Zopim, entre otros, instalando cookies de estos servicios sin cumplir la Ley de Cookies. Las multas son de 3.000€ para la primera empresa y de 500€ para la segunda. La Resolución es la R/02990/2013 (disponible en la página de la AEPD y aquí también, por si acaso).
Actualización (15/07/2015): El caso ha llegado a la Audiencia Nacional: Recurso 122/2014 (también disponible aquí)
Introducción: En el año 2002 se aprobó en España la Ley de Cookies. En 2012 se reformó esta norma añadiendo la necesidad de informar al usuario antes de que se instalen ciertas cookies. Ese mismo año un usuario denunció a dos empresas por considerar que trataban sus datos de manera ilegal. A los meses, la AEPD abrió el procedimiento sancionador por instalación de cookies. En 2014, la AEPD resolvió sancionar.
En la resolución, el Director de la Agencia Española de Protección de Datos RESUELVE:
IMPONER a la entidad XXXX, S.L., por una infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4.g) de dicha norma, una multa de 3.000 € (Tres mil euros), de conformidad con lo establecido en los artículos 39.1.c) y 40 de la citada LSSI.
IMPONER a la entidad YYYY, S.L., por una infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4.g) de dicha norma, una multa de 500 € (Quinientos euros), de conformidad con lo establecido en los artículos 39.1.c) y 40 de la citada LSSI.
Advertir a los sancionados que las sanciones impuestas deberán hacerlas efectivas […]
Los orígenes del caso (Imagen de Ilker)
1.- El inicio del caso
Las páginas de comercio electrónico de dos empresas españolas usaban varios servicios para analizar el tráfico de la web (Google Analytics), mostrar algo de publicidad (DoubleClick), mostrar vídeos (Youtube), mostrar mapas (Google Maps) y responder las dudas de sus clientes a través de un chat (Zopim), entre otros. Para que estos servicios funcionen, los sitios web necesitan instalar algunas cookies en los dispositivos (PC, móvil, tableta…) de los usuarios. Estas cookies recogen datos de navegación y los tratan, dentro y fuera de de Europa.
El caso comenzó cuando un usuario (Don A.A.A.), navegando por las páginas de las dos citadas empresas, vio cómo se instalaban cookies en sus dispositivos para recoger, enviar y tratar sus datos. El usuario realizó la navegación con Firefox desde el PC y Opera desde el móvil.
20 de septiembre de 2012 – El preocupado usuario se puso en contacto con la Agencia (AEPD).
En este artículo explicamos el inicio del caso: Sanción por instalar cookies de Google Analytics (y otras)
Investigación minuciosa (Imagen de Mateusz Stachowski)
2.- La inspección de la AEPD
12 de septiembre de 2012 – En el aviso legal de uno de los sitios inspeccionados figuraba este texto:
12 de noviembre de 2012 – La AEPD realizó la primera inspección de cookies usando Google Chrome y obteniendo las pruebas en forma de capturas de pantalla.
12 de diciembre de 2012 – Los demás sitios aún carecían de información sobre sus cookies.
23 de enero de 2013 – En el aviso legal de todos los sitios, las empresas ya habían incluido este texto:
XXXX, S.L. se reserva el derecho de utilizar cookies en la navegación del usuario por su website para facilitar la personalización y comodidad de la navegación. Siguiéndo la política de protección de datos de la empresa, XXXX, S.L. informa que las cookies se asocian al usuario anónimo y a su ordenador, y no proporcionan por sí el nombre y apellidos del usuario.
El usuario tiene la posibilidad de configurar su navegador de modo que se le informe de la recepción de cookies, pudiendo, si así lo desea, impedir que sean instaladas en su disco duro. No obstante, para el acceso a la website de XXXX, S.L. no será preceptiva la instalación de cookies.”
Este aviso, junto con los demás que mostraban los denunciados, reunían estas características:
No definía las cookies.
No detalla el tipo de cookies utilizadas.
No identifica si las cookies son propias o de terceros.
Se refería de forma vaga y genérica a algunas de sus finalidades.
No advierte sobre los mecanismos de desactivación de cookies.
No advierte del modo de revocar el consentimiento.
La infomación se facilitaba de forma poco accesible.
La información se facilitaba sin suficiente visibilidad, ya que estaba distribuida en diferentes. apartados de distintos documentos cuya denominación (“Condiciones de Uso”, “Política de Uso” o “Política de Privacidad”) no permitía su fácil localización.
23 de enero de 2013 – La AEPD realizó la segunda inspección de cookies usando Internet Explorer 8 y Google Chrome. Las pruebas también se obtuvieron en forma de captura de pantalla.
22 y 23 de mayo de 2013 – La AEPD realizó la tercera inspección de cookies usando Firebug en Firefox, obteniendo una lista de las cookies descargadas así como su exportación.
Las cookies localizadas son, principalmente, de los siguientes servicios:
Google Analytics: La AEPD copia y pega en la resolución un párrafo del contrato para usar este servicio de Google en el que se obliga al responsable de los sitios web a tener y acatar «una Política de Privacidad apropiada» y a cumplir «con todas las leyes aplicables y regulaciones relacionadas con la recogida de información de los Visitantes».
WordPress: Los dos plugins que instalan cookies eran Jetpack, con funciones similares a las de Google Analytics, y Slimstats, que muestra información concreta por visitante, como su país de origen o su sistema operativo.
Quantcast: Otra cookie analítica, vinculada también a las de Automattic (WordPress)
Seevolution: Estas, que estaban en desuso, analizan los hábitos de navegación de los usuarios.
Google Maps: Algunas de las cookies personalizan los anuncios que se muestran en los servicios de Google; otras almacenan ciertas preferencias del usuario; y otra más aún no se sabe qué, de estas dos cosas, hace.
Youtube: Una asocia la IP del usuario con información sobre el ancho de banda de los vídeos. Sobre la segunda, denominada YSC, la AEPD aún no tiene idea de para qué sirve.
DoubleClick: Permite mostrar publicidad personalizada a los usuarios.
ZOPIM: Una de las cookies identifica a los usuarios y otra mejora el rendimiento del sitio.
Magento: Cookies adecuadas para procurar que la tienda virtual funcione mejor.
Google: Flash cookie (o Local Shared Object), asociada al dominio s.ytimg.com, de Google pero de la que esta empresa nada dice. La finalidad de esta cookie (almacenar las imágenes fijas de vídeos de Youtube) se descubrió gracias a una una web privada de hackers.
Cookie de las empresas sancionadas: Fuerza a los navegadores a recargar la página.
La bolsa del dinero (Imagen de Patryk Specjal)
15 de julio de 2013 – Se inicia el procedimiento sancionador a ambas empresas españolas.
5 de agosto de 2013 – Las empresas denunciadas advierten a la AEPD de que ya muestran el aviso adecuado para cumplir con la normativa de cookies en todos sus sitios.
9 de agosto de 2013 – La AEPD inicia un período de práctica de pruebas, seguido de la recopilación de información adicional y otras acciones.
6-7 de septiembre – El denunciante confirma a la AEPD que las cookies descubiertas son las que se le instalaron en su ordenador personal y en su terminal móvil.
Así mismo, D. A.A.A. hace las siguientes apreciaciones sobre los objetivos de la Ley de Cookies
El objetivo es evitar que las empresas a las que afecta esta norma se conviertan en una vía más para la fuga no consentida de datos de navegación, de comportamiento y, en particular, datos personales.
Las entidades han optado por usar ciertas plataformas a cambio de que esas terceras empresas puedan extraer datos de sus usuarios. Las entidades no explican al usuario el destino de los datos, la finalidad del tratamiento o siquiera, qué datos se extraen.
Irreparabilidad: Los daños han sido ya producidos. Parte de la base de la existencia del artículo 22.2 LSSI es asegurar que no se produzcan daños irreparables o, por lo menos, que se prevengan.
3 de octubre de 2013 – La AEPD excluye del procedimiento al denunciante por entender que no ha demostrado «ser titular de un derecho o interés legítimo que pudiera resultar afectado por la decisión que se adopte en el expediente».
Por fortuna, la AEPD tuvo a bien dejar fuera del procedimiento al denunciante, no teniéndole como interesado, porque no fue capaz de probar «haber accedido, como afirma, a las citadas páginas web desde su ordenador personal o su terminal móvil». D. A.A.A. presentó una denuncia en la que indicaba qué sitios concretos del denunciado le habían instalado dichas cookies, pero la AEPD consideró que esta persona no aportó «ningún elemento de prueba que permita justificar la instalación en sus terminales de cookies propias o de terceros por parte de las empresas imputadas a raíz de tales accesos». Estos hechos tienen como grata consecuencia que la AEPD no haya podido «verificar la existencia de un tratamiento de datos personales o de otro tipo derivado de la utilización de la información procedente de las cookies supuestamente instaladas» y, por tanto, no entra a sancionar más allá de lo ya sancionado.
15 a 27 de noviembre de 2013 – La AEPD realiza más pruebas sobre los sitios web de las entidades.
13 de diciembre de 2013 – El Director de la AEPD formula propuesta de resolución:
Multa de 3.000 € a XXXX, S.L.
Multa de 500 € a YYYY, S.L.
8 de enero de 2014 – Las entidades solicitan a la AEPD que solo se les amoneste, porque con las cookies instaladas no realizan «tratamientos de datos de carácter personal» o que se les imponga la sanción mínima.
También existe la suerte (Imagen de Alan Witikoski)
4.- Las sanciones
14 de enero de 2014 – El Directo de la AEPD resuelve:
PRIMERO: [Un asunto de protección de datos con multa de 1.500€]
SEGUNDO: IMPONER a la entidad XXXX, S.L., por una infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4.g) de dicha norma, una multa de 3.000 € (Tres mil euros), de conformidad con lo establecido en los artículos 39.1.c) y 40 de la citada LSSI.
TERCERO: IMPONER a la entidad YYYY, S.L., por una infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4.g) de dicha norma, una multa de 500 € (Quinientos euros), de conformidad con lo establecido en los artículos 39.1.c) y 40 de la citada LSSI.
CUARTO: NOTIFICAR la presente resolución a las entidades XXXX, S.L. y YYYY, S.L. y a Don A.A.A.
QUINTO: Advertir a los sancionados que las sanciones impuestas deberán hacerlas
efectivas en el plazo […]
Lo positivo de esta sanción es que podía haber llegado a los 30.000 € en ambos casos. Afortunadamente, se ha quedado únicamente en 3.000 €, en el primer caso, y en 500 €, en el segundo. La AEPD podía haber dejado las sanciones en 0,01€ cada una, porque no hay mínimo establecido en la LSSI
El jugo de la resolución (Imagen de Dora Pete)
5.- Hechos y fundamentos relevantes
HECHO PROBADO OCTAVO: «La utilización de los mencionados servicios«, estos son Google Analytics, Youtube, Zopim, TradeDoubler, Magento y WordPress, «origina la descarga de diferentes tipos de cookies no exentas del deber de información previa al usuario que accede a los sitios web de su titularidad».
HECHO PROBADO DÉCIMO: Los sitios web de los sancionados «instalan y utilizan cookies, tanto propias como de terceros, no exentas del deber de información previa a su almacenamiento en los terminales de los usuarios».
FUNDAMENTO DE DERECHO VII: La Ley de cookies busca «garantizar que la utilización de las cookies se produce respetando la privacidad de los usuarios, de tal modo que los afectados puedan manifestar su consentimiento o negativa a la utilización de dichos dispositivos teniendo previamente conocimiento del tipo de cookies que se pretenden instalar y las finalidades perseguidas con ello por el prestador de servicios de la información».
FUNDAMENTO DE DERECHO VIII: Ha quedado acreditada «la instalación y utilización de cookies en los terminales de los usuarios que acceden a los sitios web titularidad de las mismas sin haberles facilitado, previamente, información clara y completa sobre el uso y finalidades de dichos dispositivos y sin contar, tampoco, con un consentimiento válidamente otorgado por no haberse obtenido mediando una información previa correcta».
Una idea, una solución (Imagen de humusak2)
6.- Solución adoptada por los denunciados
Las entidades imputadas han optado por utilizar el sistema de información por capas.
Desafortunadamente, no lo hicieron bien y siguieron incumpliendo. La AEPD señala que el sistema de capas utilizado por ambas entidades «no contiene la información que se considera necesaria para estimar que resulta completa y clara, en especial en cuanto a la tipología de cookies realmente utilizadas, finalidad de las mismas e identidad de quienes instalan y utilizan las cookies, lo que invalidaría el consentimiento que pueda ser prestado por los usuarios al “Aceptar” la “Política de Cookies” o seguir navegando por los sitios web».
El sistema de información por capas implica informar mínimamente con un aviso emergente, que incluye un enlace al aviso legal donde se encuentra el resto de la infomación.
Advertencia, en su caso, de que, si se realiza una determinada acción, se entenderá que el usuario acepta el uso de las cookies.
Solución testada por Abanlex
7.- Sistemas anti-cookies
En Cómo cumplir la Ley de Cookies señalo algunos sistemas.
Nosotros, en la web de Abanlex, empezamos usando (el 5 de abril de 2012) la solución JPECRGA, creada por Wolf Software para poder instalar las cookies de Google Analytics cumpliendo completamente la Ley de Cookies.
JPECRGA es software libre. La solución que Wolf distribuye ahora no permite la modificación libre. Así que, teniendo nosotros la original y pudiéndola distribuir gratuitamente, aquí la dejamos, bajo GNU-GPL v3, para que cada cual haga con ella lo que la licencia le permita: Descargar JPercga (recuerda personalizar los códigos, que dejo editados por nosotros y en español).
Actualmente no precisamos bloquear cookies. Aún así, porque queremos seguir informando, usamos el plugin Cookie Law, junto con la solución WP DoNotTrack en modo «normal».
Parte de la base de la existencia del artículo 22.2 LSSI es permitir que sea el usuario el que decida quién accede a su navegador y de qué forma lo puede hacer. El consentimiento, condición para que se puedan instalar las cookies podría recabarse de infinidad de formas: el desplazamiento, a su solicitud del usuario, de la página por medio de scroll; la instalación de cookies retardada, de forma que permita salir del sitio sin ellas; la pulsación de cualquier botón de la web; la aceptación de una casilla habilitada al efecto… Para cada propuesta de cumplimiento válido, hay una solución técnica posible.
Si una empresa necesita asesoramiento sobre el cumplimiento de la Ley de Cookies, en Abanlex contamos con equipos de abogados e informáticos que llevan a cabo el trabajo de la forma más adecuada en cada caso.
Ramificaciones interpretativas (Imagen de roopr)
8.- Se debe obtener el consentimiento previo
Sí, la AEPD considera que es obligatorio, pero que su falta de obtención no es sancionable.
Considero que la AEPD interpreta mal la Ley. La Ley exige que la información sobre cookies sea:
Si interpretamos, como hace la AEPD, que el carácter previo al consentimiento no es un requisito esencial de la información, porque el consentimiento en sí no lo es, llegamos al absurdo de considerar:
Sancionable la información previa, completa, pero confusa.
No sancionable la información clara, completa, pero entregada a los 3 días.
Resulta palmario que, según el artículo 38.4.g de la LSSI, es una infracción leve «El incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22, cuando no constituya una infracción grave.”
La información que no es previa a la instalación no es una información válida porque incumple el requisito más fundamental que se le exige: que sea previa. El hecho de que medie o no consentimiento es irrelevante; pero el hecho de que la información no sea previa sí es un incumplimiento de las obligaciones de información y, por tanto, sancionable.
Recordemos que «en ámbito administrativo sancionador rigen los principios de legalidad y tipicidad recogidos en los artículos 127 y 129 de la Ley 30/1999, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, que obligan a circunscribirse al sentido literal del precepto y a la tipificación contemplada respecto del mismo, sin que en ningún caso quepa efectuar una interpretación en sentido amplio». Lo que no es aceptable es que la AEPD se invente un artículo 38.4.g de la LSSI distinto del que ahora está en vigor. Dice la AEPD que «no puede sancionarse una conducta que no está contemplada en el tipo sancionador fijado por el artículo 38.4.g) de la LSSI, ya que este precepto hace referencia al establecimiento de un procedimiento de rechazo del tratamiento de datos», pero ¡también hace referencia a la obligación de información establecida en el apartado 2 del artículo 22!
El acto de copiar una frase del aviso legal (“instalo cookies”, por ejemplo) en la portada de una web podría haber sido una vía para cumplir el contenido del artículo antiguo 22.2 LSSI, que solo pedía informar. Afortunadamente, ahora el actual artículo 22.2 LSSI permite instalar cookies a condición de que se haya obtenido el consentimiento del usuario, después de que se le haya facilitado información clara y completa sobre la finalidad de las cookies. La instalación de todo tipo de cookies al usuario no debería ser automática, por el mero hecho de que este haya accedido al sitio web.
Cambiar las palabras “a condición de” y “después» , recogidas en la Ley, por un “el prestador podrá instalar y permitir a otros instalar lo que quieran pero luego debe informar con un pop-up de que su aviso legal contiene más información”, me parece inadecuado y peligroso. Esta interpretación transformaría de forma dañina la modificación de la ley en una mera adición de “y ahora el prestador informará por medio de un pop-up”, lo cual poco tiene que ver con la condición de obtención del consentimiento previo informado.
El Ministerio de Justicia demuestra, en su web www.mjusticia.gob.es, que es posible cumplir el nuevo artículo por medio de la obtención de una aceptación tácita realizando la instalación de cookies después de que el usuario pulse cualquier botón y después de haber recibido la debida información.
Naturalmente, toca aprovecharse de esta interpretación de la AEPD, que desnaturaliza por completo la Ley de Cookies y da vía libre a que nuestros clientes puedan instalar cookies directamente, informándoles después y sin obtener su consentimiento informado. Será un acto ilegal, pero si la AEPD considera que no es sancionable, el riesgo se convierte en ampliamente asumible.
Salta la Ley legalmente (Imagen de Steven Goodwin)
9.- Cookies exentas del deber de información
De las cookies que instalaban las empresas sancionadas, dos podían instalarse sin necesidad de informar y sin tener que obtener el consentimiento sobre su uso: «“frontend” y “External_no_cache”, que resultan estrictamente necesarias para el funcionamiento del carrito de la compra y el mantenimiento actualizado de los precios de los productos a la venta, respectivamente».
Dos leyes diferentes (Imagen de Billy Alexander)
10.- Ley de Cookies & Protección de Datos
Un detalle de especial importancia es que no es posible que la AEPD sustituya la multa por una amonestación, aplicando el artículo 45.6 de la LOPD, debido a que el régimen sancionador que opera para las infracciones de la LSSI es el previsto en la LSSI, no en la LOPD.
Echando la llave (Imagen de Carlos Paes)
11.- Uso de la propiedad privada
La propiedad privada de los individueos sufre con la instalación de cookies; porque tan propio puede ser un terreno como un bit.
El uso no consentido de clústeres en los terminales, para almacenar archivos no esenciales sin el consentimiento del usuario, cuando este confía en que las empresas españolas cumplan la Ley y le pidan consentimiento previo, supone un aprovechamiento ilícito de la propiedad privada digital. Ni es un asunto de LOPD ni de LSSI… pero también es cierto que la norma que restringe la instalación de ciertas cookies tiene su origen en la protección de los bienes electrónicos del destinatario de los servicios. A escala reducida, la implicación de este bloqueo de unidades de almacenamiento para fines comerciales del denunciado no tiene implicaciones graves, pero al ser parte de un uso masivo no consentido se convierte, de por sí, en la causa de un efecto nocivo para la navegación segura, sin intrusiones de terceros y sin archivos o cookies de espionaje de comportamientos (o spyware).
Personalmente, el caso me ha resultado interesante. Profesionalmente, considero que la Ley de Cookies es una «ley injusta» que debe ser derogada o ampliamente modificada de forma inmediata.
Los nombres de las entidades sancionadas no se indican aquí para evitar que este artículo se convierta en un patíbulo digital de empresas que incumplen leyes, a pesar de que sean leyes injustas como esta.
Tags: abogado de internetComercio Electrónicocookiesderecho de internetsanción
12 thoughts on “Primeras multas por vulnerar la Ley de Cookies. Explicamos el caso”
Pingback: Sanción por instalar cookies de Google Analytics y de otros servicios | Blog de Derecho - Pablo Fernández Burgueño
Pingback: Cómo cumplir la Ley de Cookies | Blog de Derecho - Pablo Fernández Burgueño
Pingback: ¿Cumple tu blog con la Ley de Cookies? | El administrado 2.0
16 febrero, 2014 a las 8:36 pm
Tengo una duda. Ponéis como ejemplo de cumplimiento de la ley de cookies la web del ministerio de justicia http://www.mjusticia.gob.es sin embargo en dicha web aunque se avisa de la instalación de las cookies de google analytics, no se avisa de las cookies de youtube (que también se instalan). ¿No es este un incumplimiento de la norma?
1 mayo, 2016 a las 9:14 pm
Pingback: ¿Cumple tu web con la "Ley de cookies"? | José Ramón Valle | Interim Marketing
Pingback: Qué es una cookie y cómo cumplo con la Ley de cookies en mi web
Pingback: La dichosa política de cookies – Blog de ingleseoi.es
Pingback: ‘Ley de cookies’ y pymes: cómo adaptarse
Pingback: Cómo hacer una auditoría de cookies (Paradoja Epicel) | Pablo F. Burgueño
Next Abanlex colabora en la obra de Cristina Lucas “Es Capital”
Previous La ingeniería inversa es legal en España

References: Resolución 
 artículo 22
 artículo 38
 artículo 22
 artículo 38
 resolución 
 artículo 22
 artículo 22
 artículo 38
 artículo 22
 artículo 38
 resolución 
 resolución 
 artículo 22
 artículo 38
 artículo 22
 artículo 38
 artículo 38
 artículo 22
 artículo 22
 artículo 45