La responsabilidad del prestador frente al editor por la instalación de cookies. Google, AEPD y cookies

publicado el 13 junio 2014

Categorías: Agencia Proteccion Datos / Derechos Fundamentales / Instituciones Públicas y Organismos / LSSI / Normativa / Protección de Datos

La batalla entre la Agencia Española de Protección de Datos (o más bien las agencias europeas de protección de datos) y Google continúa. Si anteriormente se había fundamentado en el famoso «derecho al olvido», la desindexación de información personal y el cumplimiento de la Ley Orgánica de Protección de Datos, ahora nos encontramos con una sanción de 25000 € por una infracción del artículo 22 de la LSSI, esto es la obligación de informar y solictar el consentimiento por la instalación de cookies.

En esta larga y complicada resolución (os invito a leerla con detenimiento para conocer la discusión, y la gran tensión existente entre ambas entidades) permite desde luego conocer el funcionamiento de las cookies de Google, la defensa de la misma y la actuación de investigación de la Agencia en estos casos. Antes de nadalo que llama sorprendentemente la atención, por lo menos a mí, es que si en un primer momento la denuncia fue hacia una entidad que había creado un blog en Blogger, ésta pasa a desaparecer casi de puntillas por el procedimiento, simplemente sirve como defensa que el blog se eliminó (apunten esto por si alguna vez les sucede lo mismo en un procedimiento sancionador):

Con fecha 20 de febrero de 2013, el responsable del Centro Ecuestre “XXXXXXX”, en contestación al requerimiento de información efectuado, únicamente comunicó la eliminación total del sitio web alojado en XXXXXXX.blogspot.com

¿y qué es lo que hace la Agencia?: pues crear un blog, según ellos, de las mismas características que el denunciado:

Con fecha 4 de marzo de 2013 se creó el blog http://C.C.C. respetando la configuración inicial del mismo. Para ello, en el blog únicamente se añadió una entrada con texto, sin incluir imágenes o videos que dieran lugar al uso de otros servicios distintos a los del propio servicio de blog. Al acceder a la página principal del blog recién creado se comprueba que en el terminal se descargaron 5 cookies de los dominios www.blogger.com, google.com y gstatic.com.

Y teniendo yas las pruebas y continúa el procedimiento sancionador sin aparecer ya, reitero, la entidad anteriormente denunciada. Por ello, Google como prestador de servicio es responsable del cumplimiento del artículo 22 y por ello debe establecer todas las herramientas posibles para que los editores puedan informar convenientemente a sus usuarios de la instalación de las cookies en sus terminales:

En el presente supuesto, de la valoración conjunta de las pruebas efectuadas a lo largo de la tramitación del procedimiento, y particularmente de la actuación practicada por el Inspector actuante al crear el blog http://YYYYYY…………blogspot.com.es con fecha 4 de marzo de 2013, ha quedado acreditado que Google instala y utiliza, por defecto, en los terminales de los usuarios que acceden a los blogs creados bajo la infraestructura de su servicio on-line Blogger, y configurados sin la opción del campo “ID de propiedad web de Google Analytics”, cuatro cookies asociadas a dicha herramienta analítica (“_utma”, “_utmb”, “utmc” y “utmz”), y una cookie publicitaria (NID). La descarga de dichos dispositivos y el acceso a los datos almacenados en los mismos se produce sin que Google proporcione a los editores que emplean la infraestructura de Blogger información sobre la utilización de tales dispositivos propios o de terceros, ni los fines concretos para los que se tratan los datos recogidos, ni indique la forma de desactivar o eliminar dichas cookies o revocar el consentimiento, lo que impide a los mencionados editores de espacios web conocer y trasladar tal información a los visitantes de los blogs creados mediante dicha plataforma a fin de dar cumplimiento a las exigencias de consentimiento informado recogidas en el artículo 22.2 de la LSSI .

Asimismo, consta acreditado que se trata de un incumplimiento de naturaleza estructural del servicio, ya que con independencia de la configuración elegida por los editores al diseñar los blogs, dicha empresa es perfecta conocedora de que utiliza cookies analíticas y de publicidad en los equipos terminales de los usuarios que navegan por los sitios web creados bajo la infraestructura Blogger sin informar de tal tratamiento de datos a los mencionados editores y a los visitantes de los sitios web en cuestión, incumpliendo de esta forma el requisito de obtener el consentimiento informado de los destinatarios del servicio (editores y visitantes) en cuyos equipos terminales se instalaban dichas cookies al no mediar la información previa, clara y completa sobre cookies requerida para poder considerar que se ha consentido en forma válida el uso de dichos dispositivos

De este modo, la AEPD considera que a la entidad imputada le era exigible otra conducta diferente de la que observó, fundamentalmente si se valora que se trata de una empresa que desarrolla su actividad en Internet, por lo que está obligada no sólo a conocer las exigencias recogidas en la LSSI para garantizar la defensa de los derechos de los destinatarios de los servicios de la sociedad de la información que utilizan sus servicios y productos, sino también a implantar los mecanismos y procedimientos necesarios para asegurar su efectividad. Sin embargo, Google Inc. ha procedido a ocultar intencionadamente la información relativa a dicho almacenamiento de cookies y a las finalidades perseguidas con el mismo a los editores de los blogs creados bajo el dominio “blogspot.com.es” o “blogspot.com” en la forma y circunstancias de tanta cita, ello a pesar de conocer el alcance que dicha conducta tenía tanto para los editores afectados como para los usuarios de los sitios web bajo los parámetros y diseño ofrecido por el servicio Blogger en la situación descrita. Los elementos de prueba obrantes en el procedimiento y las consideraciones realizadas conducen a rechazar la falta de responsabilidad en la conducta invocada por Google Inc., habida cuenta que los hechos objeto de imputación se cometieron dolosamente por dicha empresa.

De la resolución, no siendo yo quien defienda a Google, tampoco se me escapa que asimismo, si en este caso por parte de la Agencia al creador del blog se le está etiquetando como editor sin capacidad de elección y culpabilizando al prestador de servicios, cualquier otra resolución al mismo editor se le nombraría prestador de servicios (todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario, en la misma definición de la LSSI) y no le valdría la defensa de que el proveedor no le permite/otorga posibilidad de cumplimiento ¿se acuerdan aquello de la responsabilidad en la elección del proveedor?