La Comisión Nacional de la Informática y las Libertades (CNIL), autoridad francesa competente en materia de privacidad y protección de datos personales, a través de su comité restringido, responsable de la imposición de sanciones, ha impuesto en los últimos días multas a empresas del grupo Alphabet Inc. (Google Ireland y Google LLC) y a Amazon por importe de 100 y 35 millones de euros, respectivamente, por incumplimientos relacionados con el uso e instalación de cookies. La falta de obtención de un consentimiento previo a su instalación y deficiencias a la hora de suministrar la información al usuario han sido las razones que han motivado dichas decisiones.
En ambos casos, según los antecedes de la resolución, el objetivo principal de las investigaciones efectuadas por la CNIL tenían como objetivo principal verificar el cumplimiento de la Ley de Protección de Datos francesa (Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) a través de controles en línea sobre los sitios web google.fr y Amazon.fr ( sobre este último se realizó también una inspección en las instalaciones de uno de los establecimientos del grupo empresarial).
El importe final de las sanciones se determinó teniendo en cuenta, además de la naturaleza de los incumplimientos, el volumen de tráfico de usuarios que se produce en sus webs y los beneficios (ingresos publicitarios en el caso de Google e incremento de la visibilidad de sus productos en otras webs en el caso de Amazon) que indirectamente habrían obtenido a través del uso e instalación de las cookies en los dispositivos de los usuarios.
Motivos de la sanción
Específicamente, es la infracción del artículo 82 de la mencionada ley de protección de datos francesa la que vendría a motivar dichas sanciones. Este precepto viene a trasponer al Derecho interno francés el artículo 5, apartado 3, de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, conocida comúnmente como Directiva e-Privacy.
En los términos del citado artículo 82 de la ley francesa “todo suscriptor o usuario de un servicio de comunicaciones electrónicas debe ser informado de manera clara y completa, salvo si lo ha sido previamente, por el responsable del tratamiento o su representante: 1 ° de la finalidad de cualquier actuación encaminada a acceder, por transmisión electrónica, a información ya almacenada en su equipo terminal de comunicaciones electrónicas, o escribir información en este equipo; 2 ° de los medios a su alcance para oponerse.
Estos accesos o registros solo pueden tener lugar a condición de que el suscriptor o usuario haya expresado, después de recibir esta información, su consentimiento que puede resultar de parámetros apropiados de su dispositivo de conexión o de cualquier otro dispositivo QUE se encuentre bajo su control.
Estas disposiciones no son aplicables si el acceso a la información almacenada en el equipo terminal del usuario o el registro de información en el equipo terminal del usuario: 1 ° o, tienen el único propósito de habilitar o facilitar la comunicación electrónica; 2 ° O bien, es estrictamente necesario para la prestación de un servicio de comunicación online a petición expresa del usuario”.
CNIL ha venido a entender en ambos casos que se incumplen dos de los requisitos básicos definidos en esta disposición para el uso e instalación de cookies: por un lado, existirían deficiencias a la hora de cumplir con el deber de información(i) y, por otro, no se habría obtenido el consentimiento necesario para estos casos (ii).
Falta de transparencia. Información incompleta y poco clara.
- En el caso de Google, a pesar de argumentar haber seguido las Directrices del Grupo de Trabajo del artículo 29 sobre transparencia en virtud del Reglamento (UE)2018/679, el banner informativo por niveles donde se presentaba un primer nivel que recogía los términos “recordatorio a la privacidad de Google( en francés, Rappel concernant les règles de confidentialité de Google) y las opciones “recordarme más tarde” o “acceder ahora”(redirigiendo a un segundo nivel informativo) es insuficiente y poco clara. Para la autoridad francesa, esta práctica no permitía a los usuarios franceses conocer de forma previa y clara la instalación de cookies en sus dispositivos ni, en consecuencia, de la finalidad de éstas, así como de los medios a su disposición para poder rechazarlas.
- Para CNIL tampoco resultaron lo suficientemente claros y completos los cambios realizados por Google en su información durante el inicio del procedimiento sancionador al entender que (1)se seguían describiendo las finalidades de las cookies de manera demasiado general para que los usuarios pudiesen comprender de manera fácil y clara para qué usos específicos se instalan las cookies en su terminal y (2) los nuevos términos para acceder al segundo nivel de información no eran lo suficiente explícitos como para permitir a los usuarios comprender directamente el alcance de sus derechos con respecto a las cookies instaladas en su terminal(es decir, la posibilidad de rechazarlas y el medio a su disposición para ello).
En este sentido, Google habría venido mostrando una ventana emergente al usuario, antes de poder acceder al motor de búsqueda informando en los términos siguientes:
“Google utiliza cookies y otros datos para proporcionar, administrar y mejorar sus servicios y anuncios. Si está de acuerdo, personalizaremos el contenido y los anuncios que ve en función de su actividad en los servicios de Google, como Búsqueda, Maps y YouTube. Algunos de nuestros socios también evalúan cómo se utilizan nuestros servicios. Haga clic en «Más información» para explorar sus opciones o visite g.co/privacytools en cualquier momento, siendo los términos cookies, socios y g.co/privacytools enlaces en los que se podía hacer clic. En la parte inferior de esta ventana emergente, había además dos botones etiquetados con “Más información” y “Acepto”.
- En el caso de Amazon, el CNIL entiende que el banner informativo de su web haciendo alusión a “mediante el uso de este sitio web, aceptas el uso de cookies permitiendo ofrecer y mejorar nuestros servicios. Más información” solo contendría una información general y aproximada de la finalidad de las cookies instaladas.
Desde el punto de vista de CNIL, la referencia a “ofrecer y mejorar nuestros servicios” solo alcanzaría a informar al usuario de que las cookies están registradas con el fin de que la empresa pudiese asegurar el correcto funcionamiento de su actividad y hacerla evolucionar, pero el usuario no llegaría a comprender el tipo de contenido y anuncios que pueden personalizarse debido a su comportamiento. Tampoco ese banner resultaría suficiente para que el usuario entendiese que las cookies instaladas en su dispositivo eran empleadas para mostrar anuncios personalizados ni se explicaría en él el modo en el que el usuario podía rechazarlas.
- Mas notorio es aún para el CNIL el incumplimiento del deber de información en aquellos casos en los que un usuario accede al sitio Amazon.fr a través de anuncios publicados en webs terceras, dada la instalación de cookies en los terminales de usuarios automáticamente y la ausencia de información.
Según siempre el criterio de CNIL, el argumento de Amazon señalando que en los sitios webs de terceros se incluyen iconos AdChoices que enlazan con una página donde el usuario, al hacer clic, puede acceder a información sobre la política de cookies no es válido. El comité restringido considera que no entraría dentro de las expectativas razonables del usuario el clicar en dicho icono, de tamaño reducido, antes de hacer clic en el mismo anuncio, ni tampoco la página a la que se refiere el incono AdChoices contiene información suficiente sobre los fines de las cookies o el medio para rechazarlas.
Ausencia del consentimiento
- El comité restringido observó en ambos casos que: (i) la mayoría de las cookies empleadas tenían fines publicitarios y, por tanto, no contaban con ninguna exención de las previstas en la ley para la obtención del consentimiento y (ii) cuando un usuario visitaba la página google.fr o Amazon.fr, las cookies se instalaban automáticamente en su equipo terminal antes de realizar cualquier tipo de acción (incluso de acciones como continuar navegando, práctica que fue válida para la CNIL hasta el 17 de septiembre de 2020).
- Además, en el caso de Google, la autoridad francesa consideró que existe incumplimiento del artículo 82 por apreciar defecto del mecanismo de oposición de las cookies que requerían consentimiento del usuario. El comité restringido observó que cuando el usuario hacía clic en el botón “acceder ahora” del banner mencionado anteriormente y procedía a cambiar la configuración de anuncios, desactivando la opción personalización de anuncios de Google y la personalización de anuncios web (confirmando incluso su elección) , al menos una de las cookies con fines publicitarios permanecían almacenadas en su equipo terminal mientras navegaba y la información que contenía seguía siendo leída sistemáticamente por el servidor del dominio al que estaba vinculada la cookie (por ej. Google.com o google.fr) durante cada nueva interacción con el dominio.
- En el caso de Amazon, el CNIL observó que la redacción dada al banner de Amazon “mediante el uso de este sitio web, aceptas el uso de cookies permitiendo ofrecer y mejorar nuestros servicios. Más información “no contenía información precisa sobre los medios de que disponen los usuarios para expresar su elección con respecto a la instalación de cookies. No obstante, reconoce que, si bien la configuración del navegador puede constituir en determinados casos un mecanismo válido para recabar el consentimiento, es con la condición de que el usuario haya sido informado previamente de que dispone de dicha posibilidad, no dándose este requisito en el caso de Amazon.
____________________
Área IT, Privacidad y Seguridad
Telf: + 34 91 781 61 60