La Audiencia Nacional ha confirmado la multa de 30.000 euros que la Agencia Española de Protección de Datos (AEPD) impuso a Iberia por incumplir la Ley de Servicios de la Información y Comercio Electrónico. Ello en relación a la política de cookies de su página web.
Las magistradas Lourdes Sanz (presidenta), María Nieves Buisan (ponente) y Begoña Fernández han desestimado el recurso contencioso-administrativo en la sentencia dictada el 17 de junio. Entienden que Iberia no tomó medidas para modificar la web hasta que no recibió una comunicación en la que se incoaba el expediente sancionador.
Todo comenzó cuando el 23 de octubre de 2019 un usuario decidió presentar una reclamación ante la AEPD porque, al buscar un viaje en Iberia, “no le daba la opción de rechazar las ‘cookies’”. Le decía “que tenía que aceptarlas para seguir navegando”.
Ante esta situación, la Agencia decidió dar traslado de la situación a Iberia para que pudiese dar explicaciones. La aerolínea contestó el 28 de enero de 2020 manifestando que llevaban trabajando en el diseño de adaptación de «cookies» desde junio de 2019 y que desde mediados de enero la página web cumplía con las exigencias del Reglamento General de Protección de Datos y de la Ley Orgánica de Protección de Datos.
Pero días después, el 6 de febrero, la AEPD comprobó que Iberia, en su página web, además de seguir sin ofrecer la opción de “rechazar todas las cookies”, informaba de una política en la que varios puntos no se ajustaban a las recomendaciones de la Agencia.
Información poco clara y transparente, según la AEPD
Además, las investigaciones revelaron que el «banner» sobre «cookies» de la primera capa proporcionaba información poco precisa, poco transparente e inteligible. Algo que estaba en contra de lo recomendado por la Guía de la AEPD.
La aerolínea recurrió la sanción ante la Audiencia Nacional. Alegó que a fecha de 30 de enero de 2020 ya cumplía con la normativa al permitir aceptar y rechazar las «cookies». Pero las magistradas no pudieron estar más de acuerdo con la decisión tomada por la Agencia.
Ya que «no es hasta que Iberia recibe comunicación de la incoación del expediente sancionador, por incumplimiento de la Ley de servicios de la sociedad de la información y comercio electrónico, cuando procede a modificar la repetida página web”.
Por otro lado, la aerolínea manifestó que la sanción no era proporcional. Y aunque era cierto que no habían sido aplicados ninguno de los criterios de minorización del importe de la sanción, Iberia, contrariamente a lo alegado en la demanda, no había cumplido con lo previsto en el artículo 40 de la LSSI.
Pues hubo intencionalidad en los hechos y la infracción no tuvo lugar durante «unas pocas semanas», sino que llevaba desde mediados de 2019 adaptando su web a la normativa vigente.
«Y en cuanto a la reincidencia en materia de «cookies», indicar que la web denunciada pertenece a una de las empresas más importantes del país, que recibe diariamente miles y miles de usuarios, por lo que sus efectos, aun dentro de un periodo no prolongado de tiempo, han podido ser muy importantes», comentaron las magistradas.
Por lo que las magistradas concluyeron que la sanción era ponderada y proporcionada a la gravedad de los hechos «sin que se aprecien razones que justifiquen su minoración».
