Así pasa Massimo Dutti de la protección de datos: 5.000 euros de multa por imponer las cookies

Si Bershka o Pull&Bear fuesen los miembros más jóvenes y rebeldes de una gran familia cuya cabeza fuese Zara (el pariente más boyante e influyente, una mujer moderna, estilosa y capaz de adaptarse a las tendencias internacionales sin perder la practicidad), Massimo Dutti sería ese tío ya entrado en años, con la cabellera de plata, sofisticado y sobrio. No obstante, el carácter distinguido y elegante de la firma de Inditex parece desvanecerse cuando está en juego la privacidad de los usuarios que visitan su web: la Agencia Española de Protección de Datos (AEPD) ha propuesto una multa de 5.000 euros a la empresa.

Lo ha hecho porque Massimo Dutti ha vulnerado la Ley de Servicios de la Sociedad de la Información y del Comercio Electrónico (LSSI). La resolución se ha publicado a finales de agosto, pero los hechos se remontan a 2021, cuando un usuario detectó que en la web había un banner que no daba la opción de “rechazar todas las cookies” que no fueran técnicas o necesarias. Además, según recoge el documento, este internauta denunció que el diseño de los enlaces era engañoso.

Qué son las cookies

Las cookies, tal y como las define Google, son pequeños fragmentos de texto “que los sitios web que visitas envían al navegador”. Permiten que se recuerde información sobre la visita, “lo que puede hacer que sea más fácil volver a visitar los sitios y hacer que estos te resulten más útiles”. Esta sería la versión dulcificada. Suena menos bonito decir que realizan un seguimiento de los movimientos del usuario por el sitio y que pueden violar su privacidad.

Eso es lo que hizo Massimo Dutti. Según la resolución de la AEPD, cuando el usuario denunció, no era tan fácil retirar su consentimiento como darlo. Es decir, que la empresa no ponía el mismo interés en que los internautas, al navegar por su sitio, dijeran no al almacenamiento de su información. Por si fuera poco, una vez que una persona había clicado en la opción “aceptar todas las cookies” o “aceptar algún grupo de cookies” a través del panel de control, no tenía la opción de retirarlo. El consentimiento dejaba de ser tal: se le impedía al cliente modificar su decisión.

Conocer los gustos del usuario

Gonzalo Oliver es especialista en Privacidad, Ciberseguridad y Protección de Datos, además de socio de la Asociación Española de Delegados de Protección de Datos. Este experto explica a Consumidor Global que las cookies se regulan en el artículo 22.2 de la LSSI. “Las empresas las utilizan para conocer los gustos del usuario, sus patrones de consumo e información similar con la que después pueden mostrar publicidad específica que pueda interesarles”, cuenta.

Artículo relacionado

Multazo a una empresa de fiestas infantiles por publicar en Instagram fotos de menores sin permiso

Ana Siles

Pero Massimo Dutti no quería esa información para sí mismo, sino para prestarla a otros. Hay tres cookies de terceros que suelen estar presente en este tipo de webs, indica Oliver, las tres de Google Analytics:  _ga, que se almacena durante 2 años, gid (24 horas) y _gat (1 minuto).

Consentimiento expreso

Y la normativa, recuerda este experto, cambió en octubre de 2020, cuando se estableció que las cookies de terceros que no fuesen necesarias para el funcionamiento del sitio necesitarían tener el consentimiento expreso del usuario. “Lo que indica la resolución de la AEPD es que, en este caso, la instalación de cookies fue automática, y, aunque el usuario las graduó, la opción de quitarlas no aparecía”, afirma.

Y no está permitido que sea algo instantáneo. “Al entrar en la página principal y sin realizar ninguna acción sobre las mismas, ni aceptar las cookies, se ha podido constatar que se utilizaban cookies, entre las que se encuentran dos cookies de rendimiento”, dice la sentencia.  El funcionamiento es otro. “Accedes a la web. Salta un aviso emergente, y hasta que no dices que sí, no se te puede instalar nada”, resume Oliver.

“Ausencia de información suficiente”

Tras la denuncia del internauta, la APED investigó. Analizó cómo almacenaba la información la firma de Inditex, qué hacía bien y qué no. En marzo de 2023 apreció “indicios razonables de vulneración de lo establecido en el art. 22.2 de la LSSI” al hallar “ausencia de información suficiente en la primera capa acerca de las finalidades de la instalación de las cookies”.

Massimo Dutti alegó, dio sus explicaciones, y la agencia volvió a mirar a fondo para ver qué ocurría. Así, constató que, si un internauta que inicialmente había aceptado las cookies quería dar marcha atrás, “la web sigue utilizando las cookies de terceros instaladas cuando se aceptaron al comienzo, imposibilitando al usuario, si se desea cambiar de opinión, negar ahora el consentimiento una vez prestado”.

Massimo Dutti rectifica

Más tarde, iniciado el procedimiento sancionador, Massimo Dutti rectificó y cambió algunas cosas: la AEPD, que revisó varias veces su web, constató que “una vez prestado el consentimiento para el uso de las cookies que no son técnicas o necesarias, si se desea retirar el consentimiento prestado, la web ya NO utiliza las cookies que se consintieron, volviendo a utilizar solamente las cookies técnicas o necesarias detectadas al principio, desapareciendo las cookies de terceros”.

Artículo relacionado

De compras en la ‘tienda del futuro’ de Lefties: “Nos hemos perdido porque es todo muy nuevo”

Ana Carrasco González

Pero, aunque la firma de Inditex se había adaptado a la normativa, “eso no hace que desaparezca el incumplimiento que ha quedado probado, desde que esta Agencia realizó la primera comprobación de la web el 16/03/23”. Es decir, que el delito, aunque enmendado, había sido cometido y la empresa cazada.

Multas de hasta 30.000 euros

Por todo ello, la AEPD impuso una multa de 5.000 euros por una infracción del artículo 22.2 de la LSSI, tipificada como “leve” en el artículo 38.4 g. En estos supuestos, indica Oliver, la ley contempla multas de hasta 30.000 euros, un importe bastante inferior, expone, al establecido en Francia para estos mismos delitos.

Además, recuerda que Massimo Dutti no es la primera que incumple la normativa: en 2020, la AEPD impuso a Iberia una multa de 30.000 euros por obligar a los internautas que accediesen a su web a aceptar las cookies. Oliver cree que son importes muy bajos si se comparan con las ganancias de las empresas. “No tiene nada que ver con todo el beneficio que sacan a través de las cookies. ¿Les compensa a nivel comercial? Creo que está claro”.