1/13 Procedimiento Nº: A/00095/2018 RESOLUCIÓN: R/00618/2018 En el procedimiento A/00095/2018, instruido por la Agencia Española de Protección de Datos a D. B.B.B., vista la denuncia presentada por D. F.F.F., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 07/11/2017, tuvo entrada en esta Agencia un escrito presentado por D. F.F.F. (en lo sucesivo el denunciante), en la que formula denuncia contra D. B.B.B. (en lo sucesivo el denunciado) por el envío de dos correos electrónicos remitidos en fecha 03/11/2017 desde la dirección J.J.J., sin que previamente hubiese otorgado su consentimiento para ello. Manifiesta que en estos correos consta la indicación “Has recibido este email porque eres un suscriptor de esta página web” y que aparentemente corresponde a la web D.D.D., en la que el denunciado figura como contacto. Añade que no figura suscrito a la misma, aunque tiene como contacto al denunciado en la red Linkedin. Asimismo, denuncia que la web D.D.D. no dispone de aviso legal ni informa sobre el uso de cookies. Considera que los hechos denunciados pueden ser constitutivos de infracción de los artículos 5 y 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) Con su denuncia aporta, entre otra, la siguiente documentación: Copia de los correos recibidos en la dirección E.E.E., con el asunto “novetats infocop” y “víctimes repressió catalana” (remite un escrito de autoayuda). Impresión del formulario de contacto de la web D.D.D. en la que figura como contacto B.B.B. y se recaban los datos de nombre, dirección de email, asunto y mensaje. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tiene conocimiento de los siguientes hechos: 1. El dominio I.I.I. está registrado a nombre del denunciado, con domicilio en “ A.A.A.” y dirección de correo electrónico K.K.K.. 2. Con fechas 04/12/2017, 10/01 y 05/02/2018, por los Servicios de Inspección se accedió a la web D.D.D. verificando: No hay constancia de información respecto a lo estipulado en el artículo 5 de la LOPD ni de información y autorización sobre “cookies”. Figura información respecto del denunciado como “ L.L.L.”. La web dispone de un formulario de contacto que coincide con el aportado por el denunciante y solicita los datos de nombre, email, asunto y mensaje. Consta el denunciado como destinatario del contacto con las mismas direcciones postal y electrónica indicadas en el punto 1 y con el teléfono M.M.M.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 En la dirección postal indicada consta ubicada una empresa denominada K.K.K. con el teléfono M.M.M.. 3. Con fecha 04/12/2017 se remitió un requerimiento de información al denunciado, a la dirección postal reseñada, el cual fue devuelto con la indicación “dirección incorrecta”. 4. Con fecha 10/01/2018, se remitió un requerimiento de información a K.K.K. a la dirección “ A.A.A.”, la cual fue igualmente devuelta con la indicación “desconocido”. 5. Con fecha 07/02/2018, se remitió un requerimiento de información a la dirección K.K.K. que figura en el registro del dominio y en la propia web, recibiéndose respuesta en los siguientes términos: “Con todos mis respetos tengo la ley al día…siempre he enviado cv a gente que me había autorizado a tener su mail”. Posteriormente, con fecha 13/02/2018, remitió contestación al requerimiento de la Agencia en la que pone de manifiesto: B.B.B. es el titular de la dirección de correo electrónico J.J.J., remitente de los correos electrónicos denunciados. Respecto de la dirección del correo electrónico E.E.E., el denunciado manifestó que contactó con el denunciante a través de la red de Linkedin, en la cual es obligatorio aceptar la invitación de contacto. Aporta impresión de pantalla de los contactos del denunciado, en la que aparece el denunciante. B.B.B. manifiesta que remitió los correos electrónicos para su lectura y en los mismos consta una leyenda para darse de baja en dichas comunicaciones. B.B.B. manifiesta que no tiene constancia de que el denunciante haya solicitado la oposición a la recepción de comunicaciones por correo electrónico. 6. Con fecha 26/02/2018 se realizó una nueva consulta a la web G.G.G., verificando que figura las siguientes reseñas “Contacto, Información de contacto, Condiciones generales, Derecho de retirada, Política de privacidad”. Todas ellas acceden a una página de gestión en la que figura un formulario de recogida de datos, sin haberse obtenido constancia de información relativa a lo estipulado en la LOPD. Tampoco figura información relativa a cookies. TERCERO: Con fecha 14/03/2018, la Directora de la Agencia Española de Protección de Datos acordó someter a D. B.B.B. (en lo sucesivo el denunciado) a trámite de audiencia previa, en relación con la denuncia por las presuntas infracciones del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como leve en el artículo 44.2.
- c)de la citada Ley Orgánica; y artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como leve en el artículo 38.4.
- d)de la citada Ley. CUARTO: Con fecha 28/03/2018, se recibe en esta Agencia escrito del denunciado en el que comunica que ha procedido a dar de baja el dominio H.H.H. y ha eliminado al denunciante de la lista de contactos de Linkedin. En prueba de sus manifestaciones, aporta impresión de pantalla con el resultado de una búsqueda por el nombre y apellidos del denunciante, que muestra el mensaje “No se ha encontrado ningún contacto”, y otra relativa al dominio indicado con la indicación “parecería que este dominio aún no está conectado a una página web”·. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 QUINTO: Con fecha 04/04/2018, por la Subdirección General de Inspección de Datos se intentó acceder a la web H.H.H., obteniendo el mismo mensaje aportado por el denunciado. HECHOS PROBADOS 1. El dominio I.I.I. está registrado a nombre del denunciado, con domicilio en “ A.A.A.” y dirección de correo electrónico K.K.K.. 2. La web H.H.H. dispone de un formulario de contacto mediante el que se recaban datos personales de los usuarios relativos a nombre y dirección de correo electrónico. En esta web, el denunciado consta como destinatario del contacto, con las mismas direcciones postal y electrónica indicadas en el Hecho Probado Primero y con el teléfono M.M.M.. Asimismo, figura información relativa al denunciado como “ L.L.L.”. 3. Con fechas 04/12/2017, 10/01 y 05/02/2018, por los Servicios de Inspección se accedió a la web D.D.D. verificando: que no ofrece a los usuarios información en materia de protección de datos de carácter personal. 4. El denunciado es el titular de la dirección de correo electrónico J.J.J.. 5. El denunciado contactó con el denunciante a través de la red de Linkedin, en la cual es obligatorio aceptar la invitación de contacto, obteniendo a través de esta red la dirección de correo electrónico del mismo ( E.E.E.). 6. Con fecha 03/11/2017, D. B.B.B. remitió al denunciante dos correos electrónicos desde la dirección J.J.J., recibidos en la dirección E.E.E., con el asunto “novetats infocop” y “víctimes repressió catalana” (remite un escrito de autoayuda). En estos correos consta la indicación “Has recibido este email porque eres un suscriptor de esta página web”, haciendo referencia a la web D.D.D.. 7. El denunciado ha reconocido el envío de los correos objeto de la denuncia. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en los artículos 36 y 37.1.
- g)de la LOPD, y en el artículo 43.1, párrafo segundo, de la LSSI, la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II Los hechos expuestos podrían suponer la comisión, por parte del denunciado, como responsables de la web “ H.H.H.”, de una infracción del artículo 5 de la LOPD, considerando que dichas web incluyen formularios de recogida de datos personales de los usuarios sin facilitar ninguna información en materia de protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 Dicho artículo 5 de la LOPD se establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (...)”. La obligación que impone este artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Así, de acuerdo con lo establecido en el artículo 5 transcrito, el denunciado debe informar a los interesados de los que recaben datos sobre los extremos establecidos en el aludido artículo 5.1. La información a la que se refiere el artículo 5.1 de la LOPD debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. El apartado 2 establece una regla especial para los supuestos en que se utilicen formularios u otros impresos para la recogida de la información exigiendo que “... figuraran en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior”. Por su parte, el artículo 4.1 de la LOPD concreta las finalidades para las que pueden recabarse y tratarse los datos personales exigiendo. La Ley ha querido, por tanto, imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 En este sentido, la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “… es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Según se ha indicado, las normas expuestas exigen que la información se facilite con carácter previo a la recogida de los datos y que, en caso de utilizarse formularios para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 recogida de datos, la información ha de figurar en los mismos. En este caso, según consta reseñado en los Hechos Probados, el denunciado no ha justificado haber cumplimiento, con anterioridad a la apertura del presente procedimiento, el deber de información con carácter previo a la recogida de los datos de los usuarios de la web “ H.H.H.”, en la que se incluye un formulario de “contacto”, mediante los que se recaban datos personales relativos a nombre y dirección de correo electrónico. Asimismo, consta acreditado que dicha web no incluían información en materia de protección de datos de carácter personal (no incluían ningún documento de política de privacidad ni aviso legal). En consecuencia, se acredita que el denunciado incumplió el deber de informar establecido en el artículo 5 de la LOPD, incurriendo en la infracción leve tipificada en el artículo 44.2.
- c)que considera como tal “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. III Por otra parte, se tuvo en cuenta que el denunciado no ha sido sancionado o apercibido con anterioridad por esta Agencia, por lo que de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter al mismo a trámite de audiencia previa al apercibimiento, en relación con la denuncia por la infracción del artículos 5 de la LOPD. El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: a que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. b Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que establecen lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad del denunciado por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, la escasa vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal, el volumen de tratamientos, el volumen de negocio o actividad del infractor y la falta de constancia de perjuicios causados al denunciante o a terceras personas distintos de los derivados de la propia infracción. Todo ello, justifica que la AEPD no acordara la apertura de un procedimiento sancionador y que optase por aplicar el artículo 45.6 de la LOPD. IV A los efectos de examinar si el envío de los correos electrónicos denunciados puede constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios equivalentes de comunicación electrónica. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la LSSI señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. A su vez, el apartado
- d)del anexo de la LSSI define al “Destinatario del servicio” o “destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información”. De este modo, la LSSI, en su artículo 21.1, prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
- h)de la LOPD, que define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
- b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. Como se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
- f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
- f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI, en su Anexo a), define como Servicio de la Sociedad de la Información, “todo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. Los correos electrónicos objeto de las presentes actuaciones, atendiendo a su contenido, se ajusta a este concepto de comunicación comercial. V En el presente supuesto, de la valoración conjunta de los elementos fácticos obrantes en el procedimiento sancionador, ha quedado acreditado que el denunciado es responsable del envío de dos corres electrónicos publicitarios, de fecha 03/11/2017, remitido desde su dirección de correo ( J.J.J.) a la dirección del denunciante ( E.E.E.). No consta acreditada la existencia de una relación contractual previa, tal y como se recoge en el primer párrafo del apartado 2 del artículo 21 de la LSSI, resultando que el denunciado no obtuvo el consentimiento para utilizarlos con la finalidad de remitir comunicaciones comerciales. Por tanto, el denunciado carecía del consentimiento para el envío de los correos en cuestión, por lo que ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI al enviar dos correos electrónicos promocionales al denunciante sin contar con su consentimiento y sin que quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 de dicha norma. VI El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación”. La definición de prestador del servicio se contiene en el apartado
- c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De acuerdo con lo establecido en los apartados 3.
- c)y 4.
- d)del artículo 38 de la LSSI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 actualmente en vigor, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
- c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
- d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción de carácter grave. A partir del conjunto de hechos y circunstancias constatadas y con arreglo a lo dispuesto en los citados preceptos, la conclusión que se desprende es que la conculcación del artículo 21 de la LSSI que se imputa al denunciado se ajusta al tipo de infracción calificada como leve en el artículo 38.4.
- d)de la vigente LSSI, ya que el envío de un correo electrónico promocional sin contar con su consentimiento previo y expreso para ello, no puede ser calificado como “envío insistente o sistemático” de comunicaciones comerciales no solicitadas por medios electrónicos por parte de la referida entidad. VII El artículo 39 bis de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: “1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 concurran los siguientes presupuestos:
- a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Por su parte el artículo 40 de la LSSI, en relación con la “Graduación de la cuantía de las sanciones”, determina lo siguiente: La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
- a)La existencia de intencionalidad. b). Plazo de tiempo durante el que se haya venido cometiendo la infracción.
- c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
- d)La naturaleza y cuantía de los perjuicios causados.
- e)Los beneficios obtenidos por la infracción.
- f)Volumen de facturación a que afecte la infracción cometida.
- g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En el presente supuesto se cumplen los requisitos recogidos en las letras
- a)y
- b)del citado apartado 2 del artículo 39 bis de la LSSI, así como la concurrencia del supuesto previsto en el artículo 39 bis 1.
- a)de la misma norma, toda vez que se constata una cualificada disminución de la culpabilidad del denunciado teniendo en cuenta que concurren de forma significativa las circunstancias de falta de constancia de la existencia de perjuicios al denunciante al margen de los propios de la comisión de la infracción. VIII Los hechos denunciados son constitutivos de las infracciones imputadas y determinaron la apertura del presente procedimiento de apercibimiento. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella, y considerando que el objeto del apercibimiento es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 procedente en Derecho es acordar el archivo de las actuaciones. Como se ha señalado en los Antecedente Cuarto y Quinto, en el asunto analizado, consta que el denunciado ha dado de baja la web H.H.H. y ha eliminado al denunciante de la lista de contactos de Linkedin. Por tanto, a la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) referente a los supuestos en los que el denunciado ha adoptado las medidas correctoras oportunas, de acuerdo con lo señalado se debe proceder al archivo de las actuaciones. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00095/2018 seguido contra D. B.B.B., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 5 de la LOPD y del artículo 21.1 de la LSSI. 2.- NOTIFICAR el presente Acuerdo a D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es