A-00176-2018

1/8 Procedimiento Nº: A/00176/2018 RESOLUCIÓN: R/01017/2018 En el procedimiento A/00176/2018, instruido por la Agencia Española de Protección de Datos a la entidad SAKBO SPAIN, S.L., vista la denuncia presentada por Don D.D.D. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 4 de enero de 2018, tuvo entrada en esta Agencia un escrito del apoderado de la entidad ANFI SALES, S.L. en el que, en nombre y representación de su cliente, Don D.D.D. , (en lo sucesivo el denunciante), exponía que la mercantil SAKBO SPAIN, S.L., con nombre comercial Timeshare Reclaim&Consulting (en lo sucesivo la denunciada o TRC) había remitido una comunicación comercial al denunciante ofreciéndole sus servicios jurídicos sin mediar autorización previa o consentimiento expreso del mismo para ello ni existir, tampoco, una relación contractual previa entre ambas partes, ni siquiera en el plano de potenciales clientes, a lo que añadía el incumplimiento del requisito de ofrecer un método sencillo para oponerse a tales comunicaciones. Adjunto a la denuncia, se aporta, entre otra, la siguiente documentación: - Copia del escrito suscrito por el denunciante autorizando a ANFI SALES, S.L. a actuar en su representación ante la AEPD. El escrito se aporta en alemán y español. - Copia del correo electrónico y cabeceras de Internet del mismo enviado con fecha 18 de diciembre de 2017 a la cuenta ***EMAIL.1 desde la dirección ***EMAIL.2 con el asunto: “Timeshare reclamación en Gran Canaria”, en el que la firma comercial Timeshare Reclaim&Consulting promocionaba sus servicios jurídicos de presentación de reclamaciones de indemnización vinculadas a contratos de tiempo compartido, ofreciendo para ello una consulta y evaluación gratuita, y sin compromiso, de los contratos de tiempo compartido. Al pie del citado correo electrónico comercial aparecía la siguiente información: nombre y apellidos de la persona de contacto del servicio al cliente de TRC, dirección postal de TRC, número de teléfono ***TLF.1 número de Whatsapp ***TLF.2 y sitio web ***URL.1 Se aporta copia del correo electrónico recibido por el denunciante en lengua alemana, así como su correspondiente traducción al español. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tiene conocimiento de los siguientes hechos: 2.1 Según figura en el Registro Mercantil Central, el objeto social de la empresa SAKBO SPAIN, S.L. es: “Consultoría de empresas y asesoramiento empresarial y jurídico. Otras actividades de consultoría de gestión empresarial. Asesoramiento legal directo. Intermediación en la comercialización de aprovechamiento por turnos de …” 2.2 Con fecha 2 de febrero de 2018 se accede al “Aviso Legal y Condiciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Generales de Uso del sitio Web” publicado en la página web https://www. A.A.A./, constatándose que en el mismo se señala que la entidad SAKBO SPAIN, S.L. ostenta la titularidad del sitio web ***URL.1 2.3 Al pie del correo electrónico adjuntado a la denuncia se incluye la referencia a la dirección electrónica www. C.C.C., a través de la cual se accede al documento mencionado en el punto anterior, en cuyo apartado de “Política y Privacidad y Protección de Datos” se incluye la dirección de correo electrónico info@ C.C.C. a los efectos del ejercicio de los derechos de acceso, rectificación, cancelación y oposición (Derechos ARCO). 2.4 Con fecha 13 de marzo de 2018 se remitió un requerimiento de información a la denunciada, que fue contestado por ésta poniendo de manifiesto los siguientes extremos: -Sin dejar de admitir la inexistencia de una previa solicitud o autorización del destinatario, se subraya que, como acredita la propia literalidad del correo electrónico objeto del expediente, no se está , “stríctu sensu”, ante una oferta concreta y consolidada de productos o servicios, sino ante envío con información preliminar relativa a la existencia de la empresa, actividad seguida por la misma y servicios que ofrece citados en forma genérica, sin precios ni condiciones y sin generar compromiso, vinculación u obligación para el destinatario. Sin convalidar todo tipo de actuaciones, y más allá de la calificación de dicho correo, se aduce que es una realidad habitual que los usuarios de terminales móviles y ordenadores reciban ofertas de firmas comerciales de artículos concretos, con sus precios y condiciones específicas, lo que señalan a los efectos de que en todo expediente ha de tenerse en cuenta el criterio de la proporcionalidad, y el contexto y realidad social del momento (art. 3.1° del Código Civil). - El destinatario y su dirección de correo electrónico no sólo aparecen en la página web del denominado "Club Alemán de Miembros de Anfi Club", del que éste es Presidente, sino que figuran en los anuncios o informaciones existentes en las zonas comunes del propio complejo vacacional. Es decir, dicho correo no está almacenado en ninguna base de datos de la empresa, siendo un dato público y de general conocimiento a través de Internet o en el propio complejo “Anfi”. Se acompaña captura de pantalla de dicha página web. Además, la empresa mantiene relaciones profesionales con varios clientes de nacionalidad alemana integrantes del complejo "Anfi", lo que refuerza la falta de intención de causar perjuicio alguno al destinatario, fuera de la habitualidad comercial. Por lo que los datos de contacto del destinatario se han obtenido de forma lícita. - La persona física que envió el correo en nombre de esta empresa ya no trabaja en la misma, siendo una mera colaboradora autónoma de la firma. - Se trata de un único correo, no existiendo reiteración de envíos. - En cuanto a la habilitación de procedimientos sencillos y gratuitos, en el correo electrónico aparecía con total claridad completa información de los cauces para informarse y contactar con la empresa, ya desde el propio correo electrónico de remisión, hasta la página web de la empresa y su dirección. Por lo que a través de los mismos, el destinatario podía ejercer sus derechos para no volver a recibir información no solicitada o expresamente autorizada de forma inmediata, gratuita y sin complejidad alguna. - Finalmente, se observa que llama la atención que el denunciante, presidente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 del "Club Alemán de Miembros de Anfi Club", manifieste su negativa a recibir en un correo electrónico que él mismo ha difundido una simple información/presentación genérica directamente relacionada con los intereses y posición de los miembros del Club que él preside, y que pudieran interesar, o no, sin más trascendencia, repercusión o perjuicio de tipo alguno. TERCERO: Consultada el 16 de abril de 2018 la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, a la entidad denunciada no le constan registros previos. CUARTO: Con fecha 26 de abril de 2018, la Directora de la Agencia Española de Protección de Datos acordó som D.D.D. a trámite de audiencia previa el presente procedimiento de apercibimiento A/00176/2018. Dicho trámite de audiencia fue notificado a la denunciada con fecha 26 de abril de 2016, no constando que ésta haya formulado alegaciones o presentado las pruebas que considerase convenientes en el plazo de quince días hábiles que le fue otorgado a tales efectos. HECHOS PROBADOS 1. Con fecha 18 de diciembre de 2017 Don D.D.D. recibió en su dirección de correo electrónico ***EMAIL.1 una comunicación comercial remitida desde la cuenta de correo B.B.B. con el asunto: “Timeshare reclamación en Gran Canaria”. En dicha comunicación se promocionaban los servicios jurídicos de presentación de reclamaciones de indemnización vinculadas a contratos de tiempo compartido prestados desde la firma comercial Timeshare Reclaim&Consulting (TRC, en adelante), ofreciendo para ello una consulta y evaluación gratuita, y sin compromiso, de los contratos de tiempo compartido. Entre la información que aparecía al pie del envío se encontraba referencia al sitio web ***URL.1 una 2. La entidad SAKBO SPAIN, S.L., que utiliza como firma comercial “Timeshare Reclaim&Consulting”, es titular del sitio web ***URL.1 3. A través de la dirección electrónica www. C.C.C. se accede al “Aviso Legal y Condiciones Generales de Uso del sitio Web”, en cuyo apartado de “Política y Privacidad y Protección de Datos” se incluye la dirección de correo electrónico info@ C.C.C. a los efectos del ejercicio de los derechos de acceso, rectificación, cancelación y oposición (Derechos ARCO). 4. La entidad SAKBO SPAIN, S.L. ha reconocido el envío del correo electrónico objeto de denuncia. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 43.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI). II En el presente caso se atribuye a SAKBO SPAIN, S.L., la comisión de una infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), que dispone: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. A su vez, el apartado

1. d)del anexo de la LSSI define al “Destinatario del servicio” o “destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información”. De este modo, la LSSI, en su artículo 21.1, prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 El artículo 19 de la LSSI preceptúa que: “1. Las comunicaciones comerciales y las ofertas promocionales se regirán, además de por la presente Ley, por su normativa propia y la vigente en materia comercial y de publicidad. 2. En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Como se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
2. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
3. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI, en su Anexo a), define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales (…)”. III Con carácter previo al estudio del fondo del asunto, ha de dilucidarse si el correo objeto de estudio no era comercial, ya que la denunciada mantiene que era un correo informativo que se limitaba a ofrecer una información preliminar y general de los servicios ofrecidos, sin reseñar precios y condiciones y sin ningún tipo de obligación para el destinatario. Esta afirmación ha de rechazarse, a la vista del amplio concepto de comunicación comercial que engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, máxime cuando de la literalidad del envío se evidencia que a través del mismo la denunciada está promocionando en forma directa los servicios jurídicos de presentación de reclamaciones de indemnización vinculadas a contratos de tiempo compartido que presta en el marco del objeto social de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 empresa. En consecuencia, el correo electrónico objeto de denuncia, atendiendo a su contenido, se ajusta al concepto de comunicación comercial recogido en la LSSI. Sentado lo anterior, en el presente supuesto, de la valoración conjunta de los elementos fácticos obrantes en el procedimiento sancionador, ha quedado acreditado que la entidad denunciada resulta responsable de la remisión, con fecha 18 de diciembre de 2017, de una comunicación comercial a la dirección de correo electrónico del denunciante ***EMAIL.1 desde la cuenta B.B.B. sin mediar el consentimiento previo y expreso del destinatario del mismo, tal y como prueba que la propia denunciada admitiera al contestar el requerimiento de información que le fue realizado “la inexistencia de una previa solicitud o autorización del destinatario”. Además, tampoco consta acreditada la existencia de una relación contractual previa entre remitente y destinatario del envío, tal y como se recoge en el primer párrafo del apartado 2 del artículo 21 de la LSSI. Por tanto, la denunciada carecía del consentimiento del destinatario para el envío del correo electrónico en cuestión, por lo que ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI al enviar un correo electrónico promocional al denunciante sin contar con su consentimiento previo y expreso, y sin que quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 de dicha norma. Esta conducta se encuentra tipificada como infracción leve en el artículo 38.4.
4. d)de la LSSI, que califica como tal “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave.” IV En cuanto al mecanismo de baja utilizado por la denunciada, consta que el envío incluía al pie del mismo una dirección electrónica válida que permitía al destinatario del envío acceder a una cuenta de correo electrónico a través de la cual poder ejercer el derecho de oposición al tratamiento de sus datos para no recibir nuevas comunicaciones comerciales en su cuenta de correo electrónico. Así, a través del sitio web de la empresa www. C.C.C. que se cita al pie del correo, se accedía al “Aviso Legal y Condiciones Generales de Uso del sitio Web”, en cuyo apartado de “Política y Privacidad y Protección de Datos” se incluía la dirección de correo electrónico info@ C.C.C. a los efectos del ejercicio de los derechos de acceso, rectificación, cancelación y oposición (Derechos ARCO), otorgándole, por tanto, a través de dicho mecanismo al receptor de la comunicación, en este caso el denunciante, la posibilidad de oponerse a la recepción de nuevas comunicaciones comerciales, Dicho lo cual, conviene señalar que si bien el artículo 19.2 de la LSSI remite a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, a partir del 25 de mayo de 2018 dicha remisión ha de entenderse hecha al Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos, (RGPD en adelante), y que de acuerdo con sus disposiciones, y en relación con la información ofrecida sobre el derecho de oposición, establece en su Considerando 70 que debe facilitarse claramente y al margen de cualquier otra información. En concreto establece lo siguiente (…) Si los datos personales son tratados con fines de mercadotecnia directa, el interesado debe tener derecho a oponerse a dicho tratamiento, (…). Dicho derecho debe comunicarse explícitamente al interesado y presentarse claramente y al margen de cualquier otra información (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Por ello, en el caso analizado, el mecanismo utilizado por la denunciada para ofrecer un procedimiento de oposición al tratamiento no se adecuaría a las exigencias del citado RGPD, toda vez que la información relativa a dicho derecho debe presentarse claramente y al margen de cualquier otra información. Por lo expuesto, a la fecha de plena aplicación del RGPD, todo responsable y encargado del tratamiento deberá adecuar sus políticas de protección de datos personales a las previsiones de la citada normativa. V El artículo 39 bis de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula en su apartado 2 lo siguiente: “2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador d D.D.D.mine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
5. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
6. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto se cumplen los requisitos recogidos en las letras
7. a)y
8. b)del citado apartado 2 del artículo 39 bis. Junto a ello se constata una cualificada disminución de la culpabilidad del denunciado teniendo que se refiere a la remisión de una única comunicación comercial y que concurren de forma significativa las circunstancias de ausencia de intencionalidad, inexistencia de perjuicios alegados por el destinatario del mensaje y falta de constancia de beneficios obtenidos por la comisión de la infracción. En consecuencia, con arreglo a lo dispuesto en el citado precepto, se requiere a la entidad denunciada para que cancele la dirección de correo electrónico del denunciante o para que realice los procedimientos necesarios para que éste no vuelva a recibir comunicaciones comerciales que no hayan sido previamente solicitadas o autorizadas por el mismo. Se advierte que en caso de no adoptar las medidas requeridas y proceder a su comunicación a esta Agencia en el plazo que se señala más adelante procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 1.- APERCIBIR (A/00176/2018) a SAKBO SPAIN, S.L. con arreglo a lo dispuesto en el artículo 39 bis, apartado 2, de la LSSI, con relación a la denuncia por infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
9. d)de la citada norma. 2.- REQUERIR a SAKBO SPAIN, S.L. de acuerdo con lo establecido en el apartado 2 del artículo 39 bis de la LSSI para que en el plazo de un mes desde la notificación de la presente resolución. 2.1 CUMPLA lo previsto en el artículo 21.1 de la LSSI para lo que se insta a la entidad denunciada a implementar las medidas necesarias, para evitar que vuelva a producirse la infracción cometida. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el Fundamento de Derecho V anterior, aportando los documentos o medios de prueba justificativos de su cumplimiento. 3.- NOTIFICAR la presente resolución a SAKBO SPAIN, S.L.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es