1/4 Procedimiento Nº: A/00204/2014 RESOLUCIÓN: R/00103/2015 En el procedimiento A/00204/2014, instruido por la Agencia Española de Protección de Datos a A.A.A., vista la denuncia presentada por B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 1 de abril de 2014 tiene entrada, a través de su sede electrónica, en esta Agencia una denuncia interpuesta por B.B.B., en adelante el denunciante, en la que manifiesta lo siguiente: 1. Recibió el día 25 de marzo de 2014 a las 19:02 horas en su línea ***TEL.1 un mensaje comercial en el que figuraba como remitente la línea móvil ***TEL.2 y el texto del mensaje era “Mira mi foto en XXXX http://XXXX.......” SEGUNDO: Del examen de la documentación aportada por el denunciante y de las actuaciones practicadas se desprende lo siguiente: 1. Consta en los registros públicos de la Comisión Nacional de los Mercados y la Competencia que el número remitente del SMS objeto de denuncia (***TEL.2) está asignado al operador ORANGE. Dicho operador, en respuesta al requerimiento de información de la Inspección de Datos informa, que el titular de dicha línea en la fecha del envío del mensaje es Dña. A.A.A. con domicilio en (C/............1) (Pontevedra). 2. Con fecha de salida 21 de agosto de 2014 ha sido remitido un escrito por la Inspección de Datos a A.A.A. solicitando información con objeto de aclarar los hechos denunciados, sin que hasta la fecha se haya recibido respuesta al mismo. 3. El operador al que estaba adscrito el número de teléfono receptor del mensaje (***TEL.1) en la fecha de la recepción del mismo era XFERA MOVILES, S.A. (YOIGO). El representante de dicho operador, en respuesta al requerimiento de información de la Inspección de Datos manifiesta consta en sus sistemas que la línea ***TEL.1 recibió un mensaje de texto el día 25 de marzo de 2014 procedente de la línea ***TEL.2. TERCERO: Con fecha 23 de septiembre de 2014, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00204/2014. Dicho acuerdo fue notificado al denunciante y al denunciado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 CUARTO: En fecha de 30/01/2015 se accedió al sitio web de la aplicación XXXX donde consta la política de privacidad. QUINTO: De las actuaciones practicadas han quedado acreditados los siguientes HECHOS PROBADOS Uno.- En fecha de 25 de marzo de 2014 a las 19:02 horas el denunciante recibió en su línea ***TEL.1 un mensaje comercial en el que figuraba como remitente la línea móvil ***TEL.2 y el texto del mensaje era “Mira mi foto en XXXX http://XXXX.......” Dos.- El titular de la línea ***TEL.2 en la fecha del envío del mensaje es Dña. A.A.A. con domicilio en (C/............1) (Pontevedra). Tres.-El operador al que estaba adscrito el número de teléfono receptor del mensaje (***TEL.1) en la fecha de la recepción del mismo manifiesta que consta en sus sistemas que la línea ***TEL.1 recibió un mensaje de texto el día 25 de marzo de 2014 procedente de la línea ***TEL.2. Cuatro.- En la dirección que consta en el SMS de texto dirige al navegador de internet a la descarga de la aplicación “XXXX” de videollamadas y chat para su uso en terminales con sistemas operativos IOS, Android y Windows Phone. Cinco.- En el sitio web de la aplicación XXXX se advierte en la política de privacidad que al instalarla se da permiso para acceder a la libreta de direcciones y agenda de contactos, informando que una de las finalidades de la recopilación de esa información es para conectar con sus contactos. FUNDAMENTOS DE DERECHO I El artículo 43.1 de la LSSI en su redacción conferida por la Ley 9/2014 establece que “igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3.c),
- d)e
- i)y 38.4.d),
- g)y
- h)de esta Ley”; otorgando por tanto a la Agencia Española de Protección de Datos la facultad para imponer sanciones por la comisión de la infracción del artículo 22 de la Ley 34/2002, de 11 de julio, o, en su caso, apercibir al sujeto responsable en la forma prevista en el nuevo artículo 39 bis 2 de dicha norma. II Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. La LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. III No obstante lo anterior, en el caso analizado no estamos ante una comunicación comercial enviada por medios electrónicos por un Prestador de Servicios de la Sociedad de la Información, de acuerdo con las definiciones recogidas en el Anexo de la LSSI que considera como tal (…) persona física o jurídica que proporciona un servicio de la sociedad de la información. Y como Servicio de la Sociedad de la Información se define como: (…)Todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios.(…) En este sentido, para estar ante un Servicio de la Sociedad de la Información ofrecido por un prestador se tiene que dar la circunstancia de que se realice a título oneroso o indirectamente revierta un beneficio económico para el Prestador, es decir constituya una actividad económica, y en el caso analizado, no hay evidencias de que en la denunciada no se dan dichas circunstancias. Estamos ante una invitación para la instalación del software de acceso a la red social XXXX realizada a través del perfil de un usuario (en este caso la denunciada), para ampliar los miembros de la citada red social entre los contactos de la agenda de dicho usuario, todo ello de acuerdo con lo previsto en la política de privacidad de la citada red social. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 IV Por lo expuesto la conducta analizada no encuentra cabida en el catálogo de infracciones y sanciones que la LSSI prevé en su Título VII, procediendo al archivo de las presentes actuaciones. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- ARCHIVAR (A/00204/2014) a A.A.A. con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo 21 de la citada norma, tipificada como leve en su artículo 38.4.d). SEGUNDO.- NOTIFICAR el presente Acuerdo a D. A.A.A. y a D. B.B.B.. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es