← España

A-00237-2015

1/8 Procedimiento Nº: A/00237/2015 RESOLUCIÓN: R/03201/2015 En el procedimiento A/00237/2015, instruido por la Agencia Española de Protección de Datos a la entidad B.B.B., vista la denuncia presentada por E.E.E. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 31 de marzo de 2015 tiene entrada, a través de su sede electrónica, en esta Agencia una denuncia interpuesta por E.E.E. E.E.E., en adelante el denunciante, en la que manifiesta lo siguiente: No ha solicitado o autorizado el envío de comunicaciones comerciales por medios electrónicos a B.B.B.. Recibió el día 9 de marzo de 2015 en su línea G.G.G. un mensaje comercial de B.B.B. en el que el origen estaba identificado como F.F.F. y el texto del mensaje era “Tu centro de estética XXXX, ahora es STEFANIA ####. Estrenamos DEPICLUB para ti. Siéntete comoda y disfruta las ventajas de la neodepilación ‘tarifa plana 40 €’ INFORMATE al tel ***TEL.1”. El denunciante aporta imágenes del terminal con el mensaje recibido. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a B.B.B. teniendo conocimiento de que: 1. La denunciante manifiesta que era cliente de un centro de estética XXXX que fue traspasado a otra tercera persona que de la que no era cliente y que el día 9 de marzo de 2015 recibió un SMS con el siguiente texto: “ A.A.A.” 2. En los sistemas de XFERA MOVILES, S.A. consta la recepción de un mensaje en la línea 6 G.G.G.7 procedente de la línea 6 F.F.F.5 el día 9 de marzo de 2015 a las 10:29 horas. 3. En la fecha de envío de los mensajes, la persona titular de 6 F.F.F. era D.D.D.. 4. En respuesta a la solicitud de información realizada por el inspector actuante, B.B.B. remitieron un escrito, posteriormente ampliado en una llamada telefónica, en los que, en referencia al envío del mensaje en cuestión manifestaron que: 4.1. B.B.B. es titular del negocio STEFANIA #### 4.2. Los datos de que dispone la entidad sobre el denunciante son el número de teléfono móvil, nombre y apellido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 4.3. Los datos fueron facilitados por la anterior propietaria del local que le fue traspasado. Aporta copia de la ficha de la cliente con sus datos personales y datos del tratamiento. 4.4. El SMS fue enviado por B.B.B. desde la línea 6 F.F.F.5 contratada por su madre D.D.D.. TERCERO: Con fecha 24/08/2015, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00237/2015. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Mediante escrito de fecha de entrada 09/09/2015 B.B.B. (NMR en adelante) alego en síntesis lo siguiente: Igualmente es cierta la información suministrada por B.B.B. de que recibió de mi parte la ficha de E.E.E., ficha de la que extrajo el número del teléfono al que se envió el SMS que motiva la presenta actuación por parte de la Agencia Española de Protección de Datos. Igualmente “inocente” entiendo el SMS enviado por B.B.B. en tanto solo pretendía comunicar el cambio de titularidad del Centro y, aprovechando esta circunstancia, dar a conocer una oferta de tratamiento a una dienta que utilizaba regularmente CENTRO DE ESTETICA XXXX para ese tipo de tratamientos. Me permito aportar al presente escrito copia del Certificado de Implantación de Sistema de Protección de Datos en mi nuevo CENTRO XXXX con fecha 06 de agosto de 2015, antes de recibir ninguna notificación por parte de la AEPD en relación a la denuncia que motiva este procedimiento. QUINTO: Mediante escrito de fecha de entrada 17/09/2015 B.B.B. (ENC en adelante) alego en síntesis lo siguiente: Que en relación a la infracción del artículo 6 de la Ley Orgánica de Protección de Datos 15/1999, de 13 de diciembre, entiendo que no existe tal infracción ya que lo único que hice fue enviar un mensaje de texto a un número de teléfono que se encontraba en los ficheros del centro de estética, que habían sido facilitados por la propia denunciante, y por ende con su consentimiento. En relación a la existencia de la infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, entiendo que tampoco existe infracción, tal y como manifestamos anteriormente, dichos datos se encontraban en el fichero del centro de estética traspasado, que fueron obtenidos de forma licita ya que me fueron facilitados por la anterior propietaria, de la que la denunciante era dienta, y que si obraban en el calendado fichero es porque la dienta los había facilitado, suponiendo que con la finalidad de ponerse en contacto con ella para temas de estética que es lo que se hizo al enviar el citado mensaje, para ponerle en su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 conocimiento como dienta que era del centro, que se había producido un cambio en la dirección del mismo y, se le informaba de una serie de ofertas en los servicios por si eran de su interés. SEXTO: De las actuaciones practicadas han resultado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 09/03/2015 se recibió en la línea G.G.G.7 un mensaje comercial de ENC en el que el origen estaba identificado como F.F.F. y el texto del mensaje era “Tu centro de estética XXXX, ahora es STEFANIA ####. Estrenamos DEPICLUB para ti. Siéntete cómoda y disfruta las ventajas de la neodepilación ‘tarifa plana 40 €’ INFORMATE al tel ***TEL.1 DOS- El origen de los datos objeto de tratamiento es la comunicación de NMR a ENC al traspasar el negocio. Tanto NMR como ENC reconocen estos hechos. TRES.- Los datos de que dispone ENC sobre la denunciante son el número de teléfono móvil, nombre y apellido. Están incorporados a una ficha manuscrita con fecha de 2010. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en los artículos 36 y 37.a),

  1. f)y
  2. n)de la LOPD, y 43.1 párrafo segundo de la LSSI la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II En el presente caso se imputa la comisión de la infracción prevista en el art. 44.3
  3. k)de la LOPD tipificada como grave que señala que: La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave. El artículo que se estima vulnerado es el 11.1 de la LOPD que señala que: Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. NMR ha reconocido los hechos que se imputan, en concreto que comunico los datos de la denunciante a ENC cuyo origen era la proporción voluntaria de la denunciante. En este sentido debe señalarse que el tratamiento de datos que realiza NMR puede estar amparado en el art. 6.2 de la LOPD en la medida en que la denunciante podía haber sido cliente de NMR y de ahí la legitimación para el tratamiento. Cuestión distinta es el consentimiento para la cesión o comunicación de datos a terceros, es decir, a ENC que constituye la comisión de la infracción por parte de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 NMR que no ha acreditado el consentimiento de la denunciante para tal comunicación. III Teniendo en cuenta lo anterior ENC no está legitimada para tratar los datos de la denunciante, pues el origen en su fichero no es otro que la cesión ilegal antes expuesta. En concreto se imputa a ENC la comisión de la infracción prevista en el artículo 44.3
  4. d)de la LOPD, que considera como tal Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. El artículo que se estima vulnerado es el 6 de la LOPD, que señala que 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. La mera tenencia de los datos personales de la denunciante en un fichero titularidad de ENC se considera tratamiento, que según el artículo 5.1.
  5. t)del RLOPD lo define como "cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias “ Los datos objeto de tratamiento por parte de ENC fueron facilitados, según manifestaciones de ambas denunciadas, al centro de NMR y no a ENC por lo que esta no tiene legitimación para su tratamiento. IV El artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  6. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  7. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
  8. a)y
  9. b)del citado apartado 6 del artículo 45 de la LOPD. En concreto respecto de la denunciada NMR se requiere que adopte medidas que impidan que en el futuro se den circunstancias como las analizadas en el presente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 caso, en concreto, que se establezca un sistema de que evite la cesión de los datos de la denunciante a terceros sin contar con su consentimiento previo. Respecto de ENC se requiere que se abstenga del tratamiento de los datos de la denunciante y de cualquier otro dato de carácter personal cuyo origen sea una cesión ilegal de datos, mediante el borrado de los mismos que tengan dicho origen o que no tenga el consentimiento. V Por otro lado, además se imputa a ENC la comisión de la infracción prevista en el art. 38.4
  10. d)de la LSSI, que considera infracción leve: el envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente no cumpla los requisitos establecidos en el mencionado artículo 21 y no constituyan infracción grave. El citado art. 21 de la LSSI dispone que: “Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.”, En el presente caso ENC no ha acreditado ningún supuesto que permite el envío de comunicaciones comerciales por medios electrónicos, es decir, ni tiene autorización previa y expresa de la denunciante para que ENC remita publicidad, ni ha tenido la denunciante y ENC una relación comercial previa, y ni el origen de los datos es licito, sino que es consecuencia de la comisión de las infracciones a la LOPD antes señaladas. Por otra parte, en el envío objeto de análisis tampoco consta cumplido el mandato del artículo referido a los medios de oposición que se han de ofrecer en cada comunicación comercial que se remita por medios electrónicos. En el SMS objeto de análisis no consta ningún medio de oposición. VI El artículo 39 bis de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: “1. El órgano sancionador establecerá la cuantía de la sanción aplicando la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  11. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
  12. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  13. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  14. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  15. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  16. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  17. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto se cumplen los requisitos recogidos en las letras
  18. a)y
  19. b)del citado apartado 2 del artículo 39 bis. En el presente caso se requiere a ENC para que, en caso de acciones publicitarias por SMS o cualquier medio electrónico, se verifique el consentimiento de los destinatarios o el origen de los datos que permitan dichos envíos, así como la instauración en el diseño de las comunicaciones comerciales del ofrecimiento de un medio sencillo y gratuito para oponerse en cada una de ellas. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- APERCIBIR (A/00237/2015) a B.B.B. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 11 de la LOPD, tipificada como grave en el artículo 44.3
  20. k)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 SEGUNDO.- REQUERIR A B.B.B. de acuerdo con lo establecido en el artículo 45.6 de la LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. 2.1 CUMPLA lo previsto en el artículo 11 de la LOPD para lo que se insta a la denunciada a que adopte medidas que impidan que en el futuro se den circunstancias como las analizadas en el presente caso, en concreto, que se establezca un sistema que evite la cesión de los datos de la denunciante a terceros sin contar con su consentimiento previo. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. TERCERO.- APERCIBIR (A/00237/2015) a B.B.B. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  21. b)de la citada Ley Orgánica y con arreglo a lo dispuesto en el artículo 39 bis.2 de la LSSI en relación con la infracción del artículo 21.1 y 2 de la citada norma, tipificada como leve en su artículo 38.4.d). CUARTO.- REQUERIR A B.B.B. de acuerdo con lo establecido en el artículo 45.6 de la LOPD, y en el artículo 39 bis.2 de la LSSI para que en el plazo de UN MES desde la notificación de la presente resolución. 4.1 CUMPLA lo previsto en el artículo 6 de la LOPD para lo que se insta a la denunciada a que adopte medidas para el cese en el tratamiento de los datos de la denunciante y de cualquier otro dato de carácter personal cuyo origen sea una cesión ilegal de datos, mediante el borrado de los mismos que tengan dicho origen o que no tenga el consentimiento. Asimismo para que, en caso de acciones publicitarias por SMS o cualquier medio electrónico, se verifique el consentimiento de los destinatarios o el origen de los datos que permitan dichos envíos, así como la instauración en el diseño de las comunicaciones comerciales del ofrecimiento de un medio sencillo y gratuito para oponerse en cada una de ellas. 4.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se comunica que se abre el expediente de investigación E/07608/2015 a fin de comprobar el cumplimiento de lo requerido en el presente Apercibimiento en el plazo otorgado para ello. QUINTO.- Se advierte que en caso de no atender el citado requerimiento, podría incurrir en una infracción del artículo 37.1 apartados
  22. f)o
  23. n)según sea incumplimiento del requerimiento de la LSSI o de la LOPD, tipificada como grave 44.3
  24. i)que considera como tal No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma. , pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. SEXTO.- NOTIFICAR la presente resolución a B.B.B., y a E.E.E.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.