← España

A-00253-2015

1/9 Procedimiento Nº: A/00253/2015 RESOLUCIÓN: R/03423/2015 En el procedimiento A/00253/2015, instruido por la Agencia Española de Protección de Datos a Dña. C.C.C., vista la denuncia presentada por D. D.D.D. y de conformidad con lo establecido en el artículo 39 bis, apartado 2, de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha de 31 de marzo de 2015, tiene entrada en esta Agencia Española de Protección de Datos (AEPD) escrito de D. D.D.D. (en adelante el denunciante) en el que manifiesta que registró sus datos personales en la página web www.florahorro.es y que el 23 de diciembre de 2014, solicitó la eliminación de su cuenta a la dirección <.....florahorro.es>, que consta en la Política de privacidad del sitio web. Si bien, con fecha de 13 y de 17 de marzo de 2015 recibe sendos envíos publicitarios. Se adjunta con el escrito de denuncia impresión de pantalla de los siguientes correos electrónicos y de sus cabeceras:  Mensaje remitido desde la dirección <.....florahorro.es> a la dirección < G.G.G.>, el día 19 de agosto de 2014, en el que le informan “Gracias por crear una cuenta de cliente (…).”  Mensaje remitido desde la dirección F.F.F. a la dirección <.....florahorro.es>, el día 23 de diciembre de 2014, en el Asunto: Eliminación cuenta y en el cuerpo del mismo consta “Solicito la eliminación de todo dato personal Nombre D.D.D. email: G.G.G..  Mensaje remitido desde la dirección <.....florahorro.es> a la dirección < G.G.G.>, el día 13 de marzo de 2015, en el “Asunto: D.D.D. Flores para el mejor Padre, no importa la distancia. Envía Flores y sorpréndele” y en el cuerpo del mensaje consta “Florahorro tu Floristeria Online de Confianza (…).  Mensaje remitido desde la dirección <.....florahorro.es> a la dirección < G.G.G.>, el día 17 de marzo de 2015, en el “Asunto: D.D.D. Aun sin regalo para Papa. Envía Flores y sorpréndele! No importa la distancia” y en el cuerpo del mensaje consta “Florahorro tu Floristeria Online de Confianza (…). En ambos mensajes figura el texto: “Esto NO ES UNA NEWSLETTER, es una comunicación que te enviamos como cliente registrado en FlorAhorro. De la vigente Ley Orgánica de Protección de Datos (15/1999), le comunicamos que sus datos forman parte de un fichero propiedad de FlorAhorro cuya finalidad es poder enviarle información de nuestros artículos y sobre nuestros servicios y han sido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 facilitados por usted como cliente registrado en nuestro grupo. Se le informa asimismo sobre la posibilidad que Ud. tiene de ejercitar los derechos de acceso, rectificación, cancelación y oposición de sus datos. Por lo tanto, si no desea recibir en adelante más información publicitaria por este medio, envíenos un email a .....florahorro.es o mandando una carta a la siguiente dirección: FlorAhorro c/ B.B.B., adjuntando fotocopia del DNI, indicando en el asunto: Solicitud de Baja de Publicidad” (el subrayado es de la AEPD). SEGUNDO: En fase de actuaciones previas se tiene conocimiento de los siguientes hechos: 1. Se ha verificado por parte de la Inspección de Datos que en el sitio web <www.florahorro.es> Política de Privacidad Ley Protección de datos, consta, entre otros, el siguiente texto: “Puede ejercer el derecho de acceso, rectificación y cancelación y oposición por cualquier medio de comunicación escrita acreditando la identidad del interesado con documento oficial a FlorAhorro.es, NIF: J.J.J., calle A.A.A.. .....florahorro.es”. También, consta el nº de teléfono I.I.I.. 2. En el Registro General de Protección de Datos figura inscrito el fichero denominado “CLIENTES FLORISTERIA ONLINE”, con el código H.H.H., cuyo responsable es C.C.C. (en lo sucesivo la denunciada), con NIF J.J.J. y nº de teléfono I.I.I.. 3. La Inspección de Datos ha remitido sendos escritos a la persona denunciada solicitando diversa información y documentación en relación con los hechos denunciados. Dichos escritos fueron entregados en destino los días 20 de julio y 6 de agosto de 2015 no habiéndose obtenido respuesta hasta la fecha. También, fue remitido el escrito por medio de correo electrónico, el día 4 de agosto de 2015, a la dirección <.....florahorro.es>. 4. La Inspección de Datos ha realizado diversas llamadas al nº de teléfono I.I.I. los días 29 y 30 de julio y 3, 4 y 20 de agosto de 2015, en todas ellas responde un contestador automático indicando lo siguiente “todos nuestros operadores están ocupados por favor espere y su llamada será atendida por el siguiente operador disponible”. Sin embargo, ninguna de ellas ha sido atendida por operador. En el caso de que las llamadas sean realizadas antes de las 11 de la mañana el contestador automático informa de lo siguiente: “Nuestro horario de atención en verano es de 11 de la mañana a 6 de la tarde de lunes a viernes y de forma ininterrumpida, le rogamos nos llame en ese horario. También puede enviarnos un email a la dirección .....florahorro.es o enviar un whatsapp al teléfono ***TEL.1, disculpe las molestias”. TERCERO: Con fecha 1 de septiembre de 2015 se recibe en esta Agencia escrito de la denunciada en el que comunica: <<…todos los clientes al hacer una compra han de aceptar y declarar haber leído nuestras condiciones de venta y nuestra política de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 privacidad que le adjuntamos en pdf y que este cliente por supuesto acepta. Por otro lado las comunicaciones no son periódicas ni boletines, simplemente información a nuestros clientes. Al no poder eliminar los datos de los clientes puesto que por motivos de facturación los debemos guardar durante 5 años solicitamos al cliente una copia de su dni ya que hay que cambiar sus datos de fichero. Así lo hacemos saber en la ya citada política de privacidad y en los pies de todos los emails que se envían a los clientes. A este cliente se le contesto indicándole que para eliminar sus datos y cambiarlos de fichero para su conservación durante los años obligados por ley necesitábamos la copia del dni que nunca mandó. Enviamos también el mail al que hace referencia el cliente pero completo con el pie incluido y la información de privacidad que es lo que no le han adjuntado…>> (el subrayado es de la AEPD). CUARTO: Con fecha 4 de septiembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00253/2015 con arreglo a lo dispuesto en el artículo 39 bis de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), en la redacción conferida por la Disposición Final Segunda de la Ley 9/2014, 9 de mayo, General de Telecomunicaciones, con relación a la denuncia por infracción de su artículo 21 en relación con el 22.1 de la LSSI, tipificada como leve en el artículo 38.4.

  1. d)de dicha norma. Dicho acuerdo fue notificado al denunciante y a la denunciada, sin que se haya recibido escrito de alegación alguno frente al mismo. HECHOS PROBADOS PRIMERO: Con fecha de 31 de marzo de 2015, tiene entrada en esta Agencia escrito del denunciante en el que manifiesta que registró el 19/08/2015 sus datos personales en la página web www.florahorro.es; que el 23 de diciembre de 2014, solicitó la eliminación de su cuenta a la dirección <.....florahorro.es>, que consta en la Política de privacidad del sitio web. Si bien, con fecha de 13 y de 17 de marzo de 2015 recibe sendos envíos publicitarios. Se adjunta con el escrito de denuncia impresión de pantalla de los siguientes correos electrónicos y de sus cabeceras:  Mensaje remitido desde la dirección <.....florahorro.es> a la dirección < G.G.G.>, el día 19 de agosto de 2014, en el que le informan “Gracias por crear una cuenta de cliente (…).”  Mensaje remitido desde la dirección F.F.F. a la dirección <.....florahorro.es>, el día 23 de diciembre de 2014, en el Asunto: Eliminación cuenta y en el cuerpo del mismo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 consta “Solicito la eliminación de todo dato personal Nombre D.D.D. email: G.G.G..  Mensaje remitido desde la dirección <.....florahorro.es> a la dirección < G.G.G.>, el día 13 de marzo de 2015, en el “Asunto: D.D.D. Flores para el mejor Padre, no importa la distancia. Envía Flores y sorpréndele” y en el cuerpo del mensaje consta “Florahorro tu Floristeria Online de Confianza (…).  Mensaje remitido desde la dirección <.....florahorro.es> a la dirección < G.G.G.>, el día 17 de marzo de 2015, en el “Asunto: D.D.D. Aun sin regalo para Papa. Envía Flores y sorpréndele! No importa la distancia” y en el cuerpo del mensaje consta “Florahorro tu Floristeria Online de Confianza (…). En ambos mensajes figura el texto: “Esto NO ES UNA NEWSLETTER, es una comunicación que te enviamos como cliente registrado en FlorAhorro. De la vigente Ley Orgánica de Protección de Datos (15/1999), le comunicamos que sus datos forman parte de un fichero propiedad de FlorAhorro cuya finalidad es poder enviarle información de nuestros artículos y sobre nuestros servicios y han sido facilitados por usted como cliente registrado en nuestro grupo. Se le informa asimismo sobre la posibilidad que Ud. tiene de ejercitar los derechos de acceso, rectificación, cancelación y oposición de sus datos. Por lo tanto, si no desea recibir en adelante más información publicitaria por este medio, envíenos un email a .....florahorro.es o mandando una carta a la siguiente dirección: FlorAhorro c/ B.B.B., adjuntando fotocopia del DNI, indicando en el asunto: Solicitud de Baja de Publicidad” (folios 1 a 24) (el subrayado es de la AEPD). SEGUNDO: Con fecha 1 de septiembre de 2015 se recibe en esta Agencia escrito de la denunciada en el que comunica: <<…todos los clientes al hacer una compra han de aceptar y declarar haber leído nuestras condiciones de venta y nuestra política de privacidad que le adjuntamos en pdf y que este cliente por supuesto acepta. Por otro lado las comunicaciones no son periódicas ni boletines, simplemente información a nuestros clientes. Al no poder eliminar los datos de los clientes puesto que por motivos de facturación los debemos guardar durante 5 años solicitamos al cliente una copia de su dni ya que hay que cambiar sus datos de fichero. Así lo hacemos saber en la ya citada política de privacidad y en los pies de todos los emails que se envían a los clientes. A este cliente se le contesto indicándole que para eliminar sus datos y cambiarlos de fichero para su conservación durante los años obligados por ley necesitábamos la copia del dni que nunca mandó. Enviamos también el mail al que hace referencia el cliente pero completo con el pie incluido y la información de privacidad que es lo que no le han adjuntado…>> (el subrayado es de la AEPD) (folios 67 a 77). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 FUNDAMENTOS DE DERECHO I El segundo párrafo del artículo 43.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), en la redacción conferida por la Disposición Final Segunda de la Ley 9/2014, 9 de mayo, General de Telecomunicaciones, establece que “igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3.c),
  2. d)e
  3. i)y 38.4.d),
  4. g)y
  5. h)de esta Ley”, otorgando, por tanto a la Agencia Española de Protección de Datos, la facultad para imponer sanciones por la comisión de la infracción del artículo 21 de la citada Ley, o, en su caso, apercibir al sujeto responsable en la forma prevista en el nuevo artículo 39 bis 2 de dicha norma. II El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El artículo 21 de la LSSI establece que: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” Art. 22.1 “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 sencillos y gratuitos para que los destinatarios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos” El denunciante remitió su solicitud de baja a la dirección electrónica indicada en la comunicación comercial, para cursar la baja u oposición, lo hizo precisamente porque había recibido un correo electrónico, en la dirección electrónica desde la que remitió su solicitud de baja, por lo que en este caso, resulta excesiva la solicitud del DNI al mismo, al haber quedado identificado el denunciante cuando cursó su petición, desde la misma dirección electrónica en la que recibe las comunicaciones de la empresa. En conclusión, se ha puesto de manifiesto que para revocar el consentimiento prestado a la recepción de comunicaciones comerciales se solicita excesiva información sin justificación alguna por parte de la denunciada, que se opone a lo dispuesto en el art. 22.2 de la LSSI que estima suficiente a tales efectos la “simple notificación”. En consecuencia, de lo expuesto con anterioridad, ha quedado probado que la denunciada ha incurrido en la infracción del artículo 21 de la LSSI, al remitir correos comerciales al denunciante sin autorización del mismo, al haber manifestado expresamente el denunciante con anterioridad, la revocación del consentimiento a la recepción de comunicaciones comerciales. III Los hechos probados suponen la comisión, por parte de la denunciada de una infracción del artículo 21 en relación con el 22.1 de la LSSI. La citada infracción se encuentra tipificada como leve en el artículo 38.4.
  6. d)de dicha norma, que califica como tal “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave.” IV El artículo 39 bis de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: “1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9
  7. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
  8. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  9. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  10. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  11. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  12. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  13. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Por su parte el artículo 40 de la LSSI, en relación con la “Graduación de la cuantía de las sanciones”, determina lo siguiente: La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  14. a)La existencia de intencionalidad.
  15. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  16. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  17. d)La naturaleza y cuantía de los perjuicios causados.
  18. e)Los beneficios obtenidos por la infracción.
  19. f)Volumen de facturación a que afecte la infracción cometida.
  20. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En el presente supuesto se cumplen los requisitos recogidos en las letras
  21. a)y
  22. b)del citado apartado 2 del artículo 39 bis. Junto a ello se constata una cualificada disminución de la culpabilidad de la denunciada teniendo en cuenta que la infracción se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 refiere a la remisión de dos comunicaciones comerciales sin consentimiento al haber manifestado previamente su revocación del mismo y que concurren de forma significativa las circunstancias de ausencia de intencionalidad, inexistencia de perjuicios alegados por el destinatario de los mensajes y falta de constancia de beneficios obtenidos por la comisión de la infracción. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00253/2015) a Dña. C.C.C. con arreglo a lo dispuesto en el artículo 39 bis 2 de la LSSI, con relación a la denuncia por infracción de su artículo 21 en relación con el 22.1 de la LSSI, tipificada como leve en el artículo 38.4.
  23. d)de dicha norma . Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR a Dña. C.C.C. de acuerdo con lo establecido en el citado artículo 39 bis 2 de la LSSI para que en el plazo de UN MES desde la notificación de la presente resolución 2.1.- CUMPLA lo previsto en el artículo 21 de la LSSI, para lo que se insta a la denunciada que cese en el envío de comunicaciones comerciales a la dirección de correo del denunciante que incumplan lo dispuesto en dicho precepto, bien eliminando dicha cuenta de correo del fichero de contactos comerciales o bien adoptando cualquier otra medida necesaria que evite la remisión de publicidad a la referida cuenta de correo electrónico. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos o medios de prueba que pongan de manifiesto su cumplimiento. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/00002/2016, podría incurrir en una infracción del artículo 37.1.
  24. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
  25. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
  26. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a Dña. C.C.C.. 4.- NOTIFICAR el presente Acuerdo a D. D.D.D.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.