A-00266-2018

1/7 Procedimiento Nº: A/00266/2018 RESOLUCIÓN: R/01681/2018 En el procedimiento A/00266/2018, instruido por la Agencia Española de Protección de Datos a la entidad CAPITAL FINANCIAL SERVICES, S.L (WWW.CCLOAN.ES), vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 22/03/2018 tiene entrada, a través de su sede electrónica, en esta Agencia una denuncia interpuesta por A.A.A. (en adelante el denunciante), en la que manifiesta lo siguiente: 1. No ha solicitado o autorizado el envío de comunicaciones comerciales por medios electrónicos a CCLOAN CAPITAL FINANCIAL SERVICES, S.L. 2. Recibió los días 22 y 27 de marzo de 2018 en su línea ***TELEFONO.1 seis mensajes comerciales, en los que el origen estaba identificado como “CCloan”, “LunaCredit” y “Moneyman.es” respectivamente y el texto de los mensajes eran ofertas de microcréditos personales, para lo que incluían un enlace a las páginas de internet de las respectivas entidades de préstamo antes referidas. El denunciante aporta imágenes del terminal con el mensaje recibido. SEGUNDO: A la vista de los hechos denunciados, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión. Como resultado de las actuaciones de investigación practicadas, se constatan los siguientes extremos: 1. En los sistemas de ORANGE SPAGNE SAU consta la recepción de mensajes de texto en las fechas y horas que aparecen en las imágenes aportadas por el denunciante, figurando como línea remitente una serie alfanumérica cifrada, lo cual indica que han sido enviados desde un servidor y no desde un terminal móvil. 2. En los mensajes consta información sobre el procedimiento de baja de publicidad: “No + publi: Envia a emailbaja@credy.com”, excepto en el mensaje de fecha 22 de marzo de 2018 cuyo remitente es CCLOAN y el mensaje de fecha 20 de marzo de 2018 cuyo remitente es Moneyman.es. 3. En respuesta a la solicitud de información realizada por el inspector actuante, los representantes de CCLOAN CAPITAL FINANCIAL SERVICES, S.L (en adelante CCLOAN) remitieron un escrito en el que manifestaron en referencia al envío de los SMS en cuestión manifestaron que: 3.1. CCLOAN tiene suscrito un Contrato de Marketing con la empresa TRAFIC CONTROL OU (comercialmente denominada “Credy”), de nacionalidad estona, dedicada igualmente a la concesión de micropréstamos, así como a la provisión a otros competidores de potenciales clientes a partir de los registros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 existentes en su Base de Datos, sin que dichos registros se encuentren en las Bases de Datos de CCLOAN. 3.2. Aportan Órdenes de Pedido de envíos de SMS promocionales de CCLOAN por parte de Credy, de fechas 22/03/2018 y 27/03/2018, respectivamente; fechas coincidentes con los pantallazos de los SMS recibidos por el denunciante. TERCERO: Con fecha 20/09/2018, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00176/2018. CUARTO: Dicho trámite de audiencia fue notificado a la denunciada con fecha 21/09/2018; en fecha 15/10/2018 la representación de la denunciada formuló escrito de alegaciones manifestando lo siguiente: que si bien los hechos constitutivos de la infracción son leves, las medidas correctoras ya fueron adoptadas por la entidad en el momento en el que tuvo conocimiento de la infracción por lo que el apercibimiento no debería tener aparejado medida correctora al haber sido ya adoptada por CCLOAN, por lo que se solicita el archivo de las presentes actuaciones. HECHOS PROBADOS PRIMERO. Con fecha 22/03/2018 tiene entrada en la Agencia escrito del afectado denunciando entre otras entidades a CCLOAN por la recepción en su línea de telefonía móvil ***TELEFONO.1 de mensajes comerciales ofertando microcréditos personales que no ha solicitado y sin que se incluyera mecanismo de oposición al envío de los mismos. SEGUNDO. Constan aportadas por el denunciante capturas de pantalla con dos mensajes enviados al terminal móvil ***TELEFONO.1 titularidad del denunciante en fechas 22/03/2018 y 27/03/2018 a las 10:40 y 20:01 horas, respectivamente en los que se señala lo siguiente: “Disfruta Semana Santa con 300 € al 0% en tu cuenta. Solicítalo aquí http://goo.gl/DuU94S y en 15 minutos te transferimos el dinero” y “300 € al 0% . Solicítalo aquí http://goo.gl/DuU94S y en 15 minutos te transferimos el dinero. Feliz Semana Santa! No+Publi: Envia baja a emailbaja@credy.com”. En el primero de los mensajes no se incluye mecanismo para ejercitar la oposición. TERCERO. ORANGE SPAGNE SAU ha acreditado la recepción de los mensajes de texto en el terminal móvil las fechas y horas señaladas anteriormente y que aparecen en las imágenes aportadas por el denunciante, figurando como línea remitente una serie alfanumérica cifrada (***REMITENTE.1) lo que indica que han sido enviados desde un servidor y no desde un terminal móvil. CUARTO. CCLOAN ha aportado contrato con Trafic Control OU (Credy) para que realice envíos promocionales de productos de la entidad con los datos existentes en su base de datos y en escrito de 25/1/2018 ha manifestado que “Como consecuencia del escrito del denunciante a CCLOAN, tras la recepción del primer SMS y tras recibir por su parte el pantallazo del SMS recibido, CCLOAN comunicó a Credy la irregularidad cometida .por su parte y obligo a que en los siguientes y sucesivos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 envíos que realizara en nombre de CCLOAN se incluyera el medio de revocación del consentimiento para los destinatarios de los mismos”. SEXTO. En la página web www.credy.es contiene la regulación de los Terminos y Condiciones, en su punto 6 se señala lo siguiente: “6. No necesita hacer pago a Traffic Control por usar este sitio web (www.credy.

1. es)ni hacer cualquier transferencia de los datos mencionados en la cláusula 1 a ningún proveedor de préstamo. Sin embargo, a cambio de usar este sitio web o pedir a Traffic Control para que haga la transferencia de los datos mencionados en la cláusula 1 a los proveedores de préstamo, Usted acepta y expresa su consentimiento para que Traffic Control use estos datos para fines de promoción o comercialización.” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 43.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI). II En el presente caso se atribuye a CCLOAN la comisión de una infracción del artículo 22.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), que dispone: “1. El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y que el sujeto no manifieste su voluntad en contra, para lo que deberá habilitarse un procedimiento o mecanismo sencillo y gratuito para que el destinatario pueda ejercer el derecho de oposición. El apartado
2. d)del anexo de la LSSI define al “Destinatario del servicio” o “destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Por otra parte, el artículo 19 de la LSSI preceptúa que: “1. Las comunicaciones comerciales y las ofertas promocionales se regirán, además de por la presente Ley, por su normativa propia y la vigente en materia comercial y de publicidad. 2. En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Como se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
3. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
4. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI, en su Anexo a), define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales (…)”. III En el presente caso, la cuestión a dilucidar es si el mensaje comercial recibido por el denunciante el 22/03/2018, a las 10:40 horas en su línea de telefonía móvil asociada al número ***TELEFONO.1 y en el que se le ofertaba un microcrédito contenía mecanismo alguno para revocar el consentimiento para la recepción de los citados mensajes, es decir, si el mensaje recibido objeto de la denuncia se ajustaba al concepto de comunicación comercial recogido en la LSSI. Sentado lo anterior, de la valoración conjunta de los elementos obrantes en el procedimiento ha quedado acreditado que la entidad denunciada resulta responsable C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 de la remisión de la comunicación comercial dirigida al denunciante sin que en la misma se incluyera mecanismo alguno que permitiera a su destinatario ejercitar el derecho de oposición al tratamiento de sus datos para no recibir nuevas comunicaciones comerciales en su terminal móvil. Dicho lo cual, conviene señalar que si bien el artículo 19.2 de la LSSI remite a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, a partir del 25 de mayo de 2018 dicha remisión ha de entenderse hecha al Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos, (RGPD en adelante), y que de acuerdo con sus disposiciones, y en relación con la información ofrecida sobre el derecho de oposición, establece en su Considerando 70 que debe facilitarse claramente y al margen de cualquier otra información. En concreto establece lo siguiente (…) Si los datos personales son tratados con fines de mercadotecnia directa, el interesado debe tener derecho a oponerse a dicho tratamiento, (…). Dicho derecho debe comunicarse explícitamente al interesado y presentarse claramente y al margen de cualquier otra información (…) Por lo expuesto, a la fecha de plena aplicación del RGPD, todo responsable y encargado del tratamiento deberá adecuar sus políticas de protección de datos personales a las previsiones de la citada normativa. IV De conformidad con lo establecido en el artículo 38, apartado 4
5. h)de la LSSI, se consideran infracciones graves y leves las siguientes: “4. Son infracciones leves:
6. h)El incumplimiento de la obligación del prestador de servicios establecida en el apartado 1 del artículo 22, en relación con los procedimientos para revocar el consentimiento prestado por los destinatarios cuando no constituya infracción grave”. El presente supuesto se ajusta al tipo de infracción establecido en el artículo 38.4
7. h)de la LSSI, calificado como infracción leve. V El artículo 39 bis de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula en su apartado 2 lo siguiente: “2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
8. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
9. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto se cumplen los requisitos recogidos en las letras
10. a)y
11. b)del citado apartado 2 del artículo 39 bis. Junto a ello se constata una cualificada disminución de la culpabilidad del denunciado teniendo que se refiere a la remisión de una única comunicación comercial y que concurren de forma significativa las circunstancias de ausencia de intencionalidad, inexistencia de perjuicios alegados por el destinatario del mensaje y falta de constancia de beneficios obtenidos por la comisión de la infracción. VI Los hechos denunciados son constitutivos de la infracción imputada y determinaron la apertura del presente procedimiento de apercibimiento. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella, y considerando que el objeto del apercibimiento es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. De la documentación obrante en el expediente consta que la entidad denunciada ha adoptado las medidas correctoras que garantizan la revocación del consentimiento de los destinatarios de SMS con fines publicitarios enviados en nombre de CCLOAN en el momento en que tuvo conocimiento del hecho constitutivo de la infracción. Por tanto, a la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) referente a los supuestos en los que el denunciado ha adoptado las medidas correctoras oportunas, de acuerdo con lo señalado se debe proceder al archivo de las actuaciones. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 1.- ARCHIVAR el procedimiento A/000266/2018 seguido contra CAPITAL FINANCIAL SERVICES, S.L. (WWW.CCLOAN.ES), con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 22.1 de la LSSI. 2.- NOTIFICAR el presente Acuerdo a CAPITAL FINANCIAL SERVICES, S.L. (WWW.CCLOAN.ES). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es