A-00278-2018

1/8 Procedimiento Nº: A/00278/2018 RESOLUCIÓN: R/00052/2019 En el procedimiento A/00278/2018, instruido por la Agencia Española de Protección de Datos a la entidad FLASH EUROPE ESPAÑA SERVICIOS DE LOGISTICA, S.L., vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 28 de junio de 2018 se registra de entrada en la Agencia Española de Protección de Datos reclamación interpuesta por Don A.A.A., (en lo sucesivo, el reclamante), poniendo de manifiesto que con fecha 20 de junio de 2018 recibió en su dirección de correo electrónico ***EMAIL.1 una comunicación comercial no solicitada procedente de la dirección de correo contact@virtuose.ebulletinmax.eu. El reclamante adjunta copia del citado envío y del código fuente del mismo. En el mensaje aportado se publicitan los servicios de mensajería (logística multi-transport) ofrecidos por la filial en España de “Upela.com”, apareciendo al pie de la reseñada comunicación comercial la siguiente información: “Usted recibe este mensaje porque está inscrito en la base de datos DEST. Si de alguna manera este mensaje le ha causado alguna molestia, le rogamos nos disculpe. Si no desea seguir recibiendo información nuestra, haga click AQUÍ” El reclamante señala que se trata de una comunicación comercial que ha recibido sin haberlo solicitado ni autorizado, y sin haberse registrado en ningún lugar previamente. También aduce que pese a tratarse de una comunicación comercial, no se indica claramente quién es el anunciante, ya que sólo se identifica como "Upela.com". SEGUNDO: A la vista de los hechos comunicados y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión. Como resultado de las actuaciones de investigación practicadas, se constatan los siguientes extremos: Con fecha 9 de octubre de 2018 se constata que en el “Aviso Legal” de la página web https://www.upela.com se indica que: “La página web accesible a través de "www.upela.com" está editada y explotada por la sociedad MPG FLASH EUROPE ESPAÑA SERVICIOS DE LOGISTICA SL, sociedad de responsabilidad limitada con un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 capital de 60.100,00 euros, con domicilio social en la ***DIRECCION.1, matriculada en el registro mercantil de Barcelona, Hoja Y-XXXXXX, Tomo ***TOMO.1 Folio. “ Con fecha 10 de octubre de 2018, se envía requerimiento de información en relación con los hechos denunciados a MPG FLASH EUROPE ESPAÑA SERVICIOS DE LOGISTICA S.L., a la dirección obtenida a través de internet. Con fecha 15 de octubre de 2018, el mencionado requerimiento se devuelve por el servicio de correos con la anotación de “Desconocido”. Con fecha 26 de octubre de 2018, se constata que en la Hoja Y-XXXXXX del Registro Mercantil Central figura inscrita la mercantil FLASH EUROPE ESPAÑA SERVICIOS DE LOGISTICA, S.L., con domicilio en ***DIRECCION.1 y CIF ***CIF.1. Con fecha 26 de octubre de 2018, se envía dicho requerimiento a “UPELA ESPAÑA- FLASH”, concretamente a la ***DIRECCION.2, dirección obtenida a través de internet en la página web https://www.upela.com. Este requerimiento fue entregado con fecha 31 de octubre de 2018 a través del Servicio de Correos, sin que conste se haya dado contestación a la información requerida en el mismo en relación con los hechos objeto de reclamación. TERCERO: Consultada el 17 de diciembre de 2018 la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, a la entidad FLASH EUROPE ESPAÑA SERVICIOS DE LOGISTICA S.L., no le constan registros previos. CUARTO: Con fecha 18 de diciembre de 2018, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00278/2018. Dicho acuerdo fue notificado a FLASH con fecha 28 de diciembre de 2018. QUINTO: Con fecha 15 de enero de 2019 se recibe en esta Agencia escrito de quien se identifica como representante de las entidades FLASH y MPG UPELA, S.A.S., (en lo sucesivo, UPELA), aduciendo, en síntesis, las siguientes alegaciones: - La sociedad española FLASH y la sociedad francesa UPELA. pertenecen al mismo grupo societario, (en adelante, GRUPO FLASH) - Error material de traducción en el Aviso Legal de la página Web de UPELA en su versión española. La encargada de editar y explotar la página web www.upela.com es UPELA, conforme aparece en las capturas del Aviso Legal de dicha página web en otros idiomas que se aportan a modo de prueba, figurando en todas ellas la sociedad UPELA como responsable de la edición y gestión de la web, excepto en la traducción española, donde por error constaba FLASH. Dicho error ya ha sido corregido por UPELA. - A la vista de lo cual, FLASH no es la encargada de gestionar ni editar la información contenida en la mencionada página web, como tampoco lo es del envío de información comercial de los servicios ofertados por UPELA. Por lo cual, la atribución de responsabilidad a FLASH vulnera el principio de responsabilidad al que se refiere el artículo 28 de la Ley 40/2015. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 UPELA tiene subcontratado los servicios de “mailing” con la sociedad francesa EFFILIATION, SAS, que gestiona sus propias bases de datos, y a tal efecto es la responsable del cumplimiento de los requisitos y obligaciones previstas en la normativa de protección de datos. Se adjuntan las Condiciones Generales mediante las cuales UPELA subcontrata los servicios mencionados a la sociedad EFFILIATION, SAS. UPELA no es propietaria de la base de datos utilizada para la remisión de las comunicaciones comerciales en las que se publicitan sus servicios, desconociendo las cuentas de correo electrónico destinatarias de las mismas, ni efectúa la remisión de los envíos comerciales, funciones que corresponden a EFFILIATION, SAS, entidad que también es responsable de la obtención y gestión del consentimiento otorgado por los respectivos destinatarios. SEXTO: Con fecha 7 de febrero de 2019 se verifica que en el “Aviso Legal” de la página web https://www.upela.com se indica que “La página web accesible a través de "www.upela.com" (en adelante "El Sitio") está editada y explotada por la sociedad MPG UPELA, sociedad de responsabilidad limitada con un capital de 1000 euros, con domicilio social en 17 rue de Surène Paris, Francia, matriculada en el registro mercantil de Paris bajo el n° ***TELEFONO.1, y con número de IVA intracomunitario ***IVA.1, cuya dirección email de contacto es contact@upela.com y número de teléfono ***TELEFONO.2.” HECHOS PROBADOS PRIMERO: Con fecha 28 de junio de 2018 el reclamante, que niega haber otorgado su consentimiento previo y expreso para ello o haberse inscrito en ninguna base de datos, recibió una comunicación comercial en su dirección de correo electrónico ***EMAIL.1 remitida desde la dirección de correo contact@virtuose.ebulletinmax.eu, en la que se ofertaban los servicios de mensajería (logística multi-transport) de “Upela.com”. Al pie del envío la reseñada comunicación comercial se incluía la siguiente información: “Usted recibe este mensaje porque está inscrito en la base de datos DEST. Si de alguna manera este mensaje le ha causado alguna molestia, le rogamos nos disculpe. Si no desea seguir recibiendo información nuestra, haga click AQUÍ” SEGUNDO: El reclamante niega haber solicitado o autorizado la recepción de la comunicación comercial reseñada en el Hecho Probado anterior o haberse registrado para ello en ningún lugar previamente. TERCERO: Con fecha 9 de octubre de 2018 se verifica que en el “Aviso Legal” de la página web https://www.upela.com se indica que: “La página web accesible a través de "www.upela.com" está editada y explotada por la sociedad MPG FLASH EUROPE ESPAÑA SERVICIOS DE LOGISTICA SL, sociedad de responsabilidad limitada con un capital de 60.100,00 euros, con domicilio social en la ***DIRECCION.1, matriculada en el registro mercantil de Barcelona, Hoja Y-XXXXXX, Tomo ***TOMO.1 Folio. “ C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 CUARTO: FLASH EUROPE ESPAÑA SERVICIOS DE LOGISTICA, S.L. ha aportado Impresión de las versiones en inglés, francés, italiano, y alemán del Aviso Legal de la página web www.upela.com en las que la sociedad MPG UPELA, SAS aparece como sociedad encargada de editar y explotar la reseñada página web, siendo un error de traducción el que en la versión en español se la citase como responsable de dicha página web en lugar de a MPG UPELA, SAS. QUINTO: Con fecha 21 de junio de 2018 las sociedades francesas EFFILIATION, SAS y MPG UPELA, SAS suscribieron contrato en virtud del cual la primera de las empresas citadas presta el servicio de marketing a la segunda. SEXTO: Con fecha 7 de febrero de 2019 se verifica que en el “Aviso Legal” de la página web https://www.upela.com se indica que “La página web accesible a través de "www.upela.com" (en adelante "El Sitio") está editada y explotada por la sociedad MPG UPELA, sociedad de responsabilidad limitada con un capital de 1000 euros, con domicilio social en 17 rue de Surène Paris, Francia, matriculada en el registro mercantil de Paris bajo el n° ***TELEFONO.1, y con número de IVA intracomunitario ***IVA.1, cuya direccion email de contacto es contact@upela.com y número de teléfono ***TELEFONO.2.” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 43.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI). II La LSSI dispone en su artículo 21 lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” Añade el artículo 22.1 lo siguiente: “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos” La citada infracción se encuentra tipificada como leve en el artículo 38.4.

1. d)de dicha norma, que califica como tal “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave.” III El artículo 39 bis de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: “1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
2. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
3. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
4. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
5. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
6. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
7. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8
8. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Por su parte el artículo 40 de la LSSI, en relación con la “Graduación de la cuantía de las sanciones”, determina lo siguiente: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
9. a)La existencia de intencionalidad.
10. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
11. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
12. d)La naturaleza y cuantía de los perjuicios causados.
13. e)Los beneficios obtenidos por la infracción.
14. f)Volumen de facturación a que afecte la infracción cometida.
15. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En el presente supuesto, y de conformidad con las evidencias de las que se disponía a fecha 18 de diciembre de 2018, se acordó someter a Trámite de Audiencia Previa al Apercibimiento a la entidad FLASH EUROPE ESPAÑA SERVICIOS DE LOGISTICA, S.L., con arreglo a lo dispuesto en el artículo 39 bis 2 de la LSSI, toda vez que se cumplían los requisitos recogidos en las letras
16. a)y
17. b)del citado apartado 2 del artículo 39 bis de la LSSI, así como la concurrencia del supuesto previsto en el artículo 39 bis1.
18. a)de la misma norma. Así se estimó que operaba una cualificada disminución de la culpabilidad de dicha empresa teniendo en cuenta la concurrencia significativa de las circunstancias derivadas de la falta de constancia tanto de que se hubieran producido perjuicios al reclamante, destinatario del envío comercial no autorizado analizado, como de que la reclamada hubiera obtenido beneficios. IV En el presente supuesto, de la valoración del conjunto de elementos fácticos obrantes en el procedimiento, en particular de la documentación aportada por FLASH EUROPE ESPAÑA SERVICIOS DE LOGISTICA, S.L., se desprenden los siguientes hechos: - La entidad MPG UPELA SAS es la titular de la página web www.upela.com, siendo debido a un error de traducción en la versión al español del Aviso Legal de dicho sitio que se citaba a FLASH EUROPE ESPAÑA SERVICIOS DE LOGISTICA, S.L. como responsable del mismo, error que ya ha sido subsanado en la actualidad en dicha página web en su versión en español. Que, a la vista de la documentación contractual aportada por la entidad investigada, podría tratarse de un correo electrónico comercial efectuado por la entidad EFFILIATION, SAS a instancias y a favor de MPG UPELA, SAS, entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 anunciante que habría subcontratado los servicios de “mailing” de EFFILIATION, SAS, en virtud de contrato de fecha 21 de junio de 2018. En consecuencia, habiendo quedado desvirtuada la vinculación de la entidad investigada con la mencionada página web y no existiendo en el procedimiento otros elementos de prueba que permitan acreditar, de forma fehaciente, que la comunicación comercial analizada fuera remitida por FLASH EUROPE ESPAÑA SERVICIOS DE LOGISTICA, S.L., ha de tenerse en cuenta que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia en el ámbito de la potestad sancionadora, que desplazan a quien acusa la carga de probar los hechos y su autoría. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del “ius puniendi”, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. El Tribunal Constitucional, en su Sentencia 76/1990, de 26 de abril, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. El mismo Tribunal Constitucional, en su Sentencia 24/1997, ha establecido que “los criterios para distinguir entre pruebas indiciarías capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que: La prueba indiciaría ha de partir de hechos plenamente probados. Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” De acuerdo con este planteamiento, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, establece que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” Asimismo, en relación con el principio de presunción de inocencia, el artículo 53.2.
19. b)de Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos: (…)
20. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 En definitiva, la aplicación de dichos principios impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. Por otra parte, no cabe iniciar procedimiento sancionador a MPG UPELA, SAS como posible responsable del envío de la comunicación comercial no autorizada a la cuenta de correo electrónico del reclamante, toda vez que de conformidad con lo dispuesto en el artículo 45 de la LSSI la infracción al artículo 21.1 de la LSSI que dicho envío pudiera constituir estaría prescrita al haber transcurrido más de seis meses desde su remisión. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/0278/2018) las actuaciones practicadas a la entidad FLASH EUROPE ESPAÑA SERVICIOS DE LOGISTICA, S.L., con arreglo a lo dispuesto en el artículo 39 bis, apartado 2, de la LSSI, con relación a la reclamación por infracción del artículo 21.1 de la LSSI. 2.-. NOTIFICAR el presente Acuerdo a FLASH EUROPE ESPAÑA SERVICIOS DE LOGISTICA, S.L. y a Don A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es