← España

A-00381-2017

1/8 Procedimiento Nº: A/00381/2017 RESOLUCIÓN: R/00020/2018 En el procedimiento A/00381/2017, instruido por la Agencia Española de Protección de Datos a la entidad ADARTIA GLOBAL CORREDURÍA DE SEGUROS S.A., vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 1/08/2017 tiene entrada en esta Agencia una denuncia presentada por A.A.A. (en lo sucesivo, la denunciante), en la que manifiesta lo siguiente: Que en fecha de 1/06/2017, varios colegiados del Ilustre Colegio de Abogados de Valencia ( ICAV en lo sucesivo), entre los que ella se encuentran han recibido correos electrónicos con contenido comercial sin tener vínculo alguno con el remitente de los mismos. Manifiesta que solicito el derecho de acceso y cancelación frente al remitente ADARTIA GLOBAL CORREDURIA DE SEGUROS, S.A., y que reconocieron el origen de los datos utilizados para los envíos en el listado de profesionales del ICAV. Aporta copia del correo recibido, solicitud de información al remitente de los correos, contestación y ejercicio de derechos ARCO. SEGUNDO: Tras la recepción de la denuncia, se diligenciaron los siguientes hechos: 1. Consta una correo electrónico remitido en fecha de 1/06/2017 con origen en ***EMAIL.1 y destino ***EMAIL.2 con el asunto “RENOVACION SEGURO RESPONSABILIDAD CIVIL”, que incluye una oferta comercial. 2. Consta en el citado correo el siguiente texto “Si desea darse de baja de nuestro boletín de noticias, haga click aquí” 3. Se aporta una comunicación del ICAV de fecha 7/06/2017 dirigida a ADARTIA GLOBAL SEGUROS, S.A., en el que se informa de que varios colegiados han recibido la publicidad referida en el punto anterior, y solicitan que se informe del origen de las direcciones de correo y se abstengan de enviar comunicaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 comerciales. 4. Se aporta comunicación de ADARTIA GLOBAL SEGUROS, S.A., en contestación a la anterior en el que manifiestan que “las direcciones de correo electrónico a las que nos hacen referencia, se han obtenido a través de fuentes de acceso público, (…) habiendo recabado expresamente su consentimiento (...) 5. Se aporta escrito de fecha 7/06/2017 del ejercicio del derecho de Acceso por parte de la denunciante frente a ADARTIA, siendo contestado mediante escrito de 11/07/2017 informando de los datos que obran en su fichero, la finalidad del tratamiento y el origen es ***URL.1 6. En dicho escrito se indica que se solicitó el consentimiento expreso mediante un correo electrónico en fecha de 24/03/2017 y que figura la apertura del mismo en fecha de 25/03/2017. 7. Se aporta un escrito de fecha 21/06/2017 de la denunciante frente a ADARTIA en el que ejerce el derecho de cancelación. No consta contestación. 8. En fecha de 20/10/2017 se accede a la URL que figura en el punto 5 y se verifica la existencia de un documento en formato PDF en el que tras realizar una búsqueda con el término “MARTA” figuran los datos de la denunciante y su fotografía. TERCERO: Con fecha 31 de octubre de 2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00381/2017 a ADARTIA GLOBAL CORREDURIA DE SEGUROS, S.A, con arreglo a lo dispuesto en el artículo 39 bis de la LSSI, con relación a la denuncia por infracción de su artículo 21.1, tipificada como leve en el artículo 38.4 d). CUARTO: El acuerdo de Audiencia Previa, que otorgaba un plazo de diez días hábiles para formular alegaciones, fue notificado a la denunciada en fecha de 10/11/2017. QUINTO: De las actuaciones practicadas han resultado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 1/06/2017 desde la dirección de correo ***EMAIL.1 y con destino a ***EMAIL.2 se remitió una comunicación electrónica que indicaba en el asunto “RENOVACION SEGURO RESPONSABILIDAD CIVIL”, que incluye una oferta comercial. La citada comunicación disponía de un medio de baja. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 DOS.- ADARTIA, mediante escrito de 11/07/2017 informa a la denunciante respecto de los datos que obran en su fichero, la finalidad del tratamiento y el origen que afirma que es ***URL.1 TRES.- En fecha de 20/10/2017 se accede a la URL que figura en el punto anterior y se verifica la existencia de un documento en formato PDF en el que tras realizar una búsqueda con el término “MARTA” figuran los datos de la denunciante y su fotografía. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en el artículo 43 de la LSSI, la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II En el presente caso se atribuye a ADARTIA GLOBAL CORREDURIA DE SEGUROS, S.A. , la comisión de una infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), que dispone: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.” Si bien la denunciada no ha formulado alegaciones en el plazo otorgado, de la documentación obtenida se deduce claramente que los datos de la denunciante constan en una página web de internet y aluden a la condición de abogada y mediadora de ésta. Establece el art. 19 de la LSSI el Título III de la LSSI referido a las “comunicaciones comerciales por vía electrónica”, que es aplicable la LOPD y su normativa de desarrollo, “en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Esta rotunda previsión legal permite afirmar que, además de lo establecido en la LSSI, serán exigibles en el tratamiento de datos personales para la realización de comunicaciones comerciales por medios electrónicos el conjunto de principios, garantías y derechos contemplados en la normativa de protección de datos de carácter personal. Por tanto, en relación al concepto de consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, el artículo 3.

  1. h)de la LOPD que establece: “Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. No obstante lo anterior, no puede aplicarse las excepciones a la prestación del consentimiento que recoge el art. 6.2 de la LOPD, para la autorización previa y expresa que requiere el art. 21 de la LSSI. Es decir, no sería de aplicación la exención del consentimiento cuando los datos a tratar estuvieran en Fuentes Accesibles al Público, de acuerdo con el art. 3 j LOPD, y en última instancia debe indicarse que no tienen tal consideración las páginas web de internet. En este sentido el Servicio Jurídico de esta Agencia emitió el Informe 3420/2008, que señala que: (…) Ambas definiciones tienen una enumeración taxativa respecto a lo que cabe considerar como fuentes accesibles al público, lo que impide que consideremos a las páginas web como fuentes accesibles al público. Por ello, para tratar la información contenida en dichas páginas debería de obtenerse el consentimiento de los afectados.(…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 En este sentido conviene traer a colación la SAN 371/2012 de 23/07/2013: Agregaba por otra parte la resolución recurrida que la constancia de las direcciones electrónicas de las empresas en la red Internet no habilita para utilizarlas para el envío de comunicaciones comerciales, salvo que se den los supuestos del artículo 21 de la Ley de Servicios de la Sociedad de la Información. Es decir, que una entidad puede tener su dirección de correo electrónico en una web a los efectos de “contacto” y fundamentalmente para ofrecer sus productos y actuar en el tráfico jurídico, pero que «ello no implica una autorización ad limitum para ser receptora de publicidad, pues precisamente ese derecho a no recibir comunicaciones comerciales por medios electrónicos es el que protege el artículo 21 de la Ley de Servicios de la Sociedad de la Información». Pues bien, procede desestimar el recurso por esta primera razón impugnatoria, dado que, en efecto, la legitimidad de la posesión de los datos por parte de una concreta empresa no obsta a la posterior necesidad del recabado de un consentimiento específico para la remisión de comunicaciones comerciales. Así se obtiene del art. 21.1 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico: «Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas». La desestimación del recurso por el fundamento que se acaba de analizar debe llevarnos también a la misma consecuencia con respecto a la afirmación de la obtención de aquella información (los datos de la empresa) de una fuente accesible al público (la página web de la denunciante). Y es que, con independencia de que se trate o no en efecto de una fuente accesible al público en los términos del art. 6.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, lo cierto es que aquella obtención pudiera legitimar, sin expreso consentimiento, el tratamiento de los datos de que se trate, pero no hacerlo con la remisión de comunicaciones comerciales. Esto entraña una actividad singular y diferente, que es requerida de consentimiento autónomo por el art. 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico. La recurrente, en otro momento, destacaba el hecho de que la destinataria de su correo de comunicación comercial era una persona jurídica y no otra física. Aunque el argumento alegatorio no termina de ser perfilado, parece que tras él lata la idea de que las personas jurídicas no son destinatarias y protegidas por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Sin embargo procede desestimar el recurso con este fundamento, dado que el artículo 19 de la Ley de Servicios para la Sociedad de la Información remite a la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal «en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales», pero de ellos no se obtiene una permisión generalizada de remisión de comunicaciones comerciales a las personas jurídicas, que contravendría de modo evidente la prohibición contenida en el art. 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico. No comparte la Sala, por otra parte, que el propio vocablo contenido en la dirección de correo electrónico de la empresa destinataria (info(fsites.com) indique su disposición generalizada a la recepción de comunicaciones comerciales sin autorización, pues la “información” a la que allí se alude es la que se produce desde la empresa titular del correo hacia sus propios clientes, no en dirección inversa.” (El subrayado es de la Agencia Española de Protección de Datos) Por lo que resulta irrelevante a los efectos de cumplir los requisitos del art. 21 de la LSSI, que las direcciones destinatarias de las comunicaciones comerciales analizadas estuvieran accesibles en sitios web de la red internet. En el caso analizado y de los hechos probados, no puede establecerse la legitimación de ADARTIA para el envío de comunicaciones comerciales, que requiere la autorización previa y expresa y tampoco la existencia de una relación comercial previa de servicios similares a los ofrecidos en las citadas comunicaciones. III La conducta que se atribuye a ADARTIA se encuentra tipificada como leve en el artículo 38.4.
  2. d)de dicha norma, que califica como tal “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave.” IV El artículo 39 bis apartado 2 de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 pertinentes, siempre que concurran los siguientes presupuestos:
  3. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  4. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto se cumplen los requisitos recogidos en las letras
  5. a)y
  6. b)del citado apartado 2 del artículo 39 bis. Junto a ello se constata una cualificada disminución de la culpabilidad del denunciado teniendo en cuenta que la infracción se refiere a la remisión de una única comunicación comercial a la denunciante y que concurren de forma significativa las circunstancias de ausencia de intencionalidad e inexistencia de perjuicios alegados por el destinatario del mensaje. Por lo expuesto y de acuerdo con el citado precepto, se requiere a la entidad denunciada para que adopte las medidas oportunas tendentes a evitar que se vuelva a vulnerar la prohibición de envío de comunicaciones comerciales que no hubieran sido expresamente solicitadas o sin darse algún supuesto que permite el art. 21 de la LSSI. V El art. 39 bis 2 de la LSSI, se advierte de que las medidas requeridas deberán adoptarse por la entidad denunciada y comunicarlas, con la advertencia que de no hacerlo procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- APERCIBIR (A/00381/2017) a ADARTIA GLOBAL CORREDURIA DE SEGUROS, S.A con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo 21.1 de la citada norma, tipificada como leve en su artículo 38.4. d). SEGUNDO.- REQUERIR a ADARTIA GLOBAL CORREDURIA DE SEGUROS, S.A acuerdo con lo establecido en el artículo 39 bis 2 de la LSSI para que en el plazo de UN MES desde la notificación de la presente resolución. 2.1 CUMPLA lo previsto en el artículo 21.1 de la LSSI para lo que se insta a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 entidad denunciada a implementar las medidas necesarias, para evitar que vuelva a producirse la infracción cometida. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se le advierte que en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. TERCERO.- NOTIFICAR la presente Resolución a ADARTIA GLOBAL CORREDURIA DE SEGUROS, S.A y a A.A.A. . De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.