1/6 Procedimiento Nº: A/00468/2017 RESOLUCIÓN: R/00297/2018 En el procedimiento A/00468/2017, instruido por la Agencia Española de Protección de Datos a la entidad THE YELLOW ENERGY S.L., vista la denuncia presentada por D. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 25 de agosto de 2017 tiene entrada en esta Agencia, a través de su sede electrónica, denuncia interpuesta por D. A.A.A. (en lo sucesivo, el denunciante), relativa a la recepción una comunicación comercial remitida por la entidad THE YELLOW ENERGY S.L. (en lo sucesivo el denunciado), sin que ésta haya sido solicitada o expresamente autorizada. El denunciante en sus escritos de 25 de agosto y 4 de octubre de 2017 aporta correo electrónico recibido el día 20 de julio de 2017 en la dirección **EMAIL.2 remitido desde la dirección **EMAIL.1 junto con sus cabeceras completas. Las cabeceras completas son necesarias porque incluyen identificación de los servidores de correo por los que el mensaje transitó hasta su destino. SEGUNDO: Tras la recepción de la denuncia, por los Servicios de Inspección de esta Agencia, se practican diligencias teniendo conocimiento de lo siguiente:
- El denunciante ha recibido, el día 20 de julio de 2017, en su cuenta de correo **EMAIL.2 un correo electrónico, remitido desde la dirección **EMAIL.1 con información relativa a la posibilidad de cambiar a una tarifa eléctrica personalizada y sin permanencia.
- En el citado correo electrónico se indica que: “…sus datos forman parte de un fichero titularidad de THE YELLOW ENERGY S.L. UNIPERSONAL (…) Puede ejercer los derechos de acceso, rectificación, cancelación y oposición en ***DIRECCIÓN.1 .” Así mismo le informaba que: “En cumplimiento de la LSSICE 34/2002, le informamos que puede revocar en cualquier momento, de forma sencilla y gratuita, el consentimiento para la recepción de correo electrónico enviando un e-mail con su solicitud a: lopd@esferaluz.es” TERCERO: Consultada la aplicación de la AEPD que muestra información de antecedentes de sanciones y apercibimientos precedentes, no constan registros previos asociados relativos al denunciado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 CUARTO: Con fecha 11 de enero de 2018, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00468/2017 de conformidad con lo establecido en el artículo 39 bis, apartado 2, de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI) con relación a la denuncia por infracción de su artículo 21.1, tipificada como leve en el artículo 38.4.d). Dicho acuerdo fue notificado al denunciado. QUINTO: Con fecha 9/02/2018 se recibe en esta Agencia escrito del denunciado en el que comunica: <<…- Que el 22 de marzo de 2016 el denunciante realizó una consulta solicitando una oferta personalizada, siendo éste el motivo de la recogida de sus datos de carácter personal. - Que posteriormente, y tras petición específica del presente consumidor final, realizada el día 5 de enero de 2017, se cancelaron sus datos, habiéndose procedido de dicho modo en las plataformas de comunicación de las empresas de nuestro grupo empresarial, todo ello siguiendo el Procedimiento LOPD-Ejercicio de derechos ARCO (acceso, rectificación, cancelación y oposición) aprobado por el grupo societario cuya matriz es Nexus Energía, SA. que establece la forma en la que el grupo procede ante cualquier reclamación de este tipo por un consumidor. - Que, no obstante lo anterior, y tras recibir el oficio de éste órgano inspector, nos hemos cerciorado del hecho que, a pesar de haber activado el protocolo de actuación sobre derechos ARCO, no se cancelaron adecuadamente, consecuencia de un error humano, los datos recogidos en una base de datos gestionada de forma manual, y por error se envió un correo electrónico al Sr. A.A.A.. Tras detectarse dicho error humano, el grupo ha procedido a adoptar las siguientes actuaciones: - Se han cancelado los datos de carácter personal del Sr. A.A.A. de todas las bases de datos. - Se han adoptado medidas para asegurar el control de todos los contactos asociados a las bases de datos de todos los consumidores que en algún momento han dado su consentimiento. - Se va a designar a un solo responsable encargado de gestionar todas las bases de datos para el envío de información comercial a consumidores. - Adoptar las medidas de índole técnico y organizativo necesarias para controlar y evitar el error humano asociado…>> HECHOS PROBADOS PRIMERO: Con fecha de 25 de agosto de 2017 tiene entrada en esta Agencia, escrito del denunciante relativo a la recepción de una comunicación comercial remitida por el denunciado, sin que ésta haya sido solicitada o expresamente autorizada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 El denunciante en sus escritos de 25 de agosto y 4 de octubre de 2017 aporta correo electrónico recibido el día 20 de julio de 2017 en la dirección **EMAIL.2 remitido desde la dirección **EMAIL.1 junto con sus cabeceras completas. Las cabeceras completas son necesarias porque incluyen identificación de los servidores de correo por los que el mensaje transitó hasta su destino. SEGUNDO: En el citado correo electrónico se indica que: “…sus datos forman parte de un fichero titularidad de THE YELLOW ENERGY S.L. UNIPERSONAL (…) Puede ejercer los derechos de acceso, rectificación, cancelación y oposición en ***DIRECCIÓN.1 .” Así mismo le informaba que: “En cumplimiento de la LSSICE 34/2002, le informamos que puede revocar en cualquier momento, de forma sencilla y gratuita, el consentimiento para la recepción de correo electrónico enviando un e-mail con su solicitud a: lopd@esferaluz.es” TERCERO: A lo largo del procedimiento, el denunciado ha comunicado que no se cancelaron adecuadamente los datos del denunciante como consecuencia de un error humano y que <<Tras detectarse dicho error humano, el grupo ha procedido a adoptar las siguientes actuaciones: - Se han cancelado los datos de carácter personal del Sr. A.A.A. de todas las bases de datos. - Se han adoptado medidas para asegurar el control de todos los contactos asociados a las bases de datos de todos los consumidores que en algún momento han dado su consentimiento. - Se va a designar a un solo responsable encargado de gestionar todas las bases de datos para el envío de información comercial a consumidores. - Adoptar las medidas de índole técnico y organizativo necesarias para controlar y evitar el error humano asociado…>> FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 43.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI). II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 La LSSI dispone en su artículo 21 lo siguiente: “
- Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.
- Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” Añade el artículo 22.1 lo siguiente: “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos” El artículo 22.2 de la LSSI determina lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre , de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” III La citada infracción se encuentra tipificada como leve en el artículo 38.4.d) de dicha norma, que califica como tal “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave.” IV El artículo 39 bis de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula en su apartado 2 lo siguiente: “
- Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos: a) Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. b) Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto se cumplen los requisitos recogidos en las letras a) y b) del citado apartado 2 del artículo 39 bis. Junto a ello se constata una cualificada disminución de la culpabilidad del denunciado teniendo en cuenta que la infracción se refiere a la remisión de una única comunicación comercial y que no consta que se hayan ocasionado perjuicios al destinatario del mensaje. En el presente caso, ha quedado acreditado que el denunciado ha comunicado a esta Agencia las medidas correctoras adoptada. Teniendo en cuenta estas circunstancias, procede el archivo del presente procedimiento, en armonía con la doctrina de la Audiencia Nacional recogida, entre otras, en su SAN de 29/11/2013 (Rec. 455/2011). De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 SE ACUERDA: 1.- ARCHIVAR (A/00468/2017) a THE YELLOW ENERGY S.L. con arreglo a lo dispuesto en el artículo 39 bis, apartado 2, de la LSSI, con relación a la denuncia por infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.d) de la citada norma. 2.- NOTIFICAR el presente Acuerdo a THE YELLOW ENERGY S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es