E-00092-2017

1/8 Expediente Nº: E/00092/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidadJUNGLE.BOX, S.L. en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 15 de noviembre de 2016 tiene entrada en esta Agencia, una denuncia presentada por A.A.A., en adelante el denunciante, contra JUNGLE.BOX S.L. relativa a la recepción de comunicaciones comerciales, remitidas desde el dominio mkt.aprendemas.com, en las que se promocionan los productos o servicios de JUNGLE.BOX S.L. que se remiten después de haber solicitado de forma reiterada el cese del envío de tales comunicaciones electrónicas. El denunciante aporta la siguiente documentación:

1. a)Correos electrónicos recibidos los días 31 de octubre de 2016 y los días 7, 14 y 15 de noviembre (dos recibidos ese mismo día 15) en la dirección A.A.A.@gmail.com junto con sus cabeceras completas. Las cabeceras completas son necesarias porque incluyen identificación de los servidores de correo por los que el mensaje transitó hasta su destino.
2. b)Confirmaciones de Baja de la base de datos de JUNGLE BOX S.L., remitidas desde la dirección ....@aprendemas.com a la dirección A.A.A.@gmail.com, los días 2, 14 y 15 de noviembre de 2016 (dos remitidas ese mismo día 15), junto con sus cabeceras completas. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. El denunciante recibe en su cuenta de correo A.A.A.@gmail.com, correos electrónicos comerciales procedentes de la dirección ....@mkt.aprendemas.com los días 31 de octubre y 7, 14 y 15 de noviembre de 2016 (dos recibidos ese mismo día 15) 2. En los citados correos electrónicos se indica lo siguiente: “(…) Si en adelante no desea recibir más e-mail de este tipo, puede pinchar aquí, gracias” 3. En fechas 2, 14 y 15 de noviembre de 2016, el denunciante recibe en su dirección de correo A.A.A.@gmail.com correos electrónicos en lo que se confirma la baja desde la dirección ....@aprendemas.com. 4. En respuesta a la solicitud de información realizada por la inspectora actuante, se recibe escrito de JUNGLE BOX S.L. en el que dicha entidad manifiesta, en relación con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 los hechos denunciados, lo siguiente: (…) Primero.- Respecto a la información que se requiere en relación al origen del dato B.B.B.. El mismo se dispone y trata para la finalidad de remisión de newsletter y comunicaciones electrónicas asociadas al objeto de la entidad denunciada en base a la recogida de dicho dato de forma voluntaria por la persona que, a tal efecto, ha solicitado información acerca de cursos que se reproducen en la Página Web titularidad de la entidad denunciada www.aprendernas.com, habiendo introducido, como se ha significado de forma voluntaria y previa aceptación de las condiciones inherentes a la remisión de comunicaciones electrónicas sus datos de carácter personal incluyéndose la dirección de correo electrónica asociada a la denuncia (…) Tercero.- Que, más concretamente, el día 2 de septiembre del 2014, la supuesta persona que efectúa denuncia -usuario de la Página Web aprendemas.com- solicitó a través de la dirección electrónica objeto de denuncia la remisión de comunicaciones a través de dirección electrónica respecto a cursos de formación -servicios- disponibles o que fueren de interés para dicho usuario, dado que completó el formulario asociado para dicha finalidad en relación al curso Postgrado Clinical Trial Assistante. Cuarta.- Que, igualmente y supuestamente, el mismo usuario bajo denominación A.A.A. solicitó, para direcciones asociadas a dominios tales como: Hotmail.com y yahoo.es, remisión de comunicaciones electrónicas para finalidades idénticas a las expresadas en el precedente fundamento. Sin embargo, esta parte únicamente puede aportar el presente hecho, no pudiendo confirmar que estuviere asociada la dirección electrónica bajo domino yahoo.es y hotmail.com a la persona objeto que presenta denuncia, por varios motivos: desconocimiento de la persona que efectúa la denuncia; especialmente, porque los datos asociados a dichos dominios no se corresponde o se asocian en identidad con la información facilitada y que se dispone en relación a la dirección electrónica A.A.A.@gmail.com (…) Sexta.- Que, igualmente, las comunicaciones remitidas a la dirección electrónica objeto de denuncia, bajo formato de newsletter o similar, contenían las medidas preceptivas con el fin de dar cumplimiento al apartado segundo, parágrafos segundo y tercero del artículo 21 de la Ley de Servicios de la Sociedad de la Información, en cuanto a disponer de una dirección de correo electrónica u otra dirección electrónica válida con el fin de revocar el consentimiento que a tal efecto se produjo con anterioridad al tratamiento de la dirección electrónica con la finalidad establecida. Dicha medida legal ha sido efectuada mediante el supuesto de “otra dirección electrónica válida" a través de enlace establecido al efecto en el cuerpo del mensaje, dado que cumple, además de lo enunciado, con el carácter gratuito y sencillo que la normativa establece. (…) Octava.- Que la entidad recibió desde la dirección electrónica objeto de denuncia correo electrónico en relación a la baja asociada a aquella. En relación al presente, constatar que los usuarios disponen de direcciones de correos electrónicos tales como ....@aprendemas.com y ....@junglebox.es en el caso que la dirección electrónica inserta en la comunicación remitida tuviere alguna incidencia técnica que impidiere no atender la solicitud de revocación. Dichos correos electrónicos se encuentran disponibles para todo aquel usuario y persona asociada al mismo en las condiciones insertas en el formulario de aceptación de comunicaciones electrónicas así como en la Página Web de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 conformidad con las exigencias establecidas en la normativa de servicios de la sociedad de la información y comercio electrónico. Novena.- Supuestamente, la persona asociada a la dirección electrónica objeto de denuncia, remitió mail a una de las direcciones establecidas para la finalidad descrita en el precedente fundamento, en la cual solicitaba la baja para las direcciones electrónicas comentadas en el presente, es decir, tanto para la asociada al dominio Gmail; Yahoo; y Hotmail. Tras la recepción del citado correo electrónico; se procedió a abrir incidencia a través del sistema de ticketing establecido por la entidad con la finalidad de aseverar, por una parte, la constatación de la existencia de las direcciones electrónicas; la constancia de las bajas de las mismas; así como las pruebas técnicas y comprobaciones que el sistema de opt-out establecido funcionara correctamente. Décima.- Tras la apertura de incidencia se ha procedido a verificar las circunstancias en el precedente fundamento y, en su caso, a resolver la incidencia afecta, todo ello, de cara a la implantación de las medidas técnicas correctoras para obtener el resultado pretendido: la baja efectiva de la dirección electrónica y, en su caso, la verificación y procesos técnicos precisos de cara a salvaguardar el derecho no sólo del presente denunciante sino del resto de usuarios de los que se dispone autorización para la remisión de comunicaciones electrónicas A tal efecto igualmente, se ha procedido a registrar incidencia de conformidad con el Titulo VIII RDLOPD la cual se aporta al presente como documento número 2 y como medida preventiva y, en aras a la adecuación progresiva de la entidad al GDPR, se está procediendo a la evaluación de impacto así como a los resultados derivados de la misma para proceder de conformidad con dicho reglamento europeo. En base al precedente y de las medidas efectuadas la dirección electrónica objeto de denuncia ha sido debidamente procesada con la finalidad de suspender de forma definitiva la remisión de comunicaciones electrónicas salvo que fuere objeto de nuevo de alta voluntaria para el envío de aquellas.(…) Decimotercera.- Que esta parte quiere significar que, previo requerimiento de la Agencia de Protección de Datos, se han efectuado las precedentes actuaciones relacionadas en fundamentos anteriores, dando como resultado la baja efectiva tanto de la dirección electrónica objeto de denuncia como el resto de direcciones electrónicas asociadas supuestamente a la identidad del denunciante -Yahoo y Hotmail-, bien mediante las medidas correctoras bien mediante el sistema opt-out establecido a tal efecto en las comunicaciones electrónicas respectivamente a ambas peticiones no constando y, en consecuencia, la remisión de aquellas a las direcciones electrónicas que se tienen constancia y referidas a través del presente escrito (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el art. 43.1 de la Ley 34/2002, de 11 de Julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en adelante, la LSSI). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II El art. 37 de la LSSI establece como sujetos sobre los que impone su régimen sancionador a “los prestadores de servicios de la sociedad de la información” Para determinar qué sujetos se ajustan a dicha definición, ha de acudirse a lo dispuesto en el Anexo de la citada ley, que define al “Prestador de servicios” “como la persona física o jurídica que proporciona un servicio de la sociedad de la información”. Lo que se completa con la definición que sobre “Servicios de la sociedad de la información o servicios” ofrece el aparatado a), del Anexo: “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica ya petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1. La contratación de bienes o servicios por vía electrónica. 2. La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3. La gestión de compras en la red por grupos de personas. 4. El envío de comunicaciones comerciales. 5. El suministro de información por vía telemática.” III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Por su parte, el artículo 21 de la LSSI señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestados hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. IV En el presente caso ha quedado acreditada la remisión por el denunciado de correos electrónicos promocionando sus productos y servicios con fechas 31 de octubre y 7, 14 y 15 de noviembre de 2016. Asimismo ha quedado acreditado que la denunciada confirmó la baja de la dirección electrónica del denunciante los días 2, 15 y 15 de noviembre de 2016 Sobre este particular indicar que el artículo 19 de la LSSI señala lo siguiente: “1. Las comunicaciones comerciales y las ofertas promocionales se regirán, además de por la presente Ley, por su normativa propia y la vigente en materia comercial y de publicidad. 2. En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales.” El Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal estable en su artículo 17.2, en cuanto a la revocación del consentimiento, que “El responsable cesará en el tratamiento de los datos en el plazo máximo de diez días a contar desde el de la recepción de la revocación del consentimiento, sin perjuicio de su obligación de bloquear los datos conforme a lo dispuesto en el artículo 16.3 de la Ley Orgánica 15/1999, de 13 de diciembre.” Y en su artículo 35.3 dispone, en cuanto al plazo para hacer efectivo el derecho de oposición, que “El responsable del fichero o tratamiento deberá excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición o denegar motivadamente la solicitud del interesado en el plazo previsto en el apartado 2 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 de este artículo” (10 días). Finalmente indica su artículo 6, en cuanto al cómputo de plazos, que “En los supuestos en que este reglamento señale un plazo por días se computarán únicamente los hábiles (…)” En este caso se desconoce la fecha en la que el denunciante solicitó al denunciado el cese en el envío de comunicaciones comerciales, ya que únicamente se tiene constancia de las fechas en las que el denunciado confirmó la solicitud de baja del denunciante. Así las cosas, en virtud del principio In dubio pro reo, la duda ha de interpretarse a favor del denunciado y considerar que las peticiones de cese se formularon el mismo día en que fueron respondidas. En suma, de acuerdo con lo que se ha indicado anteriormente cabe concluir que de los correos publicitarios aportados por el denunciante sólo los recibidos el 15 de noviembre de 2016 superan el plazo de diez días, por lo que debe declararse probada la remisión por el denunciado al denunciante de 2 correos comerciales después de su solicitud de oposición o revocación. V El artículo 39 bis de la LSSI, bajo el epígrafe “Moderación de la sanciones” estipula lo siguiente: “1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquélla en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
3. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
4. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
5. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
6. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
7. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
8. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
9. b)Que el órgano competente no hubiese sancionado o apercibido con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
10. a)y
11. b)del citado apartado 2 del artículo 39 bis. Trasladando las consideraciones precedentes al supuesto que analizamos, se observa que la presunta infracción de la LSSI realizada por el denunciado, constituiría una infracción “leve”; que esa entidad no ha sido sancionada o apercibida por la AEPD en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en al artículo 39 bis.1 de la LSSI, teniendo en cuenta que sólo se emitieron 2 correos y la falta de constancia de beneficios obtenidos y perjuicios ocasionados. VI En todo caso, debe señalarse que, si bien estamos ante comunicaciones comerciales no solicitadas, dado que se remitieron después de la solicitud de baja cursada por el denunciante, lo que significaría la concurrencia de una actuación infractora por parte de la entidad denunciada, ésta al tener noticia de los hechos aquí expuestos, ha comunicado a esta Agencia que ha procedido a dar de baja al denunciante. La Sentencia de la Audiencia Nacional de 29 de noviembre de 2013 (Rec. 455/