E-00387-2014

1/6 Expediente Nº: E/00387/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad LY INTERNATIONAL WEB BUSINESS, LTD, en virtud de denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 02/01/2014 tuvo entrada en esta Agencia escrito de A.A.A. (en lo sucesivo el denunciante) en el que manifiesta que después de haber instalado en su smartphone la aplicación denominada AIPERSONS (en lo sucesivo Airpersons o la denunciada) desde esta empresa se han enviado, sin su consentimiento y en su nombre, comunicaciones comerciales vía email a los contactos que constan en la agenda de su móvil. El denunciante añade que con el propósito de darse de baja logró contactar con Airpersons a través de su página en Facebook y siguiendo sus indicaciones el 01/12/2013 envió un correo solicitando la baja y la eliminación de su perfil, pese a lo cual el 02/01/2014 Airpersons continúa enviando spam a sus contactos. Adjunta copia de las comunicaciones mantenidas con la denunciada a través de Facebook y de los correos electrónicos de contenido publicitario enviados en su nombre a sus contactos el 02/01/2014. SEGUNDO: Tras la recepción de la denuncia, por la Subdirección General de Inspección de Datos se efectuaron actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ANTECEDENTES Con fecha de 2 de enero de 2014 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por A.A.A., en adelante el denunciante, en la que manifiesta que tras instalar en su smartphone la aplicación denominada AirPersons, han sido remitidos en su nombre comunicaciones comerciales por correo electrónico a los contactos que figuran en la agenda de dicho terminal. HECHOS CONSTATADOS Por la Inspección de Datos se ha comprobado que la empresa responsable de los servicios ofrecidos a través de la citada aplicación informática es LY INTERNATIONAL WEB BUSINESS LTD, con sede en Gibraltar, y en las comunicaciones comerciales denunciadas consta que tales mensajes se remitieron desde la dirección de correo ...@...siendo la dirección de correo receptora del mensaje .....@gmail.com. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Al tener la empresa responsable de los envíos sede en Giblartar, de conformidad con lo previsto en el artículo 4 de la Directiva 95/46/CE, del Parlamento Europeo y del Consejo, el Director de la Agencia Española de Protección de Datos da traslado de la denuncia a la Information Commissioner's Office, a fin de que se realicen las actuaciones necesarias a fin de que pueda repararse la situación denuncia, y, en su caso, adopte las medidas que pueda realizar en el ámbito de sus competencias.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 43.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en lo sucesivo, LSSI) que atribuye a la Agencia Española de Protección de Datos la competencia para sancionar por la comisión de infracciones leves y graves de los artículos 38.4.

1. d)y 38.3.
2. c)de la LSSI respectivamente. II Actualmente se denomina “spam” a todo tipo de comunicación no solicitada realizada por vía electrónica y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrecen en cuanto al volumen de las transmisiones han permitido que esta práctica se realice de forma abusiva e indiscriminada. El envío de publicidad a través de medios electrónicos exige que haya sido previamente autorizado o consentido. Así lo establece el artículo 21 de la LSSI que obliga también al prestador del servicio a ofrecer al destinatario los mecanismos para oponerse al tratamiento de sus datos con fines promocionales, exigiendo, si la comunicación comercial se efectúa por correo electrónico, que se ofrezca la posibilidad de oponerse a estos envíos a través de una dirección electrónica válida. El artículo 21 de la LSSI, según redacción introducida por la Ley 9/2014, General de Telecomunicaciones, dispone: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección” Por tanto, el envío de comunicaciones comerciales que no reúnan los requisitos del artículo 21 –esto es, por una parte, que no hayan sido expresamente autorizadas, salvo que los datos de contacto del destinatario de la comunicación se hubieran obtenido por el prestador del servicio de forma lícita con ocasión de una relación contractual y los empleara para comunicaciones promocionales de productos de su propia empresa similares a los que fueron objeto de contratación inicial y, por otra, que no ofrezcan al destinatario la posibilidad de oponerse al tratamiento en cada comunicación que le dirijan- podría ser constitutivo de una infracción grave o leve, tipificadas, respectivamente, en los artículos 38.3.
3. c)y 38.4.
4. d)de la LSSI. El artículo 38.3 de la LSSI, en su redacción actual tipifica como infracción grave “
5. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. El artículo 38.4, considera infracciones leves, “
6. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave” III En el presente caso, la investigación llevada a cabo por el Servicio de Inspección de la AEPD ha permitido constatar que la empresa responsable de los servicios que se ofrecen a través de la aplicación informática Airpersons es LY INTERNATIONAL WEB BUSINESS, LTD, cuya sede social radica en Gibraltar. Por otra parte, la documentación facilitada por el denunciante evidencia que la dirección electrónica desde la que se recibieron las comunicaciones publicitarias es ...@.... Resulta esencial, por tanto, a fin de llegar a determinar la identidad del responsable del envió de estas comunicaciones comerciales con la precisión que exige el procedimiento sancionador, conocer la dirección IP desde la que se enviaron los correos electrónicos y la identidad de la persona física o jurídica a la que pertenece o por quien ha sido utilizada esta dirección. A este respecto debemos indicar que la LSSI, en su artículo 37, sujeta a su régimen sancionador a “los prestadores de servicios de la sociedad de la información” “cuando la presente Ley les sea de aplicación”. A su vez, el apartado
7. c)del Anexo de la citada Ley define al “prestador del servicio” como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Paralelamente el apartado
8. a)del Anexo indica que, a los efectos de la LSSI, se entenderá por “Servicios de la sociedad de la información o servicios” “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario”. Y añade: “El concepto de servicio de la sociedad de la información comprende también a los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros, y siempre que representen una actividad económica, los siguientes: (…) El envío de comunicaciones comerciales” (El subrayado es de la Agencia) A su vez el apartado
9. f)del Anexo define “Comunicación comercial” como “toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica.” Pues bien, como hemos indicado, LY INTERNATIONAL WEB BUSINESS, LTD tiene su domicilio social en Gibraltar. Por otra parte, el Supervisor del Reino Unido, la Information Commisioner´s Office (ICO), no tiene atribuida por su legislación nacional competencia para solicitar información sobre la identidad de los titulares de una dirección IP. Así las cosas esta Agencia carece de la información imprescindible para comprobar la identidad del sujeto responsable de la presunta infracción de la LSSI sobre la que versa la denuncia que nos ocupa. En este orden de ideas debe tenerse en cuenta que en el ámbito administrativo sancionador son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. Esto, porque el ejercicio del ius puniendi, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido el Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento el artículo 137 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Administrativo Común (en lo sucesivo LRJPAC), establece que “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Como ha precisado el Tribunal Supremo en STS de 26/10/1998 la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Por su parte el Tribunal Constitucional en STC 24/1997 ha manifestado que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
10. a)La prueba indiciaria ha de partir de hechos plenamente probados.
11. b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” En definitiva, el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. Por las razones apuntadas esta Agencia debe acordar el archivo de las actuaciones de investigación practicadas al tiempo que da traslado de la denuncia al ICO, para que en el ámbito de las competencias que le asigna su legislación nacional lleve a cabo las acciones que procedan. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a LY INTERNATIONAL WEB BUSINESS LTD y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es