E-02006-2019

1/8 Expediente Nº: E/02006/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad DREAM CARS EXPERIENCE S.L. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 22 de agosto de 2018, tuvo entrada en esta Agencia reclamación formulada por Don A.A.A., (en lo sucesivo, el reclamante o destinatario), contra la entidad DREAM CARS EXPERIENCE S.L., (en lo sucesivo el reclamado), por continuar enviándole comunicaciones comerciales a su dirección de correo electrónico después de haber solicitado, con fecha 6 de agosto de 2018, la baja de tales envíos. El reclamante señala que envió un e-mail a ***EMAIL.2 con el asunto baja, solicitando textualmente: “Quiero darme de baja de la newsletter y todas vuestras subscripciones, así como quiero que eliminéis todos los datos que podáis tener de mi cuenta o personal.” Dicha reclamación, junto con su documentación adjunta, fue trasladada por la Autoridad Catalana de Protección de Datos al entender que se trataba de hechos fuera del ámbito de su competencia. El reclamante adjuntaba la siguiente documentación:  Impresión de una comunicación comercial remitida, con fecha 21 de agosto de 2018, en la que no aparecen visibles las direcciones de correo electrónico del remitente y del destinatario del envío y que no va acompañada de sus cabeceras de Internet. Al pie del envío, en el que se publicita una oferta especial de verano con descuentos, figura una leyenda en la que, entre otra información, se señala: “Usted tiene derecho de acceso, oposición, rectificación y cancelación a estos datos que deberá ejercer mediante escrito a la dirección ***EMAIL.2 indicando en asunto (baja) desde el mismo correo que desea cancelar su registro. Impresión de un fragmento supuestamente perteneciente al correo electrónico de solicitud de baja al que se refiere el reclamante donde sólo consta el siguiente texto: “bscripciones, así como quiero que eliminéis todos los datos que podáis tener de mi cuenta o personal.”   Detalle justificativo del envío por gmail.com de un correo remitido con fecha 6 de agosto de 2018 desde la cuenta <<A.A.A. ***EMAIL.1>> del reclamante a la dirección de correo electrónico << B.B.B. ***EMAIL.2> con el Asunto “Baja”. SEGUNDO: Tras la recepción de la reclamación, de conformidad con el artículo 9.4 del Real Decreto-ley 5/2018 (BOE 30 de julio de 2018), la Subdirección General de Inspección de Datos trasladó al reclamado, con fecha 27 de septiembre de 2018, la mencionada reclamación para que en el plazo de un mes informase a esta Agencia, entre otros extremos, sobre las causas que habían motivado la misma y las medidas adoptadas para evitar que se produjeran incidencias similares. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 El escrito de notificación del traslado de la reclamación y solicitud de información se remitió a través de la plataforma Notific@, que envía las notificaciones a los sistemas Carpeta Ciudadana y Dirección Electrónica Habilitada del Ministerio de Hacienda y Administraciones Públicas, siendo devuelto por “Expirado” con fecha 8 de octubre de 2018 al haber transcurrido diez días naturales desde la puesta a disposición de la notificación sin que el reclamado accediese a su contenido. Con fecha 25 de octubre de 2018 se procedió, en forma excepcional y a título informativo, a su remisión por correo postal al domicilio del reclamado, donde el envío resultó entregado con fecha 6 de noviembre de 2018. El reclamado no contestó la información solicitada en el plazo concedido a tal efecto. TERCERO: Con fecha 21 de noviembre de 2018 la Directora de la AEPD acordó admitir a trámite la reclamación presentada por el reclamante, procediéndose por la Subdirección General de Inspección de Datos a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos expuestos en la reclamación. En el marco de dichas actuaciones previas, con fecha 20 de marzo de 2019 la Subdirección General de Inspección de Datos solicitó al reclamante la facilitación de toda la documentación que obrase en su poder que sustentara su reclamación y acreditase los hechos puestos de manifiesto en la misma. En particular, se le requería acreditar el tipo de productos adquiridos para verificar si los publicitados eran de diferente naturaleza y la solicitud de baja formalizada ante DREAM CARS EXPERIENCE S.L., a la que se refería en su reclamación, o cualquier otra que hubiera podido remitir a dicha entidad. Igualmente, se le solicitaba que aportase copia y cabeceras de todos los correos publicitarios recibidos del reclamado con posterioridad a la solicitud de baja y hasta el momento presente, en su caso. En contestación a dicha petición, con fecha 9 de abril de 2019 el reclamante aporta impresión, entre otra, de la siguiente documentación: Recibo y confirmación de una compra efectuada, con fecha 7 de febrero de 2018, por el reclamante por valor de150 euros, correspondiente a la opción “Tarifa Group Ruta de 14 kilómetros con Lamborghini vs Corvette a tu alcance” en el comercio “MOTOR CLUB EXPERIENCE IGUALDA ES” Impresión del correo electrónico con asunto “Cancelación Pedido” enviado, con fecha 15 de febrero de 2018, desde la cuenta de correo electrónico del reclamante a la dirección de correo electrónico del reclamado cancelando la compra anterior y solicitando la devolución del importe abonado. Aporta también impresión del detalle del envío, que justifica la remisión del citado envío desde Gmail.com. Impresión de un correo electrónico de fecha 16 de febrero de 2018 remitido desde la cuenta de correo electrónico del reclamante a la dirección de correo del reclamado solicitando respuesta al envío anterior. Impresión de correo electrónico de fecha 16 de febrero de 2018 remitido por el reclamado a la cuenta de correo electrónico del reclamante informándole de que habían pasado el asunto a dirección. También adjunta detalle justificativo de la recepción en su cuenta de correo electrónico de un envío con asunto: “RE: Cancelación pedido” procedente de la cuenta ***EMAIL.2. Impresión de un correo electrónico de fecha 2 de marzo de 2018 remitido desde la cuenta de correo electrónico del reclamante a la dirección de correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 del reclamado reiterando la petición de respuesta a su solicitud de cancelación de pedido. Impresión de captura de un correo electrónico remitido, con fecha 6 de agosto de 2018, desde la cuenta del reclamante al reclamado solicitando la baja de la newsletter y las suscripciones, así como la eliminación de sus datos. Adjunta impresión de los detalles correspondientes a un envío efectuado desde gmail.com en la fecha anteriormente señalada, con asunto “Baja”, remitido desde la cuenta de correo electrónico del reclamante a la cuenta ***EMAIL.2 ofrecida por el reclamado para solicitar la baja. FUNDAMENTOS DE DERECHO I La Directora de la Agencia Española de Protección de Datos es competente para resolver estas actuaciones, de conformidad con lo establecido en el artículo 43.1, párrafo segundo, de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI). El mencionado artículo 43.1 de la LSSI dispone: “1. La imposición de sanciones por el incumplimiento de lo previsto en esta Ley corresponderá, en el caso de infracciones muy graves, al Ministro de Industria, Energía y Turismo, y en el de infracciones graves y leves, al Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información. No obstante lo anterior, la imposición de sanciones por incumplimiento de las resoluciones dictadas por los órganos competentes en función de la materia o entidad de que se trate a que se refieren los párrafos

1. a)y
2. b)del artículo 38.2 de esta Ley corresponderá al órgano que dictó la resolución incumplida. Igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3 c),
3. d)e
4. i)y 38.4 d),
5. g)y
6. h)de esta Ley.” II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. El artículo 55.2 del RGPD dispone que: “2. Cuando el tratamiento sea efectuado por autoridades públicas o por organismos privados que actúen con arreglo al artículo 6, apartado 1, letras
7. c)o e), será competente la autoridad de control del Estado miembro de que se trate. No será aplicable en tales casos el artículo 56.” Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Asimismo, el artículo 14 del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos, en cuanto al “Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes” señala que: “Lo dispuesto en ese capítulo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes.” A su vez, el artículo 9.3 del mencionado Real Decreto-ley 5/2018, de 27 de julio, establece que “3. Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:
8. a)Que no se haya causado perjuicio al afectado.
9. b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas.” III El artículo 21 de la LSSI señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento expreso, salvo que exista una relación contractual anterior entre el prestador del servicio y el destinatario de los envíos y siempre que éste no haya manifestado su voluntad en contra. Este mismo apartado obliga al prestador del servicio a ofrecer al destinatario los mecanismos para oponerse al tratamiento de sus datos con fines promocionales, exigiendo, si la comunicación comercial se efectúa por correo electrónico, que en la misma se incluya la posibilidad de oponerse a estos envíos a través de un correo electrónico o mediante una dirección electrónica válida. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Del precepto señalado se deduce que es de aplicación la normativa de protección de datos de carácter personal, si bien la remisión que se efectúa a la LOPD ha de interpretarse como hecha al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD en adelante), aplicable desde el 25 de mayo de 2018, y, asimismo, a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), en vigor desde el 7 de diciembre de 2018. A este respecto, los apartados 2 al 4 del artículo 21 del RGPD disponen en relación con el “Derecho de oposición” lo siguiente: “2. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia. 3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines. 4. A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información. 5. En el contexto de la utilización de servicios de la sociedad de la información, y no obstante lo dispuesto en la Directiva 2002/58/CE, el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas.” IV El artículo 37 de la LSSI establece como sujetos sobre los que impone su régimen sancionador a “los prestadores de servicios de la sociedad de la información”. Para determinar qué sujetos se ajustan a dicha definición, ha de acudirse a lo dispuesto en el Anexo de la citada ley, que en su letra
10. c)define al “Prestador de servicios” como “la persona física o jurídica que proporciona un servicio de la sociedad de la información”. Lo que se completa con la definición que sobre “Servicios de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 sociedad de la información o servicios” ofrece la letra
11. a)del citado Anexo: “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1. La contratación de bienes o servicios por vía electrónica. 2. La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3. La gestión de compras en la red por grupos de personas. 4. El envío de comunicaciones comerciales. 5. El suministro de información por vía telemática.” A su vez, la letra
12. d)del mismo Anexo de la LSSI define al “Destinatario del servicio” o “destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información”. V El expediente trae causa de la remisión de una comunicación comercial por parte del reclamado a la dirección de correo electrónico del reclamante con posterioridad a que éste hubiera solicitado al remitente de la misma tanto la baja de la newsletter y suscripciones como la eliminación de sus datos personales, todo ello con la finalidad de no continuar recibiendo comunicaciones comerciales procedentes de dicha empresa. En este supuesto, resulta relevante señalar, que si bien el reclamante ha acreditado la remisión al reclamado de dicha solicitud de baja enviando, con fecha 6 de agosto de 2018, un correo electrónico con asunto “Baja” a la dirección habilitada por el reclamado para ello, sin embargo no ha justificado mediante ningún medio de prueba que dicha solitud de baja fuera efectivamente recibida por el reclamado con anterioridad a la remisión de la comunicación comercial recibida con fecha 21 de agosto de 2018. En relación con esta cuestión se señala que la documentación aportada por el reclamante con fecha 9 de abril de 2019, en contestación a la solicitud de información que le fue efectuada por esta Agencia con fecha 20 de marzo de 2019, y cuya descripción figura en el Hecho Tercero de esta resolución, no prueba en forma fehaciente la recepción por el reclamado de la solicitud de baja remitida con fecha 6 de agosto de 2018. En consecuencia, no hay constancia de que el reclamado conociera la voluntad del reclamante de oponerse al uso de sus señas electrónicas para el envío de comunicaciones comerciales por medios de comunicación electrónica. A mayor abundamiento, se observa que de haber constancia en el expediente, que no la hay, de la recepción de la mencionada solicitud de baja por el reclamado, se daría la circunstancia de que entre la recepción de dicha baja por el reclamado y el envío por éste de la comunicación comercial objeto de estudio no habría transcurrido el plazo de un mes al que se refiere el artículo 13.2 del RGPD, aplicable con arreglo a lo previsto en el artículo 19.2 de la LSSI, para hacer efectiva la baja solicitada y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 tramitar el derecho de supresión (eliminación) ejercido por el reclamante. Lo anteriormente expuesto, ha de conectarse con la vigencia en nuestro Derecho Administrativo sancionador del principio de presunción de inocencia reconocido en el artículo 24.2 de la Constitución Española, de modo que el ejercicio de la potestad sancionadora del Estado, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. El Tribunal Constitucional (SSTC 131/2003 y 242/2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad”, determinando al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
13. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. Con arreglo a lo previsto en los preceptos anteriormente citados, procede acordar el archivo de las actuaciones practicadas ante la falta de pruebas de que el reclamado hubiera recibido la solicitud de baja realizada por el reclamante, quien sólo ha justificado su envío, pero no su efectiva recepción por su destinatario. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a DREAM CARS EXPERIENCE S.L. y a Don A.A.A.. De conformidad con lo establecido en el artículo 50 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Digitales, (en adelante LOPDGDD) la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es