E-02009-2019

1/6 Expediente Nº: E/02009/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad OFERTON ONLINE DEALS, S.L. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 10 de agosto de 2018, tuvo entrada en esta Agencia reclamación de Don A.A.A. (en lo sucesivo, el reclamante o destinatario) poniendo de manifiesto que desde el 17 de julio de 2018 la entidad OFERTON ONLINE DEALS, S.L. (en lo sucesivo, el reclamado o remitente), de la que fue cliente y frente a la cual manifestó su oposición al uso de sus datos, le viene remitiendo hasta seis correos electrónicos diarios publicitando productos de distinta naturaleza a los adquiridos en su día, ello a pesar de que en cada mensaje recibido utiliza el mecanismo de oposición ofrecido y de haber enviado más de 20 mensajes solicitando la baja de su dirección de correo electrónico. El reclamante adjunta la siguiente documentación:  Copia de una comunicación comercial remitida, con fecha 10 de agosto de 2018, a la cuenta ***EMAIL.1 desde la dirección de correo ***EMAIL.2, en el que figura como asunto: “Préstamo concedido: hasta 1000euros al instante en tu cuenta”.  Copia de las cabeceras de Internet del citado envío. SEGUNDO: Tras la recepción de la reclamación, con fecha 1 de octubre de 2018, la Subdirección General de Inspección de Datos requirió a OFERTON ONLINE DEALS, S.L. para que en el plazo de un mes remitiera a la AEDP, entre otra, información sobre las causas que habían motivado la incidencia que ha originado la reclamación y sobre las medidas adoptadas para evitar que se produzcan incidencias similares, así como cualquier otra que considerase relevante. Dicho requerimiento, realizado por medios electrónicos a través de la plataforma Notific@, fue devuelto por “Expirado” con fecha 12 de octubre de 2018, resultando también infructuoso el segundo intento de notificación del mismo practicado a través del Servicio de Correos con fecha 25 de octubre de 2018, que fue devuelto por “Desconocido” con fecha 31 de octubre de 2018. Paralelamente, con fecha 1 de octubre de 2018 se comunicó al reclamante la recepción de la reclamación, que la recibió el día 8 de ese mismo mes. TERCERO: Con fecha 19 de noviembre de 2018 se acordó admitir a trámite la reclamación presentada por el reclamante, procediéndose por la Subdirección General de Inspección de Datos a la realización de actuaciones previas de investigación para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 el esclarecimiento de los hechos expuestos en la reclamación, y en cuyo marco se solicitó al reclamante remisión de la siguiente información: “Para llevar a cabo las acciones que siguen a su reclamación y esclarecer las circunstancias en las que se produjeron los hechos, resulta necesario que, en el plazo de DIEZ DÍAS HÁBILES desde la notificación de la presente solicitud, facilite a esta Agencia toda la documentación que obre en su poder que sustente su reclamación y acredite los hechos puestos de manifiesto en la misma, en concreto, deberá acreditar el tipo de productos adquiridos por usted, de modo que pueda verificarse que los publicitados son de diferente naturaleza, así como las solicitudes de baja formalizadas ante OFERTON ONLINE DEALS, S.L., a las que se refiere en su reclamación. Se solicita, asimismo, que en el mismo plazo indicado aporte copia y cabeceras de todos los correos publicitarios recibidos de la entidad denunciada con posterioridad a la solicitud de baja y hasta el momento presente, en su caso.” FUNDAMENTOS DE DERECHO I La Directora de la Agencia Española de Protección de Datos es competente para resolver estas actuaciones, de conformidad con lo establecido en el artículo 43.1, párrafo segundo, de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI). El mencionado artículo 43.1 de la LSSI dispone: “1. La imposición de sanciones por el incumplimiento de lo previsto en esta Ley corresponderá, en el caso de infracciones muy graves, al Ministro de Industria, Energía y Turismo, y en el de infracciones graves y leves, al Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información. No obstante lo anterior, la imposición de sanciones por incumplimiento de las resoluciones dictadas por los órganos competentes en función de la materia o entidad de que se trate a que se refieren los párrafos

1. a)y
2. b)del artículo 38.2 de esta Ley corresponderá al órgano que dictó la resolución incumplida. Igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3 c),
3. d)e
4. i)y 38.4 d),
5. g)y
6. h)de esta Ley.” II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. El artículo 55.2 del RGPD dispone que: “2. Cuando el tratamiento sea efectuado por autoridades públicas o por organismos privados que actúen con arreglo al artículo 6, apartado 1, letras
7. c)o e), C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 será competente la autoridad de control del Estado miembro de que se trate. No será aplicable en tales casos el artículo 56.” Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Asimismo, el artículo 14 del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos, en cuanto al “Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes” señala que: “Lo dispuesto en ese capítulo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes.” A su vez, el artículo 9.3 del mencionado Real Decreto-ley 5/2018, de 27 de julio, establece que “3. Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:
8. a)Que no se haya causado perjuicio al afectado.
9. b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas.” III El artículo 21 de la LSSI señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento expreso, salvo que exista una relación contractual anterior entre el prestador del servicio y el destinatario de los envíos y siempre que éste no haya manifestado su voluntad en contra. Este mismo apartado obliga al prestador del servicio a ofrecer al destinatario los mecanismos para oponerse al tratamiento de sus datos con fines promocionales, exigiendo, si la comunicación comercial se efectúa por correo electrónico, que en la misma se incluya la posibilidad de oponerse a estos envíos a través de un correo electrónico o mediante una dirección electrónica válida. El artículo 37 de la LSSI establece como sujetos sobre los que impone su régimen sancionador a “los prestadores de servicios de la sociedad de la información”. Para determinar qué sujetos se ajustan a dicha definición, ha de acudirse a lo dispuesto en el Anexo de la citada ley, que en su letra
10. c)define al “Prestador de servicios” como “la persona física o jurídica que proporciona un servicio de la sociedad de la información”. Lo que se completa con la definición que sobre “Servicios de la sociedad de la información o servicios” ofrece la letra
11. a)del citado Anexo: “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1. La contratación de bienes o servicios por vía electrónica. 2. La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3. La gestión de compras en la red por grupos de personas. 4. El envío de comunicaciones comerciales. 5. El suministro de información por vía telemática.” A su vez, la letra
12. d)del mismo Anexo de la LSSI define al “Destinatario del servicio” o “destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información”. III El presente expediente trae causa de la supuesta remisión de numerosas comunicaciones comerciales por parte de OFERTON ONLINE DEALS, S.L. a la dirección de correo electrónico del reclamante con posterioridad no sólo a que éste hubiera manifestado su negativa al uso de sus datos con esa finalidad ante dicha empresa, de la que indica había sido cliente por unos productos diferentes a los que le venían ofertando, sino también después de haber utilizado diferentes medios para no seguir recibiendo tales comunicaciones, citando entre ellos los mecanismos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 baja incluidos en los envíos no autorizados recibidos. No obstante lo afirmado por su parte, el reclamante no ha aportado ante esta Agencia ningún medio de prueba que permita sustentar los hechos puestos de manifiesto en la reclamación presentada, ya que la misma no estaba acompañaba de documentación referida a dichos aspectos, a lo que se suma la falta de contestación a la solicitud de información que le fue notificada en tal sentido durante las actuaciones previas de investigación, en la que se le advertía de que no atender la referida solicitud podría dar lugar al archivo de las actuaciones. En concreto, el reclamante no ha justificado el tipo de productos adquiridos en su momento al reclamado, de modo que no resulta posible verificar que los publicitados en el único correo electrónico comercial que adjunta a la reclamación fueran de diferente naturaleza a los que señala adquirió al reclamado. Igualmente, no ha presentado documentación acreditativa de la remisión de las solicitudes de baja que indica dirigió al reclamado para no continuar recibiendo tales comunicaciones en su cuenta de correo electrónico, como tampoco ha probado la efectiva recepción de las mismas por el reclamado. Lo anteriormente expuesto, ha de conectarse con la vigencia en nuestro Derecho Administrativo sancionador del principio de presunción de inocencia reconocido en el artículo 24.2 de la Constitución Española, de modo que el ejercicio de la potestad sancionadora del Estado, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. El Tribunal Constitucional (SSTC 131/2003 y 242/2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad”, determinando al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
13. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. Con arreglo a lo previsto en los preceptos anteriormente citados, y partiendo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 de que el reclamante ha reconocido la existencia de una relación contractual previa con el reclamado, y no estando probado en el expediente que el reclamante hubiera ejercido su derecho de oposición ante la entidad remitente antes del 17 de julio de 2018 o que los productos ofertados en el correo electrónico comercial aportado sean de diferente naturaleza a los que inicialmente contrató con el reclamado, procede acordar el archivo de las actuaciones de investigación practicadas ante la falta de pruebas de que el citado envío no se remitiera por el reclamado al amparo de la excepción recogida en el párrafo primero del artículo 21.2 de la LSSI. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a OFERTON ONLINE DEALS, S.L. y a Don A.A.A.. Con arreglo a lo establecido en el artículo 50 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, (en adelante LOPDGDD) la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es