E-03123-2019

1/7 Expediente Nº: E/03123/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad OFERTON ONLINE DEALS S.L. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16 de agosto de 2018, tuvo entrada en esta Agencia reclamación formulada por Don A.A.A. (en lo sucesivo, el reclamante o destinatario), contra la entidad OFERTON ONLINE DEALS S.L., (en lo sucesivo el reclamado o destinatario), por el envío de comunicaciones comerciales no solicitadas ni autorizadas a su dirección de correo electrónico, conducta en la que el reclamado ha persistido a pesar de haberse opuesto en varias ocasiones a su recepción utilizando el enlace de baja ofrecido por dicha empresa en los correos recibidos. El reclamante aportaba impresión de captura de sendas comunicaciones comerciales enviadas por el reclamado, con fechas 4, 5, 6, 7, 8, 9, 10 y 11 de agosto de 2018, desde la cuenta contact@oooferton.com a la dirección ***EMAIL.1 del reclamante. Estos envíos publicitarios ofrecían a su destinatario dos mecanismos de baja, en concreto un enlace de baja o el envío de un correo a unsubscribe@oooferton.com. Se observa que, aunque el reclamante ha aportado impresión de captura de otros correos publicitarios con mismo origen y destino, en los mismos no aparecía la fecha de su remisión a la cuenta de correo electrónico del reclamante. Igualmente, aportó impresión de captura de dos solicitudes de baja efectuadas con fechas 30 de julio y 6 de agosto de 2018 desde su dirección de correo electrónico a la cuenta unsubscribe@oooferton.com habilitada por el reclamante a tales efectos, así como una tercera enviada con fecha 4 de agosto de 2018 a la dirección de origen de los correos electrónicos publicitarios estudiados, y que fue devuelta. SEGUNDO: Tras la recepción de la reclamación, y de conformidad con el artículo 9.4 del Real Decreto-ley 5/2018 (BOE 30 de julio de 2018), con fecha 5 de octubre de 2018, la Subdirección General de Inspección de Datos trasladó al reclamado la mencionada reclamación para que en el plazo de un mes informase a esta Agencia, entre otros extremos, sobre las causas que habían motivado los hechos expuestos en la misma y las medidas adoptadas para su evitación, así como cualquier otra que considerase relevante. El escrito de notificación del traslado de la reclamación y solicitud de información citado se remitió a través de la plataforma Notific@, que envía las notificaciones a los sistemas Carpeta Ciudadana y Dirección Electrónica Habilitada del Ministerio de Hacienda y Administraciones Públicas, siendo devuelto por “Expirado” con fecha 16 de octubre de 2018 al haber transcurrido diez días naturales desde la puesta a disposición de la notificación sin que el reclamado accediese a su contenido. Con fecha 25 de octubre de 2018 se procedió, en forma excepcional y a título informativo, a su remisión por correo postal al domicilio social del reclamado que figuraba en la política de privacidad del sitio web del mismo, siendo devuelto por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Servicio de Correos por “Desconocido” con fecha 31 de octubre de 2018 en la ***DIRECCION.1 Paralelamente, con fecha 5 de octubre de 2018 se intentó comunicar al reclamante a través de Notific@ la recepción de la reclamación, que fue devuelta por “Expirado” el día 16 de ese mismo mes. TERCERO: Con fecha 22 de noviembre de 2018 la Directora de la AEPD acordó admitir a trámite la reclamación presentada por el reclamante, procediéndose por la Subdirección General de Inspección de Datos a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos expuestos en la reclamación. En el marco de dichas actuaciones se solicitó al reclamante, con fechas 22 y 29 de marzo, (por medios electrónicos), y 11 de abril de 2019, (a través del Servicio de Correos), la facilitación de toda la documentación que considerase de su interés para sustentar su reclamación y acreditar los hechos puestos de manifiesto en la misma. En concreto, se le requirió la aportación de copia de todos los correos electrónicos publicitarios recibidos de la entidad denunciada con posterioridad a las solicitudes de baja así como las cabeceras de Internet de los mismos. Consta acreditado en el expediente que el reclamante recibió el requerimiento de información enviado vía postal con fecha 21 de mayo de 2019. FUNDAMENTOS DE DERECHO I La Directora de la Agencia Española de Protección de Datos es competente para resolver estas actuaciones, de conformidad con lo establecido en el artículo 43.1, párrafo segundo, de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI). El mencionado artículo 43.1 de la LSSI dispone: “1. La imposición de sanciones por el incumplimiento de lo previsto en esta Ley corresponderá, en el caso de infracciones muy graves, al Ministro de Industria, Energía y Turismo, y en el de infracciones graves y leves, al Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información. No obstante lo anterior, la imposición de sanciones por incumplimiento de las resoluciones dictadas por los órganos competentes en función de la materia o entidad de que se trate a que se refieren los párrafos

1. a)y
2. b)del artículo 38.2 de esta Ley corresponderá al órgano que dictó la resolución incumplida. Igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3 c),
3. d)e
4. i)y 38.4 d),
5. g)y
6. h)de esta Ley.” II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. El artículo 55.2 del RGPD dispone que: “2. Cuando el tratamiento sea efectuado por autoridades públicas o por organismos privados que actúen con arreglo al artículo 6, apartado 1, letras
7. c)o e), será competente la autoridad de control del Estado miembro de que se trate. No será aplicable en tales casos el artículo 56.” Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Asimismo, el artículo 14 del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos, en cuanto al “Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes” señala que: “Lo dispuesto en ese capítulo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes.” A su vez, el artículo 9.3 del mencionado Real Decreto-ley 5/2018, de 27 de julio, establece que “3. Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:
8. a)Que no se haya causado perjuicio al afectado.
9. b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas.” III El artículo 21 de la LSSI señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento expreso, salvo que exista una relación contractual anterior entre el prestador del servicio y el destinatario de los envíos y siempre que éste no haya manifestado su voluntad en contra. Este mismo apartado obliga al prestador del servicio a ofrecer al destinatario los mecanismos para oponerse al tratamiento de sus datos con fines promocionales, exigiendo, si la comunicación comercial se efectúa por correo electrónico, que en la misma se incluya la posibilidad de oponerse a estos envíos a través de un correo electrónico o mediante una dirección electrónica válida. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Del precepto señalado se deduce que es de aplicación la normativa de protección de datos de carácter personal, si bien la remisión que se efectúa a la LOPD ha de interpretarse como hecha al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD en adelante), aplicable desde el 25 de mayo de 2018, y, asimismo, a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), en vigor desde el 7 de diciembre de 2018. A este respecto, los apartados 2 al 4 del artículo 21 del RGPD disponen en relación con el “Derecho de oposición” lo siguiente: “2. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia. 3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines. 4. A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información. 5. En el contexto de la utilización de servicios de la sociedad de la información, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 y no obstante lo dispuesto en la Directiva 2002/58/CE, el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas.” IV El artículo 37 de la LSSI establece como sujetos sobre los que impone su régimen sancionador a “los prestadores de servicios de la sociedad de la información”. Para determinar qué sujetos se ajustan a dicha definición, ha de acudirse a lo dispuesto en el Anexo de la citada ley, que en su letra
10. c)define al “Prestador de servicios” como “la persona física o jurídica que proporciona un servicio de la sociedad de la información”. Lo que se completa con la definición que sobre “Servicios de la sociedad de la información o servicios” ofrece la letra
11. a)del citado Anexo: “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1. La contratación de bienes o servicios por vía electrónica. 2. La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3. La gestión de compras en la red por grupos de personas. 4. El envío de comunicaciones comerciales. 5. El suministro de información por vía telemática.” A su vez, la letra
12. d)del mismo Anexo de la LSSI define al “Destinatario del servicio” o “destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información”. V El expediente trae causa de la remisión de sendas comunicaciones comerciales por parte del reclamado a la dirección de correo electrónico del reclamante con posterioridad a que éste hubiera manifestado al remitente, en este caso, el reclamado, su oposición a la recepción de dichos envíos promocionales, constando que con fechas 30 de julio y 6 de agosto de 2018 utilizó con tal finalidad la dirección de correo electrónico habilitada a tales efectos por el reclamado. En este supuesto, resulta relevante señalar, que si bien el reclamante ha acreditado la remisión al reclamado de los citados correos electrónicos de solicitud de baja, sin embargo no ha justificado mediante ningún medio de prueba que los envíos fueran efectivamente recibidos por el reclamado. En relación con esta cuestión se señala que la documentación adjuntada a la reclamación, y cuya descripción figura en el Hecho Primero de esta resolución, no prueba en forma fehaciente la recepción por el reclamado de las solicitudes de baja remitidas al mismo por el reclamante. En consecuencia, de la documentación obrante en el expediente no se evidencia, en forma fehaciente, que el reclamado conociera la voluntad del reclamante de oponerse al uso de sus señas electrónicas para el envío de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 comunicaciones comerciales por medios de comunicación electrónica. A mayor abundamiento, se observa que de haber constancia en el expediente, que no la hay, de la recepción de las mencionadas solicitudes de baja por el reclamado, se daría la circunstancia de que entre la supuesta recepción de dichas bajas por el reclamado y el envío por éste de las comunicaciones comerciales objeto de estudio no habría transcurrido el plazo de un mes al que se refiere el artículo 13.2 del RGPD para hacer efectiva la baja, y cuya aplicación se sustentaría en lo previsto en el artículo 19.2 de la LSSI. Así, la primera solicitud de baja aportada por el reclamante consta como efectuada con fecha 30 de julio de 2018, mientras que la última comunicación comercial aportada por el reclamante cuya fecha de remisión figura capturada es de fecha 11 de agosto de 2018, a lo que se suma que la reclamación se presentó en esta Agencia con fecha 16 de agosto de 2018. Lo anteriormente expuesto, ha de conectarse con la vigencia en nuestro Derecho Administrativo sancionador del principio de presunción de inocencia reconocido en el artículo 24.2 de la Constitución Española, de modo que el ejercicio de la potestad sancionadora del Estado, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. El Tribunal Constitucional (SSTC 131/2003 y 242/2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad”, determinando al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
13. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. Con arreglo a lo previsto en los preceptos anteriormente citados, procede acordar el archivo de las actuaciones practicadas ante la falta de pruebas de que el reclamado hubiera recibido las solicitudes de baja realizadas por el reclamante, quien sólo ha justificado su envío, pero no su efectiva recepción por su destinatario, amén de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 que los correos aportados en la reclamación se recibieron en las fechas siguientes a las solicitudes de baja presentadas, por lo que cabe estimar que su envío se realizó dentro del plazo de tramitación de la baja. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a OFERTON ONLINE DEALS S.L. y a Don A.A.A.. Con arreglo a lo establecido en el artículo 50 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es