1/7 Expediente Nº: E/03282/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad SECURITAS DIRECT ESPAÑA, S.A.U., en virtud de la denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fechas 30/04/2014 y 11/06/2014 tuvieron entrada en la Agencia Española de Protección de Datos (AEPD) sendos escritos de A.A.A. (en lo sucesivo, el denunciante) en los que expone que el 19/04/2014 y el 02/05/2014 recibió en su dirección electrónica –.........@hotmail.com– anuncios publicitarios de Securitas Direct (“Anuncio Securitas Direct: Semana Santa”) enviados por “youtubesubscriptions.bounces.google.com” pese a que no facilitó su dirección electrónica a la empresa anunciante ni a la empresa que envió el anuncio. Adjunta copia de los correos electrónicos recibidos y de sus cabeceras completas. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a realizar investigaciones para el esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Inspección que se reproduce: << ANTECEDENTES Con fechas 30 de abril y 11 de junio de 2014, tienen entrada en esta Agencia escritos de D. A.A.A. en los que denuncia que, con fecha 19 de abril y 2 de mayo de 2014, ha recibido en su correo electrónico, .........@gmail.com, publicidad de un Anuncio de Securitas Direct, el remitente es YouTube<.....@youtube.com>, figurando enviado por: youtube-subscriptions.bounces.google.com. ACTUACIONES PREVIAS DE INSPECCIÓN 1. Con fecha 3 de septiembre de 2014, se recibe en esta Agencia escrito de SECURITAS DIRECT ESPAÑA, S.A., en el que pone de manifiesto que: 1.1. En los ficheros de Clientes y Marketing que tiene la entidad no figura la dirección de correo .........@gmail.com. 1.2. Por otra parte, la entidad no ha establecido ningún proceso comercial mediante la plataforma Youtube, que figura como remitente en los correos electrónicos remitidos al denunciante. 1.3. Desconocen el emisor de dichos correos. 2. Con fecha 5 de septiembre de 2014, se realiza una prueba a través de la página C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 web: youtube.com, se realizan las siguientes comprobaciones: 2.1. Se accede a un video subido a la plataforma de youtube comprobándose que existe una opción de “COMAPARTIR”. 2.2. Se pincha en dicha opción comprobándose que aparece, entre otros, la opción de compartir por correo electrónico. 2.3. Se pincha en dicha opción comprobando que se habilita un espacio para incluir una dirección de correo, incluyéndose una dirección personal que se ha anonimizado parcialmente. 2.4. Se accede a la dirección de correo electrónico incluida y se comprueba la recepción de dicho correo donde aparece la misma información que figura en el correo recibido por el denunciante, así como mismo remitente. Dicha comprobación se adjuntan a esta Actuaciones mediante Diligencia. De las pruebas realizadas se deduce que los correos recibidos por el denunciante, son anuncios compartidos con el mismo por alguien que conoce su dirección de correo electrónico.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 43.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en lo sucesivo, LSSI) que atribuye a la AEPD la competencia para sancionar por la comisión de infracciones leves y graves de los artículos 38.4.
- d)y 38.3.
- c)de la LSSI, respectivamente. II Actualmente se denomina “spam” a todo tipo de comunicación no solicitada realizada por vía electrónica y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones han permitido que esta práctica se realice de forma abusiva e indiscriminada. El envío de publicidad a través de medios electrónicos exige que haya sido previamente autorizado o consentido. Así lo dispone el artículo 21 de la LSSI que obliga también al prestador del servicio a ofrecer al destinatario los mecanismos para oponerse al tratamiento de sus datos con fines promocionales, exigiendo, si la comunicación comercial se efectúa por correo electrónico, que se ofrezca la posibilidad de oponerse a estos envíos a través de una dirección electrónica válida. El artículo 21 de la LSSI, según la reforma operada por la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección” A su vez, el apartado
- f)del Anexo de la LSSI, “ Definiciones”, considera “Comunicación comercial” “toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica.” Por tanto, podría ser constitutivo de una infracción grave o leve de la LSSI -tipificadas, respectivamente, en los artículos 38.3.
- c)y 38.4.
- d)de la Ley 342002- el envío de comunicaciones comerciales que no reúnan alguno de los requisitos que exige el artículo 21: Por una parte que hayan sido expresamente autorizadas, salvo que los datos de contacto del destinatario de la comunicación se hubieran obtenido por el prestador del servicio de forma lícita con ocasión de una relación contractual y los empleara para comunicaciones promocionales de productos de su propia empresa similares a los que fueron objeto de contratación inicial y, por otra, que ofrezcan al destinatario la posibilidad de oponerse al tratamiento en cada comunicación que le dirijan. El artículo 38 de la LSSI, en su redacción actual tipifica como infracción grave “El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. El artículo 38.4 considera infracciones leves: “
- d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave III La denuncia que nos ocupa versa sobre los correos electrónicos recibidos por el denunciante en su dirección .........@hotmail.com el 19/04/2014 y 02/05/2014 en los que se incluía un video publicitario de la empresa SECURITAS DIRECT ESPAÑA, S.A.U., (en lo sucesivo SECURITAS DIRECT o la denunciada). La naturaleza del video recibido permite afirmar que estamos ante comunicaciones comerciales en el sentido que atribuye a esta expresión el apartado
- f)del Anexo de la LSSI anteriormente trascrito, por lo que la conducta que se denuncia estaría sometida a las disposiciones de la Ley 34/2002. La investigación efectuada ante SECURITAS DIRECT confirma la ausencia de cualquier vinculación entre esta entidad y los mensajes publicitarios recibidos por el denunciante. La compañía ha informado a la AEPD que la dirección electrónica en la que el denunciante recibe los mails no consta en sus ficheros de clientes o marketing y que no ha seguido ningún proceso de promoción comercial a través de la plataforma Youtube, por lo que desconoce quién es el emisor de los correos electrónicos. Se concluye, por tanto, que ninguna responsabilidad es exigible a SECURITAS DIRECT por los hechos sobre los que versa la denuncia dirigida contra ella siendo procedente acordar el archivo. Ha quedado acreditado que de las cabeceras de los correos electrónicos objeto de la denuncia fueron remitidos “desde” (“from”) Youtube .....@youtube.com. por lo que debemos valorar si ha incurrido en alguna responsabilidad por vulneración de la Ley 34/2002. El artículo 37 de la LSSI sujeta a su régimen sancionador a “los prestadores de servicios de la sociedad de la información” “cuando la presente Ley les sea de aplicación”. A su vez, el apartado
- c)del Anexo de la Ley 34/2002 ofrece un concepto de lo que debe entenderse por “prestador del servicio”. Considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y añade: “El concepto de servicio de la sociedad de la información comprende también a los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros, y siempre que representen una actividad económica, los siguientes: (…) 1. El envío de comunicaciones comerciales” (El subrayado es de la Agencia) Ahora bien, el artículo 16 de la LSSI se ocupa de los “prestadores de servicios de alojamiento o almacenamiento de datos”, condición que tiene Youtube, y establece lo siguiente: “1. Los prestadores de un servicio de intermediación consistente en albergar datos proporcionados por el destinatario de este servicio no serán responsables por la información almacenada a petición del destinatario siempre que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7
- a)No tengan conocimiento efectivo de que la actividad o la información almacenada es ilícita o de que lesiona bienes o derechos de un tercero susceptibles de indemnización, o
- b)Si lo tienen, actúen con diligencia para retirar los datos o hacer imposible el acceso a ellos. Se entenderá que el prestador de servicios tiene el conocimiento efectivo a que se refiere el párrafo
- a)cuando un órgano competente haya declarado la ilicitu de los dato, ordenado su retirada o que se imposibilite el acceso a los mismos, o se hubiera declarado la existencia de la lesión, y el prestador conociera la correspondiente resolución, sin perjuicio de los procedimientos de detección y retirada de contenidos que los prestadores apliquen en virtud de acuerdos voluntarios y de otros medios de conocimiento efectivo que pudieran establecerse. 2. La exención de responsabilidad establecida en el apartado 1 no operará en el supuesto de que el destinatario del servicio actúe bajo la dirección, autoridad o control de su prestador.>> (El subrayado es de la AEPD) Las investigaciones efectuadas por la Inspección de Datos en la plataforma de Youtube.com han constatado que existe en ella una opción denominada “Compartir videos”, que permite que éstos se compartan a través del correo electrónico siendo suficiente a tal fin introducir la dirección electrónica de la persona con la que se desea compartirlo. Se ha verificado, asimismo, que cuando se ejecuta tal opción el resultado es que en la dirección electrónica destinataria se recibe un mail en el que consta exactamente el mismo remitente - YouTube .....@youtube.com.- que aparece en las cabeceras de los correos electrónicos que son objeto de la denuncia. De lo anterior se concluye, por una parte, que los mails a los que alude la presente denuncia pudieron tener su origen en el deseo de una persona que conocía la dirección electrónica del denunciante de compartir con él los vídeos de Securitas Direct que recibió. Y por otra, que al amparo del artículo 16 de la LSSI no cabe atribuir responsabilidad alguna a “YOUTUBE- SUBSCRIPTIONS. BOUNCES. GOOGLE”, (contra quien el denunciante dirige también su denuncia), a pesar de que en las cabeceras de los mails recibidos figurase como remitente (“from YouTube .....@youtube.com.”) . Por ello, a tenor de las investigaciones efectuadas se concluye que ninguna responsabilidad es exigible a SECURITAS DIRECT ni a Youtube -que en su condición de prestadora de servicios de alojamiento o almacenamiento de datos está exenta de responsabilidad con arreglo al artículo 16 de la LSSI-, y que no se ha obtenido ninguna información que permita identificar a la persona que conociendo el dato de la dirección electrónica del denunciante decidió compartir con él un video apoyándose en la opción tecnológica que Youtube ofrece. En este orden de ideas debe tenerse en cuenta que en el ámbito administrativo sancionador son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. Esto, porque el ejercicio del ius puniendi, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido el Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento el artículo 137 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Como ha precisado el Tribunal Supremo en STS de 26 de octubre de 1998 la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Por su parte el Tribunal Constitucional en STC 24/1997 ha manifestado que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
- a)La prueba indiciaria ha de partir de hechos plenamente probados.
- b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” En consecuencia, al amparo del principio de presunción de inocencia, que impide imputar una infracción administrativa cuando no se haya obtenido una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en ellos del presunto infractor, debe acordarse el archivo de la denuncia. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a SECURITAS DIRECT ESPAÑA S.A.U. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es