1/6 Expediente Nº: E/04971/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ENDESA ENERGÍA, S.A.U., en virtud de la denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 07/07/2014 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de A.A.A. (en lo sucesivo el denunciante) en el que expone que en varias ocasiones se ha opuesto, sin éxito, al envío de comunicaciones comerciales de ENDESA ENERGÍA, S.A.U., (en lo sucesivo, ENDESA o la denunciada) por lo que continúa recibiendo mensajes publicitarios no deseados de esta entidad. Aporta con su denuncia los siguientes documentos: Copia de una impresión de pantalla que lleva por título “Baja de comunicaciones comerciales de Endesa”, en la que consta como autor de la solicitud “A.A.A.” “info@..... ***TEL.1” y la siguiente información: “Tu solicitud de baja de las comunicaciones de Endesa nº ***NÚMERO.1 ha sido enviada correctamente. (..) Su solicitud se creó el 21/06/2014 11:27:16”. Copia de un documento con la referencia “Darse de baja de las comunicaciones de endesaonline.com: confirmación de baja. La dirección de e-mail info@..... ha sido borrada de la lista de distribución de nuestras comunicaciones. Gracias por haber visitado www.endesaonline.com”. Copia de un correo electrónico enviado desde Endesa Online el 03/07/2014 y las cabeceras de este correo, comprobándose que se remitió desde la dirección ....@.... a la dirección electrónica del denunciante info@..... . Copia de las cabeceras de un correo electrónico de fecha 18/06/2014 enviado desde la citada dirección electrónica de ENDESA a la dirección electrónica del denunciante. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: << ANTECEDENTES Con fecha de 7 de julio de 2014 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por A.A.A., en adelante el denunciante, en la que manifiesta lo siguiente: Ha recibido comunicaciones comerciales vía correo electrónico de la entidad Endesa Energía S.A.U, tras su solicitud de baja de los envíos. Así mismo manifiesta que ha realizado numerosos intentos de solicitar la baja de los envíos a través del enlace que figura en los correos electrónicos recibidos, sin éxito y finalmente tuvo que solicitar dicha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 baja a través del servicio online de Endesa Energía S.A.U, y aun así ha continuado recibiendo comunicaciones comerciales de esta empresa. El denunciante aporta copia de la comunicación online del registro de la solicitud de baja de Endesa Energía S.A.U de fecha 21 de junio de 2014, con el número de referencia ***NÚMERO.1, y copia del correo electrónico recibido de fecha 3 de julio de 2014 y de las cabeceras de internet del mismo. HECHOS CONSTATADOS 1. Los días 17 de noviembre y 4 de diciembre se realizó una visita de inspección en la sede de la empresa Endesa Energía S.A.U, en adelante ENDESA, poniéndose de manifiesto los siguientes hechos, recogidos en el Acta de Inspección: 1.1. ENDESA realiza comunicaciones comerciales de sus productos a sus clientes con una periodicidad mensual aproximadamente. Los envíos son realizados por la empresa Microdelta Investigación y Desarrollo, s.l., con la que tienen contratado este servicio. 1.2. Para atender las solicitudes de baja de publicidad de los clientes, ENDESA dispone de varias vías: a través del enlace que se comunica en cada correo electrónico enviado, a través de la página web de ENDESA, telefónicamente y vía postal. 1.3. En todos los casos las solicitudes generan un registro en el sistema y la baja se efectúa mediante un proceso automático que se lanza cada viernes, llevándose a cabo todas las solicitudes de baja recibidas durante la semana. A los clientes que han solicitado la baja de publicidad se les incluye en la “Lista Robinson” 1.4. Para cada envío, el departamento de Marketing solicita al departamento de Sistemas la extracción de las direcciones de correo electrónico de los destinatarios, unos días antes de la materialización de los envíos. En el departamento de sistema se genera el fichero con las direcciones de los destinatarios con los perfiles especificados y se excluyen todos aquellos que tienen marcado el campo “lista Robinson”. 1.5. Los inspectores comprobaron que en el fichero de clientes de ENDESA constan relativos al cliente A.A.A., teniendo un contrato en vigor de productos de electricidad. 1.6. Los inspectores comprobaron que en el fichero de registro de las solicitudes de baja, se encontraba registrada la solicitud nº ***NÚMERO.1 con fecha de alta 21/6/2014, figurando como datos del solicitante A.A.A. con dirección de correo electrónico info@...... Así mismo se comprobó que no consta ninguna otra solicitud de baja de dicho cliente. 1.7. Los inspectores comprobaron los dos ficheros de extracciones disponibles (donde constan las direcciones de correo de los destinatarios de cada campaña), comprobando que en el fichero utilizado para el envío del 3 de julio de 2014 consta la dirección de correo electrónico info@..... y que no consta en el fichero correspondiente a los envíos realizados el día 31 de octubre de 2014. El representante de ENDESA manifiesta que el denunciante fue registrado en la lista Robinson tras las solicitud realizada el día 21 de junio de 2014 y que el motivo de que le fuera enviado el correo de fecha 3 de julio de 2014 es porque cuando se hizo efectiva la inclusión en la lista Robinson del cliente, ya se había C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 realizado la extracción de los destinatarios de dicho envío. 1.8. Los inspectores de la Agencia verificaron que, mediante la dirección de correo electrónico de un trabajador de ENDESA que ha recibido el último envío publicitario realizado, se efectúa correctamente el proceso de solicitud de baja mediante el enlace que figura en la publicidad recibida. Se verifica que tras pinchar en dicho enlace se abre una ventana de confirmación y que tras la confirmación se genera un registro en el fichero de solicitudes de baja.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 43.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en lo sucesivo, LSSI), que atribuye a la Agencia Española de Protección de Datos la competencia para sancionar por la comisión de infracciones leves y graves de los artículos 38.4.
- d)y 38.3.
- c)de la LSSI respectivamente. II Actualmente se denomina “spam” a todo tipo de comunicación no solicitada realizada por vía electrónica y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones han permitido que esta práctica se realice de forma abusiva e indiscriminada. El envío de publicidad a través de medios electrónicos exige que haya sido previamente autorizado o consentido. Así lo dispone el artículo 21 de la LSSI que obliga también al prestador del servicio a ofrecer al destinatario los mecanismos para oponerse al tratamiento de sus datos con fines promocionales, exigiendo, si la comunicación comercial se efectúa por correo electrónico, que se ofrezca la posibilidad de oponerse a estos envíos a través de una dirección electrónica válida. El artículo 21 de la LSSI, según redacción introducida por la Ley 9/2014, General de Telecomunicaciones, dispone: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección” La LSSI, en su artículo 38.4.d), tipifica como infracción leve “el envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya una infracción grave”. III En el asunto que nos ocupa el denunciante ha manifestado que en varias ocasiones (“no menos de seis veces”) ha intentado sin éxito darse de baja en el tratamiento de sus datos personales con fines promocionales que venía haciendo ENDESA valiéndose para ello de un “enlace en el pie de los mensajes recibidos”. Sin embargo, no ha aportado con su denuncia ninguna prueba o indicio de que, tal y como afirma, se hubiera opuesto a esas comunicaciones comerciales en más de una ocasión. Así, la documentación que nos remite acredita únicamente que el 21/06/2014 se opuso al envío de comunicaciones comerciales por ENDESA, que recibió un mensaje de esta entidad acusando recibo de su solicitud en esa fecha y que con posterioridad, el 03/07/2014, recibió una comunicación comercial. Adjunta las cabeceras de la comunicación comercial de 03/07/2014 que evidencian que se remitió a la dirección electrónica del denunciante (info@.....) desde ....@.... Como se ha dicho el artículo 21.2 de la LSSI exige que el prestador del servicio ofrezca al destinatario de la comunicación comercial la posibilidad de oponerse al tratamiento a través de un procedimiento sencillo y gratuito que necesariamente ha de consistir cuando –como aquí acontece- la comunicación se ha enviado a través del correo electrónico, en la inclusión de “una dirección de correo electrónico u otra dirección electrónica válida”. Las actuaciones llevadas a cabo por la Inspección de Datos de la AEPD han tenido por objeto determinar la efectividad del procedimiento que ENDESA ofrece a los destinatarios de las comunicaciones comerciales y si, en definitiva, su actuación ha sido respetuosa con el artículo 21.2 de la Ley 34/2002. Durante la Inspección practicada en su sede la denunciada informó de que las solicitudes de baja de publicidad de sus clientes pueden hacerse a través del enlace que aparece en las comunicaciones electrónicas enviadas, a través de la página web de ENDESA, telefónicamente y por vía postal. Ha explicado que las solicitudes de baja generan un registro en el sistema y que la baja se efectúa de manera automática y se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 lanza semanalmente (los viernes) para todas las peticiones recibidas durante la semana. Añaden que en el departamento de Sistemas se genera un fichero con las direcciones de los destinatarios excluyendo a los clientes que están en la lista Robinson y que para cada envío publicitario que el departamento de Marketing efectúa solicita al departamento de Sistemas unos días antes de la materialización de los envíos las direcciones de correo electrónico de los destinatarios Los inspectores de la AEPD comprobaron que el denunciante es cliente de ENDESA y tiene en vigor contratos relativos a productos de electricidad. Se constató también que en el fichero de registro de solicitudes de la entidad figuraba la petición de baja que el denunciante hizo el 21/06/2014, de la que recibió un acuse de recibo asignándole el número ***NÚMERO.1 cuya copia ha aportado con la denuncia. Y se comprobó, asimismo, que en el citado fichero de ENDESA no constaba ninguna otra solicitud de baja hecha por el denunciante. También durante la inspección se pudo comprobar el correcto funcionamiento del enlace incluido en las comunicaciones comerciales que ENDESA envía a sus clientes por correo electrónico. Nos remitimos a este respecto a la exposición recogida en el Informe de Actuaciones Previas de Inspección. En definitiva, la exposición precedente demuestra que la actuación de ENDESA ha sido respetuosa con la previsión del artículo 21.2 de la LSSI y que la dirección electrónica que ofrece en las comunicaciones comerciales enviadas a través de internet es un mecanismo efectivo para que el destinatario de la comunicación se oponga al tratamiento de sus datos personales con fines comerciales. Llegados a este punto corresponde examinar si es correcto que estando registrada en ENDESA la solicitud de baja del denunciante con fecha 21/06/2014 éste hubiera recibido un correo electrónico publicitario el 03/07/2014. A tal fin deben tomarse en consideración varios elementos. Por una parte, que ENDESA respondió al denunciante informándole de que su solicitud de baja se había registrado con fecha 21/06/2014. Por otra, la disposición del artículo 8.5 del Reglamento de Desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007 (RLOPD), que forma parte del régimen jurídico aplicable al asunto que examinamos toda vez que el artículo 19.2 de la LSSI dispone expresamente que será de aplicación tanto la LOPD como su normativa de desarrollo. Este precepto –artículo 8.5 del RLOPD- fija un plazo de diez días para que el responsable del fichero actualice los datos y en el cómputo del plazo quedan excluidos los días inhábiles, no solo nacionales sino también los días festivos en la Comunidad Autónoma del afectado por lo que no se incluirá en él el día 24/06/2014, festivo en Cataluña. Se concluye así que la comunicación comercial que la denunciada envió al denunciante el 03/07/2014 aconteció dentro del plazo de los diez días hábiles que la Ley otorga al responsable del fichero para actualizar datos. De lo expuesto resulta que la conducta de ENDESA que se somete a la consideración de este organismo ha sido acorde con la normativa de protección de datos sin que se aprecie en ella infracción de la LSSI, por lo que procede el archivo de las presentes actuaciones de investigación. Por lo tanto, de acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a ENDESA ENERGÍA, S.A.U., y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es