E-05540-2017

1/9 Expediente Nº: E/05540/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante A.A.A. en virtud de denuncia presentada por B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 28/08/2017, tuvo entrada en esta Agencia escrito de B.B.B. (en lo sucesivo el denunciante) en el que denuncia a A.A.A. (en lo sucesivo el denunciado) por los siguientes hechos: En fecha 14 de junio de 2012 adquirió unas gafas en la entidad denunciada. En julio de 2017 comenzó a recibir infinidad de SMS promocionales con publicidad de la entidad en su móvil número C.C.C. Intentó darse de baja en el número ***TLF.2 que figuraba en Internet para esta entidad. La operadora le indicó que le daba de baja. Continuaron llegando mensajes y solicitó nuevamente la baja en el número de la entidad ***TLF.1. En fecha 24 de julio de 2017 solicitó por correo electrónico a la dirección info@medicaloptica.es la baja en el envío de mensajes promocionales, recibiendo contestación ese mismo día. Como continuaron llegando mensajes, en fecha 08/08/2018 envío un nuevo correo a la misma dirección adjuntando copia de su DNI. Como continuaron enviando mensajes, en fecha 12 de agosto de 2017 fue a la tienda y mostró los 143 mensajes que había recibido. Le indicaron que se iba a solucionar el problema. Aporta fotografías de la pantalla de móvil con mensajes de fecha 5, 6, 12, 19, 28, 4, 13, 20, 28 de septiembre y 5 de octubre. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Según manifiestan los representantes de la entidad en fecha 8 de Agosto 2017 procedieron a dar de baja en todas las comunicaciones comerciales con D. B.B.B. tal y como nos solicitaba. 2. El procedimiento para atender las peticiones de baja es el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9

1. a)Una vez recibida la comunicación por parte de un cliente, desactivan de la ficha del cliente sus contactos (Teléfonos - dirección de correo si la tuviéramos) y direcciones con el objeto de no utilizar sus datos y evitar posibles incidencias.
2. b)En caso en el cual el cliente solicita su baja , enviamos solicitud "oficial de baja" " y una vez recibido enviamos parte de cancelación al cliente. En el caso de D. B.B.B. no hemos enviado parte de baja dado que el cliente no lo ha solicitado, solamente solicitaba la baja en las comunicaciones. 3. Detalle de las campañas comerciales realizadas sobre el afectado Año 2015 -SMS - Cheque cumpleaños. Mes de Diciembre Año 2016 -SMS -Cheque cumpleaños. Mes de Diciembre Año 2017 -SMS - Campañas publicitarias: • SMS1- fecha 14-07-2017 TEXTO: ¿Eres de los que alterna entre gafas graduadas y gafas de sol para ver bien en verano? En Medical Óptica Audición tenemos la solución para ti. Por la compra de una primera gafa graduada te regalamos las lentes de sol graduadas de la segunda. ¡No lo dejes pasar! Más info qoo.qlA/hdppP • SMS 2 – fecha 13-07-2017 TEXTO: En fiestas del Carmen presume de gafa de sol desde 5,95E y llévate el pañuelo de fiestas de regalo. Solo en Medical Óptica Audición Barakaldo. Inf qoo.ql/A9wuPK 4. El procedimiento que se facilitaba en los mensajes para darse de "baja" era el de dirigirse a la propia página web o dirección postal para solicitar la baja de las comunicaciones (en general para acceder a la puesta en marcha de alguno de los derechos ARCO (acceso, rectificación, cancelación y oposición). Si hemos de indicar que debido a este caso se ha detectado una "Debilidad" en el Sistema de Gestión de Protección de Datos en las comunicaciones vía SMS y es por esto que se está cambiando la operativa para que el acceso a los derechos sea más inmediato proporcionando información en el propio mensaje de cómo solicitar la baja. 5. Contactos y reclamaciones mantenidas con el cliente: Fecha 22.07 - Llama para indicarnos que solicita no recibir publicidad de Medical Óptica , Fecha 24.07- Envía mail notificándolo. Fecha 27.07 - Llama para solicitar factura. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Fecha 15.12 a las 10.00 reciben una llamada en que el afectado indicaba su malestar al respecto del volumen de mensajes que estaba recibiendo es su móvil, automáticamente se pusieron pusimos a contrastar esta información para contactar con D. B.B.B. . 6. Según indica la operadora Cecosa Institucional S.L. (EROSKI MOVIL) que presta el servicio de telefonía móvil al número C.C.C. no consta que se hayan recibido SMS de la línea E.E.E. en fechas 12,19 y 28 de agosto, 4, 13, 20 y 28 de septiembre y 5 de octubre de 2017. La línea E.E.E. es la numeración que manifiesta el denunciante que figura en el terminal cuando selecciona la opción de RESPONDER a los SMS recibidos. 7. Solicitada información la entidad denunciada, mediante escrito de fecha 9/02/2018, aportan documentación contractual con la entidad NET REAL SOLUTIONS S.L., que gestiona una plataforma de envíos masivos por SMS. 8. Solicitada información a EROSKI MOVIL la recepción de SMS en dicha línea con origen en remitente identificado como MEDICALOPTI, mediante escrito de fecha 9/02/2018 aporta registros de SMS recibidos en fechas 12,19 y 28 de agosto, 4, 13, 20 y 28 de septiembre y 5 de octubre de 2017, sin que ninguno coincida con el origen MEDICALOPTI. 9. Mediante escrito de fecha 14/02/2018 la entidad denunciada, aporta certificado de NET REAL SOLUTIONS S.L en el que informan de que los SMS enviados no admiten respuesta y que (…) en determinados casos, dependiendo del terminal, cuando el destinataria seleccione la opción responder, su terminal puede transformar los caracteres por números pero en ningún caso este número resultante será válido y permitirá la respuesta por parte del destinatario final (…) 10. En el escrito referenciado en el punto anterior, la entidad denunciada manifiesta (…) que la incidencia con nuestro cliente D. B.B.B. ya está solventada y localizado el fallo ( el móvil del cliente tenía un “virus” el cual le replicaba los mensajes todos los días)(…). 10.1 Esta circunstancia es verificada por el denunciante mediante conversación telefónica con el inspector actuante en fecha de 19/02/2018, en la que afirma que el número de teléfono que es objeto de las campañas publicitarias no se proporcionó a los efectos de ser destinatario de acciones comerciales, pues no consta en la factura. 11. En la factura de fecha 14/06/2012 emitida por la entidad denunciada al denunciante, consta una leyenda informativa en el que indica lo siguiente (…) sus DATOS DE CARÁCTER PERSONAL pasaran a formar parte de un fichero propiedad de IBERVISION SERVICIOS OPTICOS, S.L. y se utilizaran únicamente CON FINES COMERCIALES E INFORMATIVOS DE PRODUCTOS Y SERVICIOS DE MEDIAL OPTICA. Así mismo, le informamos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 que sus datos pueden ser cedidos a otras empresas del grupo o distribuidores autorizados, para la realización de su gafa, lente de contacto o audífono. (…) 11.1 En la factura de 14/06/2012 no consta el número de teléfono que C.C.C. que es destinatario de las campañas de publicidad por SMS. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI). II El artículo 37 de la LSSI establece como sujetos sobre los que impone su régimen sancionador a “los prestadores de servicios de la sociedad de la información”. Para determinar qué sujetos se ajustan a dicha definición, ha de acudirse a lo dispuesto en el Anexo de la citada ley, que define al “Prestador de servicios” (apartado,) “como la persona física o jurídica que proporciona un servicio de la sociedad de la información”. Lo que se completa con la definición que sobre “Servicios de la sociedad de la información o servicios” ofrece el apartado a), del Anexo: “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1. La contratación de bienes o servicios por vía electrónica. 2. La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3. La gestión de compras en la red por grupos de personas. 4. El envío de comunicaciones comerciales. 5. El suministro de información por vía telemática.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 En el presente caso ha de considerarse al denunciado como Prestador de Servicios de la Sociedad de la información y someterse a las obligaciones de la LSS. III Por su parte, el artículo 21 de la LSSI, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” (el subrayado es de la Agencia Española de Protección de Datos) En el presente caso, el denunciante manifiesta en primer término, que su derecho a oponerse a recibir comunicaciones comerciales ha sido vulnerado pues a pesar de que la entidad denunciada en el mes de julio de 2017, confirmo la baja de su línea como receptora de los SMS, ha seguido recibiendo mensajes hasta al menos el 5/10/2017, según aporta fotografía en su segundo escrito presentado. En referencia a los SMS recibidos a partir del mes de julio de 2017, respecto de los que aporta fotografías de la pantalla del terminal móvil, debe indicarse que se practicó prueba sin que se pudiera confirmar la recepción de los SMS aportados. (Tal como consta en el apartado 8 del antecedente segundo de la presente resolución) Finalmente, la entidad denunciada manifestó (y el propio denunciante lo confirmo) que el terminal de telefonía del denunciante tenía un problema de software ( virus informático, etc.,) que replicaba los SMS, razón por la que le constaban recibidos un gran número de SMS remitidos por la entidad denunciada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 Por lo expuesto, respecto del derecho a oponerse a recibir comunicaciones comerciales por medios electrónicos del denunciante, debe concluirse que no puede exigírsele a la entidad denunciada responsabilidad alguna. En segundo término, manifiesta el denunciante que aun admitiendo el error o fallo que producía su terminal de telefonía, el numero destinatario de los SMS en cuestión, no fue proporcionado para las finalidades que se ha utilizado, es decir, para acciones comerciales. Sino que se aportó como medio de contacto para avisar de cuando podían estar disponibles las gafas. Asimismo, no consta en la factura del año 2012 la citada numeración que pudiera someterse al tratamiento de datos que consta en la leyenda informativa que consta al pie de la misma. Respecto a la obtención del consentimiento en la recogida de datos personales para fines no relacionados con el mantenimiento de la relación contractual de que se trate, establece el art. 15 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (RDLOPD en lo sucesivo) bajo la rúbrica “Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma” lo siguiente: Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 De acuerdo con lo expuesto, la leyenda informativa que consta en la documentación aportada al expediente, no cumple las exigencias del precepto pues debe habilitarse en el momento de la recogida de datos, un medio para manifestar expresamente la negativa del afectado para dicho tratamiento. En el mismo sentido que el art. 15 RDLOPD antes citado, el art. 21 de la LSSI impone la obligación de ofrecer un medio de oposición, no solo en cada comunicación comercial que se envié, sino en el momento de la recogida de los datos. Ni una obligación (art. 15 RDLOPD) ni la otra (art. 21.2 LSSI) puede entenderse cumplida por la entidad denunciada. Por ello el tratamiento derivado de la obtención de los datos a través de la cláusula informativa analizada no será acorde con la normativa de protección de datos, ni con la normativa que protege el derecho de los usuarios de servicios de la sociedad de la información. A mayor abundamiento, debe indicarse que ni siquiera el número de teléfono receptor de los SMS figuraba en la documentación aportada, por lo que obviamente no puede sostenerse un consentimiento o autorización para la recepción de los SMS publicitarios. IV No obstante lo anterior, debe indicarse que la entidad denunciada niega el envío de SMS más allá de la fecha de julio de 2017, y respecto de los mensajes posteriores a la baja, no hay certeza de si su envío obedece a una acción voluntaria de la entidad denunciada o al fallo en el terminal del denunciante que ambas parten reconocen. Por ello y de acuerdo con lo dispuesto en el art. 53. 2
3. b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que reconoce el derecho de los administrados a
4. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario., y lo previsto en el art. 24 de la Constitución, no puede enervarse la presunción de inocencia de la entidad denunciada respecto de los SMS enviados con posterioridad a la baja. Por otro lado, respecto de los SMS anteriores a la fecha de 13 julio del año 2017, respecto de los que no hay acreditación de que se cumpliera lo previsto en el art. 21 de la LSSI, debe indicarse que la conducta infractora que correspondería atribuir a la entidad denunciada, se encuentra tipificada en el art. 38.4
5. d)de la citada norma, que considera infracción leve El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave., cuyo plazo de prescripción es de 6 meses de acuerdo con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 lo dispuesto en el art. 45 de la citada norma. Por ello en la actualidad dicha infracción se encontraría prescrita por haber transcurrido más de 6 meses desde el último envío que reconoce la entidad, pues de acuerdo con el art. 30.2 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, interrumpe la prescripción el inicio del procedimiento sancionador con conocimiento del interesado. Es decir, debería haberse dictado y notificado el eventual Acuerdo de Inicio del procedimiento sancionador antes del 13/01/2018 fecha en la que vence el plazo de los 6 meses desde el último SMS que la entidad reconoce y sin embargo, no es hasta la fecha de 14/02/2018 cuando esta Agencia tiene conocimiento del error del software del terminal del denunciante, sin cuyo acaecimiento, el plazo de prescripción de las infracciones atribuidas inicialmente a la entidad denunciada finalizaría en fecha de 5/04/2018, atendiendo a que el último SMS aportado por el denunciante era de fecha 5/10/2017. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO.- NOTIFICAR la presente Resolución a IBERVISIÓN SERVICIOS ÓPTICOS, S.L. (MEDICAL ÓPTICA AUDICIÓN) y B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es