E-05688-2017

1/8 Expediente Nº: E/05688/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad Enfoque XXI Formación Jurídica S.C.P en virtud de denuncia presentada por D. B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 7/09/2017, tuvo entrada en esta Agencia escrito de D. B.B.B. (en lo sucesivo el denunciante) comunicando que ha recibido en su buzón ***EMAIL.1 un correo electrónico promocional enviado por Enfoque XXI Formación Jurídica S.C.P. (en lo sucesivo el denunciado) desde la web www.enfoquexxi.com sin haberlo solicitado y sin haber mantenido ninguna relación contractual previa. Aporta copia del correo recibido en fecha 19/06/2017, el denunciante envía el mismo día, correo electrónico ejercitando su derecho de oposición. Según indica el denunciante, no ha recibido contestación. Con fechas 07/09/2017 y 18/09/2017 recibe nuevos correos promocionales de la entidad denunciada. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: El denunciado manifiesta que la dirección de correo electrónico ***EMAIL.1 se ha obtenido de la página web del Ilustre Colegio de Abogados de Barcelona, que es de acceso libre para todos los abogados. Así mismo alega no haber recibido el correo electrónico de fecha 19 de junio de 2017 enviado por el denunciante ejercitando su derecho de oposición. No obstante manifiestan haber procedido a eliminar los datos personales del mismo (dirección de correo electrónico ***EMAIL.1 de sus bases de datos. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 II El artículo 37 de la LSSI establece como sujetos sobre los que impone su régimen sancionador a “los prestadores de servicios de la sociedad de la información”. Para determinar qué sujetos se ajustan a dicha definición, ha de acudirse a lo dispuesto en el Anexo de la citada ley, que define al “Prestador de servicios” (apartado,) “como la persona física o jurídica que proporciona un servicio de la sociedad de la información”. Lo que se completa con la definición que sobre “Servicios de la sociedad de la información o servicios” ofrece el apartado a), del Anexo: “Todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1. La contratación de bienes o servicios por vía electrónica. 2. La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3. La gestión de compras en la red por grupos de personas. 4. El envío de comunicaciones comerciales. 5. El suministro de información por vía telemática.” III Por su parte, el artículo 21 de la LSSI, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” (el subrayado es de la Agencia Española de Protección de Datos). IV Aunque el artículo 19 de la LSSI establece: “Régimen jurídico. 1. Las comunicaciones comerciales y las ofertas promocionales se regirán, además de por la presente Ley, por su normativa propia y la vigente en materia comercial y de publicidad. 2. En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales.” El art. 3.

1. f)y el art. 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) regula: Definiciones. “A los efectos de la presente Ley Orgánica se entenderá por:
2. j)Fuentes accesibles al público: aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación.” “Artículo 6. Consentimiento del afectado. 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 El artículo 7 apartados 1.
3. c)y 2 del Reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre (RLOPD), establece: “Fuentes accesibles al público. 1. A efectos del artículo 3, párrafo
4. j)de la Ley Orgánica 15/1999, se entenderá que sólo tendrán el carácter de fuentes accesibles al público:
5. c)Las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección profesional e indicación de su pertenencia al grupo. La dirección profesional podrá incluir los datos del domicilio postal completo, número telefónico, número de fax y dirección electrónica. En el caso de Colegios profesionales, podrán indicarse como datos de pertenencia al grupo los de número de colegiado, fecha de incorporación y situación de ejercicio profesional. 2. En todo caso, para que los supuestos enumerados en el apartado anterior puedan ser considerados fuentes accesibles al público, será preciso que su consulta pueda ser realizada por cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su caso, el abono de una contraprestación.” Sin embargo, teniendo en cuenta la regulación del art. 21 de la LSSI: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa…” no puede aplicarse a las comunicaciones publicitarias el art. 6.2 de la LOPD sobre las fuentes accesibles al público, por cuanto la LSSI exige que hubieran sido solicitadas o expresamente autorizadas. Criterio recogido por la Audiencia Nacional en su sentencia de 9/01/2009 recurso 97/2007 en la que se recoge: <<…CUARTO.- Aduce también la actora, que las direcciones de correo electrónico de la citada Universidad son obtenibles de su página web y en definitiva de fuentes accesibles al público, por lo que según la LOPD, que considera de aplicación preferente, no es necesario el consentimiento de los destinatarios de los correos electrónicos. Es de señalar que en el acta de Inspección practicada a la demandante se constató que dicha entidad posee y utiliza aplicaciones informáticas que permiten la captura de direcciones de correo electrónico recogidas en sitios web. La interpretación efectuada por la parte demandante no puede ser aceptada, por las razones que seguidamente se van a exponer. La LSSI, de 11 de julio, tiene como objeto la incorporación al ordenamiento jurídico español de la Directiva 2000/31/CE, del Parlamento Europeo y del Consejo, de 8 de junio, relativa a determinados aspectos de los servicios de la sociedad de la información. Su Exposición de Motivos señala que en lo referente a las comunicaciones comerciales, prohíbe su envío por correo electrónico u otras vías de comunicación electrónica equivalente, salvo que el destinatario haya prestado su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Con posterioridad, se dictó la Directiva 2002/58/CE del Parlamento y del Consejo, de 12 de julio de 2002 , relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las telecomunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), aplicable a esta materia, que se traspuso en la Ley 32/2003, General de Telecomunicaciones, cuya Disposición adicional primera, apartado número uno , dio al artículo 21 LSSI la redacción vigente. En su Considerando 40, señala dicha Directiva, que "Deben ofrecerse garantías a los abonados contra la intrusión en su intimidad mediante comunicaciones no solicitadas con fines de venta directa, especialmente a través de llamadores automáticos, faxes y mensajes de correo electrónico, incluidos los de SMS. Por una parte, el envío de estas formas de comunicaciones comerciales no solicitadas puede resultar relativamente sencillo y económico, y por otra, puede conllevar una molestia e incluso un coste para el receptor. Además, en algunos casos su volumen puede dar lugar a dificultades en las redes de comunicaciones electrónicas y en los equipos terminales. Se justifica, para este tipo de comunicaciones no solicitadas con fines de venta directa, la exigencia de obtener el consentimiento expreso previo de los receptores antes de que puedan dirigírseles comunicaciones de esta índole". Asimismo, en su Considerando 10, reseña que en el sector de las comunicaciones electrónicas es de aplicación la Directiva 95/46/CE, en particular para todas las cuestiones relativas a la protección de los derechos y libertades fundamentales "que no estén cubiertas de forma específica por las disposiciones de la presente Directiva". Es decir, no habrá que acudir en primer lugar a la LOPD que traspone la Directiva 95/46/CE, sino a la normativa específica sobre la materia, en este caso el artículo 21 de la LSSI, que viene a ser trasposición del articulo 13 de la Directiva 2002/58/CE, precepto que ha resultado infringido por la actora al no contar para la remisión de los citados correos electrónicos con el consentimiento de sus destinatarios y no constar la existencia de una relación contractual anterior, con los requisitos establecidos en el artículo 21.2 LSSI que justifique el envío del mensaje, único supuesto que exime de la obtención del consentimiento en estos supuestos…>> V En el presente caso ha quedado acreditada la remisión por el denunciado de correos comerciales al denunciante, lo que constituye una infracción del art. 21.1 de la LSSI. Infracción tipificada como leve en el artículo 38.4.
6. d)de la citada norma, como: “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”, pudiendo ser sancionada con multa de hasta 30.000 euros, de acuerdo con el artículo 39.1.
7. c)de la LSSI. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 No obstante, el artículo 39 bis de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: “1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
8. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
9. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
10. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
11. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
12. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
13. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
14. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” A este respecto, procede tener en cuenta los criterios establecidos en el artículo 40 de la misma norma, cuyo tenor literal es el siguiente: Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
15. a)La existencia de intencionalidad.
16. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
17. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
18. d)La naturaleza y cuantía de los perjuicios causados.
19. e)Los beneficios obtenidos por la infracción.
20. f)Volumen de facturación a que afecte la infracción cometida.
21. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En el presente supuesto se cumplen los requisitos recogidos en el citado apartado 2 del artículo 39 bis. Trasladando las consideraciones precedentes al supuesto que analizamos se observa que la presunta infracción de la LSSI del denunciado, constituiría una infracción “leve”; que esa entidad no ha sido sancionada o apercibida por la AEPD en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 39 bis 1 de la LSSI, teniendo en cuenta la ausencia de intencionalidad y la ausencia de perjuicios distintos de los que derivan propiamente de la infracción. VII En todo caso, debe señalarse que, si bien estamos ante comunicaciones comerciales no solicitadas, la entidad denunciada al tener noticia de los hechos aquí expuestos, ha comunicado a esta Agencia que ha procedido a dar de baja al denunciante. Pues bien, en atención a las citadas circunstancias se considera necesario subrayar que la Audiencia Nacional, en su Sentencia de 29 de noviembre de 2013, (Rec. 455/2011), Fundamento de Derecho Sexto, a propósito de la naturaleza jurídica de esta figura, que pese a referirse al apercibimiento regulado en el artículo 45.6 de la LOPD tiene plena aplicación al apercibimiento regulado por la LSSI, advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD (estas consideraciones deben entenderse hechas, por lo que aquí respecta, al artículo 39 bis, 2 de la LSSI) confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento -como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella- cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando las medidas correctoras pertinentes ya hubieran sido adoptadas, lo procedente en Derecho será acordar el Archivo de las actuaciones. En el presente caso y teniendo en cuenta las circunstancias del mismo, este organismo está facultado para, en lugar de iniciar la apertura de un procedimiento sancionador, apercibir al denunciado a fin de que adopte las oportunas medidas correctoras. Sin embargo, en base a los principios de intervención mínima y proporcionalidad que informan la capacidad de actuación de esta Agencia y teniendo en cuenta que las medidas correctoras que procedería imponer fueron ya adoptadas por iniciativa propia, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la SAN de 29/11/2013 (Rec. 455/2011) debe acordarse el archivo de las actuaciones de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a Enfoque XXI Formación Jurídica S.C.P y a D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es