E-05958-2013

1/7 Expediente Nº: E/05958/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad HP HEALTH CLUBS ESPAÑA, S.L., en virtud de denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 22/08/2013 tuvo entrada en esta Agencia escrito de A.A.A. (en lo sucesivo el denunciante) en el que expone que en el verano de 2011 solicitó “información presencial sobre las cuotas del gimnasio” y le “tomaron los datos personales para una utilidad comercial. Finalmente no me matricule”. Añade que debido a que recibía llamadas telefónicas y correos electrónicos promocionales solicitó a HOLMES PLACE/ HP HEALTH CLUBS ESPAÑA, S.L, (en lo sucesivo HEALTH CLUBS o la denunciada) que cancelara sus datos, pero su petición no fue atendida. Manifiesta que reiteró la solicitud de cancelación de sus datos a través de un nuevo correo electrónico y que se personó en la entidad denunciada en febrero de 2013 pero ésta hizo caso omiso a su petición pues continuó enviándole comunicaciones publicitarias. Aporta con el escrito de denuncia los siguientes documentos: Copia de los dos correos electrónicos -de fechas 24/03/2012 y 01/12/2012- que envió a la dirección electrónica de la denunciada ( .....@holmesplace.es ) solicitando la cancelación de sus datos en cumplimiento de la normativa de protección de datos. Copia de cuatro sms publicitarios recibidos en su teléfono móvil, de fechas 28/11/2012 y 30/06/, 27/02/ y 29/05/ (sin indicación del año). En los tres primeros sms la comunicación comercial va dirigida a un tal “B.B.B.”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Inspección que reproducimos: <<ANTECEDENTES Con fecha de 22 de agosto de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: Que solicitó información presencial sobre las cuotas del gimnasio Holmes Place para lo cual facilitó sus datos personales. Después de recibir varias llamadas telefónicas y correos publicitarios, remitió un correo electrónico solicitando la cancelación de sus datos a la dirección .....@holmesplace.es, con fecha 27 de marzo de 2012. Aporta copia del correo enviado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Dado que seguía recibiendo ofertas y mensajes publicitarios, de nuevo remitió un correo electrónico a la misma dirección, con fecha 1 de diciembre de 2012, en el que solicitaba la cancelación de sus datos. Aporta copia de los mensajes SMS recibidos de Holmes Place, con fechas 28 de noviembre de 2012, 30 de enero, 27 de febrero y 29 de mayo (es estos tres no consta el año), los correos se dirigen a “B.B.B.”. ACTUACIONES PREVIAS Con fecha 13 de mayo de 2014, HP HEALTH CLUBS S.L. (propietarios del Club HOLMES PLACE BALMES), ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. Los mensajes SMS se remitieron al denunciante como socio potencial de su Club, en el año 2012, 2. El denunciante remitió sendos correos electrónicos con fechas 27 de marzo y 1 de diciembre de 2012, solicitando la cancelación de sus datos personales. 3. Los datos del denunciante se cancelaron con fecha 29 de marzo de 2012, de acuerdo con la solicitud del denunciante. A este respecto aportan copia impresa de los archivos generados por el programa que gestiona los datos de los “clientes potenciales”, donde se comprueba que la fecha de cancelación es 29 de marzo de 2012 y que el número de teléfono es ***TEL.1. 4. Los mensajes remitidos al número móvil ***TEL.1, se envían a un cliente potencial llamado “B.B.B.”, el cual tiene el mismo número de teléfono que el denunciante. Aportan copia impresa de la ficha del cliente potencial al que se dirigen los mensajes, donde se verifica que consta el citado número de teléfono. 5. Por último manifiestan que a pesar de que no han recibido solicitud de cancelación de los datos de B.B.B., han procedido a cancelar sus datos con objeto de que el denunciante no reciba publicidad en el citado número de teléfono.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en lo sucesivo, LSSI), que atribuye a la Agencia Española de Protección de Datos la competencia para sancionar por la comisión de infracciones leves y graves de los artículos 38.4.

1. d)y 38.3.
2. c)de la LSSI respectivamente. II El envío de publicidad a través de medios electrónicos debe de haber sido previamente autorizado o consentido. Así lo exige el artículo 21 de la LSSI, precepto que también obliga al prestador del servicio a ofrecer al destinatario los mecanismos para oponerse al tratamiento de sus datos con fines promocionales, exigiendo, si la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 comunicación comercial se efectúa por correo electrónico, que se ofrezca en todo caso la posibilidad de oponerse a estos envíos a través de una dirección electrónica válida. Tras la reforma operada en la LSSI por la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, el artículo 21 de la Ley 34/2002 dispone: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección” El Anexo de la LSSI, en su apartado f), define las comunicaciones comerciales como “toda forma de comunicación dirigida a la promoción, directa indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona realice una actividad comercial, industrial, artesanal o profesional.” Aclara el citado apartado que “a efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica.” III En el asunto que nos ocupa el denunciante ha reconocido haber facilitado a la entidad denunciada sus datos personales “para una utilidad comercial”, lo que significa que otorgó su consentimiento expreso el envío de comunicaciones comerciales relativas a los productos de esa empresa. Por esta razón hay que concluir que las comunicaciones que el denunciante recibió de la denunciada (llamadas y correos electrónicos) hasta la fecha en la que manifestó su voluntad contraria a dicho tratamiento fueron respetuosas con las previsiones del artículo 21.1 de la LSSI, por lo que ninguna responsabilidad es exigible a la denunciada por estos envíos publicitarios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 El examen de la presente denuncia debe centrarse, por tanto, en determinar si HEALTH CLUBS atendió la solicitud que le dirigió el denunciante para que cancelara sus datos; solicitud que no fue, en definitiva, sino la revocación del consentimiento inicialmente otorgado para el tratamiento de sus datos con fines promocionales. A juicio del denunciante la denunciada hizo caso omiso a su solicitud y afirma que así lo evidencia el hecho de que después de haber ejercitado el derecho de cancelación a través de dos correos electrónicos enviados a la dirección .....@holmesplace.es el 27/03/2012 y 01/12/2012 siguió recibiendo nuevas comunicaciones comerciales, de las que son exponente los sms de 28/12/2012, 30/06/, 27/02/ y 29/05/. No obstante, en relación a tal conducta debe advertirse que, tras las investigaciones efectuadas por la AEPD ante HEALTH CLUBS, se ha comprobado que esta entidad sí atendió la solicitud del denunciante para que cancelara sus datos de los ficheros de la compañía. La entidad ha declarado que el 27/03/2012 el denunciante solicitó por vez primera la cancelación de sus datos de sus ficheros y que el 29/03/2012 procedió a cancelar la ficha de cliente potencial, “propect client”, de sus bases de datos. A tal fin ha aportado copia de los archivos generados por el programa informático EKON, que gestiona los datos de los clientes potenciales, en el que puede observarse que está registrada con fecha 29/03/2012 la cancelación de sus datos personales. La denunciada ha explicado que actuó con total diligencia y que pese a que atendió la solicitud del denunciante con la máxima rapidez el motivo por el que éste continuó recibiendo comunicaciones comerciales con posterioridad fue que su número de teléfono estaba asociado, también, a otro cliente potencial – B.B.B.-. A este respecto ha aportado una impresión de pantalla de su fichero de clientes potenciales en el que consta una persona con este nombre cuya dirección electrónica es ........@gmail.com y con el mismo número de teléfono móvil del denunciante (***TEL.1). La documentación facilitada por la denunciada para apoyar las explicaciones ofrecidas constituye un indicio suficiente de que efectivamente el número de teléfono del denunciante estaba asociado a un tercero (“B.B.B.”) cuyo titular aparecía registrado en los ficheros de la entidad como “cliente potencial” por lo que HEALTH CLUBS estaba, aparentemente, legitimada para enviarle comunicaciones comerciales a tenor del artículo 21.1 de la LSSI. Esto explica que de los cuatro sms que el denunciante recibió de la denunciada (cuya copia ha remitido a la AEPD) los únicos que contienen una referencia personal (los tres primeros) se dirijan a “B.B.B.” cuando el denunciante se llama “A.A.A.”. Resulta por ello que las comunicaciones publicitarias que el denunciante recibió el 29/11/2012, 30/01/, 27/02/ y 29/05/ -que constituyen el objeto de la presente denuncia- no fueron consecuencia de que se hubieran ignorado sus correos haciendo valer su voluntad contraria al tratamiento de sus datos con fines publicitarios. Por el contrario, la denunciada actuó con diligencia ya que las comunicaciones publicitarias en las que se materializa la denuncia fueron consecuencia de que otro cliente potencial, B.B.B., tenía el mismo número de teléfono. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Llegados a este punto debe indicarse que la exigencia de responsabilidad sancionadora presupone la concurrencia de un doble elemento: la conducta antijurídica descrita en el tipo sancionador y el elemento subjetivo de la infracción, pues rige en nuestro Derecho el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca la responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999 en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. A su vez, la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) proclama en el artículo 130.1 el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”.(El subrayado es de la Agencia) En el presente caso, habida cuenta de que la denunciada desplegó la diligencia que era procedente, pues canceló la ficha del denunciante del registro de clientes potenciales de forma que ya no podía recibir envíos publicitarios, ninguna responsabilidad cabe exigirle sin vulnerar el principio de culpabilidad por unas comunicaciones publicitarias que iban dirigidas a un tercero que tenía asignado el mismo número de teléfono que el denunciante. En consecuencia, a la luz de las consideraciones precedentes y de la documentación que obra en poder de esta Agencia, no se aprecia en los hechos denunciados vulneración de la normativa de protección de datos, debiendo acordar el archivo de las presentes actuaciones. IV A mayor abundamiento y sin perjuicio de la exposición precedente deben destacarse las siguientes cuestiones. La primera, que a raíz del requerimiento informativo que la AEPD dirigió a la denunciada y “a pesar de no haber recibido comunicación del Sr. B.B.B. en tal sentido” HEALTH CLUBS procedió a cancelar su ficha de posible cliente, evitando de este modo que al número de teléfono que consta asociado a él (que es el mismo número de teléfono del denunciante) continúen llegando comunicaciones comerciales. La segunda de las cuestiones que debe destacarse hace referencia al hecho de que incluso en la hipótesis de que hubiera podido confirmarse que la denunciada no atendió la solicitud de cancelación del denunciante al tratamiento de sus datos con fines publicitarios ninguna responsabilidad cabría exigirle pues la presunta infracción cometida habría prescrito. La reforma operada en la LSSI por la Ley 9/2014 ha tipificado como infracción leve conductas que hasta entonces se calificaban de infracciones graves. Así, la Disposición Final Segunda de la Ley 9/2014 da una nueva redacción al artículo 38 que en su apartado 3.
3. c)recoge como infracción grave “El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.” (El subrayado es de la AEPD). El artículo 38.4, considera infracciones leves, “
4. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave” (El subrayado es de la AEPD) Con arreglo a la información que obra en poder de esta Agencia cabría considerar que la conducta que se denuncia (en la hipótesis de que la denunciada no hubiera atendido la solicitud del denunciante) habría sido constitutiva de una infracción leve de la LSSI tipificada en el artículo 38.4.d), pues a tenor de las circunstancias que concurren tal conducta no sería subsumible en el tipo sancionador del artículo 38.3.
5. c)– infracción grave- toda vez que ni estamos ante un envío masivo de comunicaciones comerciales ( el destinatario de los envíos es una única persona, el denunciante) ni es acorde con el espíritu de la norma calificar los sms que el denunciante recibió de la denunciada como un “envío” “insistente o sistemático”. Así las cosas, del juego del principio de retroactividad “in bonam partem” o retroactividad de la disposición sancionadora más favorable ( artículo 128.2 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común) que obliga a aplicar el artículo 38 de la LSSI en su redacción actual -por ser más beneficiosa para la presunta infractora-, redacción que califica la conducta denunciada como infracción leve, y del artículo 45 de la LSSI que establece un plazo de prescripción de seis meses para las infracciones leves, la presunta infracción cometida, en la mejor de las hipótesis, habría prescrito en diciembre de 2013. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a HP HEALTH CLUBS ESPAÑA, S.L. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es