E-06247-2017

1/7 Expediente Nº: E/06247/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad IRIS EKAMAT SL en virtud de denuncia presentada por A.A.A. (ECOPROYECTOS GARDEN S.L.) y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20/10/2017, tuvo entrada en esta Agencia escrito de A.A.A. (ECOPROYECTOS GARDEN S.L.) (En lo sucesivo el denunciante) en el que denuncia a IRIS EKAMAT SL (en lo sucesivo el denunciado) por los siguientes hechos: La entidad denunciada ha remitido un correo publicitario a su dirección de correo corporativa en la empresa ECOPROYECTOS GARDEN, S.L., sin autorización o consentimiento previo. En la dirección de correo receptora, constan datos personales como nombre y apellidos. Al intentar cursar la baja a través del enlace dispuesto a ello aparece un mensaje “***EMAIL.1 is not subscribed to list Virtual Camp “lo cual no es correcto pues esa es la cuenta receptora. Aporta copia de la comunicación denunciada enviada desde ***EMAIL.4 con destino ***EMAIL.2 donde figura un link para darse de baja, y el mensaje que aparece tras introducir la dirección de correo ***EMAIL.3 SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Solicitada información a IRIS-EKAMAT, S.L., manifiestan lo siguiente: 1.1 El origen de los datos del denunciante responde a la participación en un curso de (......) celebró en ***LOC.1 a finales del año ***AA.1, donde EKAMAT C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 entabló contactos con la empresa ECOPROYECTOS GARDEN, S.L., a través del delegado comercial de EKAMAT de la zona. En esa fecha el responsable de las comunicaciones de ECOPROYECTOS era el denunciante a quien se le remitía la información relativa dicha propuesta al correo ***EMAIL.1 1.2 Se firmó un contrato entre EKAMAT y el grupo IDAI NATURE al que pertenece ECOPROYECTOS. a. Aporta copia de comunicaciones entre ***EMAIL.1 con destino ***EMAIL.4 y viceversa. b. El denunciante figura como administrador de las empresas IDAI NATURE S.L., y de ECOPROYECTOS GARDEN, S.L. c. Aporta contrato de arrendamiento de servicios entre IRIS EKAMAT y IDAI NATURE, donde figura el denunciante como representante de esta última. d. Aportan facturas emitidas por IRIS EKAMATA a ECOPROYECTOS GARDEN. 2. Se ha revisado la plataforma de envío de comunicaciones comerciales y no consta la dirección ***EMAIL.1 registrada en dicha plataforma, ni aparece en el registro de las últimas comunicaciones, ni como destinatario que ha solicitado la baja. 2.1 Se adjunta captura de pantalla de la herramienta de comunicaciones con el resultado de la búsqueda de la dirección ***EMAIL.3 con resultado “no results” 3. Los datos del denunciante estaban registrados en el CRM dada la relación comercial previa. En la ficha de contacto aparece marcado la opción NO PERMITIR el envío de correos comerciales. Aportan captura de pantalla. 3.1 Como medida preventiva, han incluido la dirección ***EMAIL.3 en el documento de control interno que impide acciones comerciales. 4. Tras la investigación interna, se puede concluir que posiblemente el delegado comercial realizó un envío desde su cuenta de mail profesional a todos los contactos directos, entre los que podría estar la dirección del denunciante, en tanto que la cuenta de dicho cliente la obtuvo como anteriormente se ha expuesto, y habría utilizado una base de clientes propia y no la del CRM de EKAMAT, razón por la que a pesar de estar marcado para no recibir dichas comunicaciones, se haya podido producir la misma. Idénticas consideraciones merece que la opción de baja haya podido no funcionar, en tanto que dicha dirección fue utilizada desde la base de contactos del citado delegado comercial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI). II El artículo 37 de la LSSI establece como sujetos sobre los que impone su régimen sancionador a “los prestadores de servicios de la sociedad de la información”. Para determinar qué sujetos se ajustan a dicha definición, ha de acudirse a lo dispuesto en el Anexo de la citada ley, que define al “Prestador de servicios” (apartado,) “como la persona física o jurídica que proporciona un servicio de la sociedad de la información”. Lo que se completa con la definición que sobre “Servicios de la sociedad de la información o servicios” ofrece el apartado a), del Anexo: “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1. La contratación de bienes o servicios por vía electrónica. 2. La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3. La gestión de compras en la red por grupos de personas. 4. El envío de comunicaciones comerciales. 5. El suministro de información por vía telemática.” En el presente caso, y admitiendo la posibilidad de que fuera el delegado comercial de zona quien hubiera enviado la comunicación comercial objeto de denuncia, ha de considerarse a IRIS EKAMAT como Prestador de Servicios de la Sociedad de la información, pues se le debe atribuir dicho envío, y someterse a las obligaciones de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 III Por su parte, el artículo 21 de la LSSI, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” (el subrayado es de la Agencia Española de Protección de Datos) En el presenta caso, ha resultado que ECOPROYECTOS mantuvo una relación comercial previa con IRIS EKAMAT, y constan comunicaciones electrónicas previas entre las cuentas de correo emisora y receptora en la comunicación denunciada. Por lo que el envío aportado estaría amparado en la excepción prevista en el apartado 2 del art. 21 arriba transcrito. No obstante lo anterior, la entidad niega que el envío se haya realizado a través de su plataforma de envío y que los datos del denunciante están marcados en el software de gestión de clientes – CRM- para no ser destinatario de dichas comunicaciones. En relación con el medio de baja dispuesto en la comunicación objeto de denuncia, debe indicarse que, admitiendo a efectos puramente dialecticos la causa explicada en el punto 4 del antecedente segundo de la presente resolución, si efectivamente se envió el correo a través de un delegado comercial y no a través de la plataforma ( que en caso de solicitud de baja recibe la misma y la gestiona) razón por la que tras solicitar la baja, podría aparecer el mensaje de que dicha dirección no se encuentra registrada en el sistema, dicha circunstancia no puede oponerse a la obligación prevista en el art. 21.2 de la LSSI, respecto del medio de oposición a través C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 de una dirección electrónica válida. Es decir, a pesar de la explicación de lo que podría haber sucedido, ya sea un envío desde la base de datos de clientes propia del delegado comercial, ya sea desde cualquier otra plataforma de envío, el medio de oposición debe ser efectivo, pues de otro modo se reduce a un mero formalismo el introducir un enlace de baja en dichas comunicaciones comerciales, lo que incumple la citada obligación legal. IV El art. 38.4

1. d)de la LSSI considera infracción leve El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave. Conducta que debe atribuirse a IRIS EKAMAT debido a que, en el caso analizado, el enlace para cursar la baja que incluía el correo electrónico recibido por el denunciante, no funcionaba de forma efectiva. V El artículo 39 bis apartado 2 de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
2. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
3. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto se cumplen los requisitos recogidos en el citado apartado 2 del artículo 39 bis. Trasladando las consideraciones precedentes al supuesto que analizamos se observa que la presunta infracción de la LSSI del denunciado, constituiría una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 infracción “leve”; que esa entidad no ha sido sancionada o apercibida por la AEPD en ninguna ocasión anterior; y que concurren la circunstancias descrita en el artículo 39 bis, 1 de la LSSI, teniendo en cuenta que la entidad infractora haya regularizado la situación irregular de forma diligente, pues ha incluido la dirección de correo del denunciante en una lista que impide que los hechos se vuelvan a producir, así como acciones tendentes al uso correcto de los recursos TIC, (entre los que figura utilizar los medios que el CRM ofrece, dónde aparecen las direcciones que no permiten las acciones comerciales, y que en caso de oposición, el sistema registra dicha petición adecuadamente). VI En todo caso, debe señalarse que, si bien estamos ante comunicaciones comerciales sin un medio de oposición efectivo en relación con el correo electrónico recibido, por las circunstancias expuestas, lo que significaría la concurrencia de una actuación infractora por parte de la entidad denunciada, ésta al tener noticia de los hechos aquí expuestos, ha comunicado a esta Agencia la marcación o bloqueo de la dirección de correo del denunciante y la habilitación de procedimientos sencillos y gratuitos para que los destinatarios puedan solicitar el cese en el envío de comunicaciones comerciales. Pues bien, en atención a las citadas circunstancias se considera necesario subrayar que la Audiencia Nacional, en su Sentencia de 29 de noviembre de 2013, (Rec. 455/2011), Fundamento de Derecho Sexto, a propósito de la naturaleza jurídica de esta figura, que pese a referirse al apercibimiento regulado en el artículo 45.6 de la LOPD tiene plena aplicación al apercibimiento regulado por la LSSI, advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD (estas consideraciones deben entenderse hechas, por lo que aquí respecta, al artículo 39 bis, 2 de la LSSI) confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento -como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella- cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando las medidas correctoras pertinentes ya hubieran sido adoptadas, lo procedente en Derecho será acordar el Archivo de las actuaciones. En el presente caso y teniendo en cuenta las circunstancias del mismo, este organismo está facultado para, en lugar de iniciar la apertura de un procedimiento sancionador, apercibir al denunciado a fin de que adopte las oportunas medidas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 correctoras. Sin embargo, en base a los principios de intervención mínima y proporcionalidad que informan la capacidad de actuación de esta Agencia y teniendo en cuenta que las medidas correctoras que procedería imponer fueron ya adoptadas por iniciativa propia, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la SAN de 29/11/2013 (Rec. 455/2011) debe acordarse el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a (ECOPROYECTOS GARDEN S.L.). IRIS EKAMAT SL y A.A.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es