E-06635-2015

1/12 Expediente Nº: E/06635/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ACADEMIA TÉCNICA UNIVERSITARIA, S.L., en virtud de la denuncia presentada por GYL OPTOMETRISTAS, CB, y en consideración a los siguientes HECHOS PRIMERO: Con fecha 21/09/2015 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de GYL OPTOMETRISTAS, CB, (en lo sucesivo la denunciante o GYL OPOTMETRÍSTAS) en el que expone que desde hace meses recibe correos electrónicos publicitarios del Grupo ATU –ACADEMIA TÉCNICA UNIVERSITARIA, S.L.– ( en lo sucesivo, la denunciada o GRUPO ATU) pese a que no les ha facilitado su dirección electrónica ni ha autorizado su tratamiento y pese a que comunicó a la denunciada, mediante un mensaje de fecha 02/09/20015, la oposición a recibir comunicaciones publicitarios en su dirección electrónica. Aporta copia de los dos emails recibidos en su dirección ....@gmail.com desde cursosvalladolid@...... , el 02/09/2015 y 16/02/2015, en los que se publicitan cursos gratuitos para trabajadores y autónomos del sector del comercio y desempleados. En ambos mensajes consta la dirección electrónica “cursosvalladolid@...... , dos números de teléfono, la página www.grupo.atu.com y la siguiente leyenda: “Usted podrá ejercitar los derechos de acceso, rectificación, cancelación u oposición, dirigiéndose al Responsable del Fichero: Academia Técnica Universitaria, S.L, (Ref. Protección de Datos) (C/....1)”. Ninguno de los correos electrónicos recibidos por la denunciante incluye un enlace de baja. La denunciante, en respuesta al requerimiento informativo de la Inspección de Datos para que facilitara las cabeceras de los correos electrónicos recibidos, remitió a la AEPD las del email de fecha 02/09/2015. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ANTECEDENTES Con fecha de 21 de septiembre de 2015 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por B.B.B., en adelante el denunciante, en la que manifiesta lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Llevan meses recibiendo emails de publicidad del "Grupo ATU" sobre cursos (adjuntan copia de los emails). En ningún momento han dado sus datos a esta empresa ni les han autorizado a que los usen. Pese a esto les contestaron a un email suyo pidiéndoles que por favor dejasen de mandar publicidad o denunciarían ante la AGPD, pero lo han ignorado y han seguido mandando publicidad. Como respuesta a la solicitud de subsanación remitida por esta Agencia, con fecha de 23 de octubre de 2015 tiene entrada en esta Agencia un correo electrónico del denunciante en el que aporta las cabeceras completas de uno de los correos electrónicos aportados en su anterior escrito. HECHOS CONSTATADOS 1. El denunciante recibió en su cuenta de correo ....@gmail.com el correo electrónico cuyas características se listan a continuación. Cuenta origen IP origen Fecha Hora cursosvalladolid@...... ***IP.1 2/9/2015 13:50 Aporta otro correo electrónico que manifiesta haber recibido, procedente de cursosvalladolid@......, en el que consta la fecha 16 de septiembre de 2015, del cual no aporta cabeceras de internet. Los correos electrónicos contenían información comercial referente a convocatorias de cursos de formación. Los correos electrónicos no disponen de información sobre el cómo solicitar la baja de la lista de destinatarios. 2. El dominio ...... está registrado a nombre de Programación y Desarrollo, S.L. 3. En respuesta a la solicitud de información realizada por el inspector actuante, los representantes de ACADEMIA TECNICA UNIVERSITARIA, S.L. remitieron un escrito en el que manifestaron, en referencia al envío del correo electrónico en cuestión, que: 3.1. ACADEMIA TÉCNICA UNIVERSITARIA, S.L. es una entidad cuyo objeto social principal es la realización de actividades de formación. Entre dichas actividades está la ejecución de planes de formación de ámbito estatal y dirigido prioritariamente a personas ocupadas. Como consecuencia de dicho objeto es necesario realizar una labor prescriptora de alumnos que cumplan las condiciones requeridas en el citado plan, es decir trabajadores del sector comercio. En esa acción comercial para la búsqueda de alumnos del plan de formación se han llevado a cabo varias campañas comerciales donde se han visitado gran cantidad de comercios y empresas. Entregando información sobre los cursos ofertados y solicitando datos de las empresas visitadas para remitirles, por correo electrónico, más detalle de las actividades formativas dirigidas a trabajadores del sector comercio. Como consecuencia de esas visitas comerciales se tiene, entre otras muchas, la tarjeta de visita del negocio que realiza la denuncia y que se entregó a la persona comercial de nuestra entidad, dando su aprobación verbal para que le pudiera remitir comunicaciones comerciales por correo electrónico. Aportan fotocopia de la tarjeta comercial de la citada empresa, que incluye además de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 dirección postal y teléfono la dirección electrónica ....@gmail.com, siendo este el origen de la dirección de correo electrónico utilizada para la realización de los envíos. 3.2. Les consta que la empresa denunciante les remitió dos correos electrónicos solicitando la baja en su base de datos. Uno de ellos el 2 de septiembre de 2015 respondiendo al correo electrónico enviado por ACADEMIA TÉCNICA UNIVERSITARIA, S.L. y otro el 6 de octubre de 2015 a otra dirección de correo electrónico de la empresa (empresas@......). Aportan copia de dichos correos Fue en el segundo envío (06/10/2015) por parte de la denunciante cuando se tomaron las medidas acordes para cumplir con lo solicitado. Aportan copia del reenvío del correo electrónico que se hizo a la delegación de Valladolid, donde se gestionaba el envío de correos electrónicos a las empresas de dicha dudad, y se manda eliminar su correo electrónico realizándose el mismo día 6 de octubre de 2015. 3.3. A raíz de esta solicitud de información se ha decidido centralizar los envíos de correo electrónico publicitarios a un departamento interno de la empresa, con contacto directo con los consultores de protección de datos de la empresa externa que realiza las revisiones y auditorías, donde se revisará cada caso en concreto de las campañas de marketing a realizar por comunicaciones electrónicas. Se ha creado la cuenta de correo electrónico lopd@...... que se utilizará para incorporarla en los comunicaciones publicitarias electrónicas y se gestione con mayor control y atención los solicitudes de los destinatarios. Manifiestan que se ha registrado el día 19 de enero esta incidencia en el Documento de Seguridad contemplando las medidas correctoras aplicadas mencionadas anteriormente.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en lo sucesivo, LSSI) que atribuye a la Agencia Española de Protección de Datos la competencia para sancionar por la comisión de las infracciones graves y leves tipificadas en los artículos 38.3.c),

1. d)e
2. i)y 38.4.d),
3. g)y
4. h)de la LSSI, respectivamente. II Actualmente se denomina “spam” a todo tipo de comunicación no solicitada hecha por vía electrónica y que normalmente tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. El bajo coste del envío de mensajes vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones han permitido que esta práctica se realice de forma abusiva e indiscriminada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 El envío de publicidad a través de medios electrónicos requiere la autorización expresa del destinatario conforme a lo dispuesto en el artículo 21 de la LSSI. Este precepto obliga al prestador del servicio a ofrecer al destinatario de una comunicación comercial los medios para oponerse al tratamiento de sus datos con tal finalidad y le exige que cuando la comunicación comercial se realice mediante correo electrónico tales medios sean, necesariamente, la inclusión en cada una de las comunicaciones comerciales de una dirección de correo electrónico u otra dirección electrónica válida. El artículo 21 de la LSSI establece: “Prohibición de comunicaciones comerciales no solicitadas realizadas a través de correo electrónico o medios de comunicación electrónica equivalente. 1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección” (El subrayado es de la AEPD) El artículo 22 de la LSSI, “Derechos de los destinatarios de servicios”, dispone: “1.El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos. (…)” (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 La infracción de los artículos 21 y 22 de la LSSI se tipifica como infracción grave, respectivamente, en los artículos 38.3.
5. c)y 38.3.
6. d)y como infracción leve en los artículos 38.4.
7. d)y 38.4.
8. h)respectivamente. El apartado
9. f)del Anexo de la LSSI, “Definiciones”, entiende por “Comunicación comercial” “toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica.” III El artículo 37 de la LSSI sujeta a su régimen sancionador a “los prestadores de servicios de la sociedad de la información”. El Anexo de la LSSI, apartado c), define al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información entiende el apartado
10. a)del Anexo “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. No tendrán la consideración de servicios de la sociedad de la información los que no reúnan las características señaladas en el primer párrafo de este apartado y, en particular, los siguientes: (….)” El dominio “grupoatu”, desde el que se remitieron las comunicaciones comerciales objeto de la presente denuncia, es propiedad de ACADEMIA TÉCNICA UNIVERSITA, S.L. Así pues, esta sociedad tiene la condición de prestadora de servicios y queda sujeta al régimen sancionador de la LSSI. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 La denuncia que examinamos versa sobre las comunicaciones comerciales que la denunciante ha recibido del Grupo ATU en su dirección electrónica, ....@gmail.com , pese a que en ningún momento les facilitó la dirección electrónica ni autorizó su tratamiento con fines promocionales . En prueba de los hechos que denuncia ha remitido a la AEPD copia de los dos email que recibió de la denunciada en su correo electrónico el 02/09/2015 y 16/02/2015. Ambos mensajes publicitan cursos de formación, que es la actividad empresarial a la que se dedica la sociedad denunciada, por lo que los mensajes tienen la naturaleza de comunicaciones comerciales en el sentido en el que se definen en el Anexo de la LSSI, apartado f). Respecto al primero de ellos (de fecha 02/09/2015), la denunciante, en respuesta al requerimiento de la Inspección de la AEPD, ha aportado la copia de las cabeceras de internet que revelan que dicha comunicación se envió a su dirección electrónica desde la cuenta cursosvalladolid@...... , a las 13.30 horas del 02/09/2015, siendo la dirección IP de origen ***IP.1. En relación al email de fecha 16/02/2015, que procede también de la cuenta cursosvalladolid@......, la denunciante no ha aportado las cabeceras. Pese a ello, no hay razones para poner en tela de juicio que el Grupo ATU hubiera enviado también este correo. Hay que indicar sobre este particular que la denunciada no negó haber enviado a la denunciante el citado email cuando la Inspección de Datos le solicitó el 12/01/2016 que acreditara el consentimiento otorgado por el titular de la dirección electrónica ....@gmail.com para recibir las comunicaciones de las que la AEPD le daba traslado, los correos electrónicos que la denunciante recibió el 02/09/2015 y 16/09/2015. El examen de los correos que la denunciante recibió desde cursosvalladolid@...... , en los que se publicitaban cursos de formación para empleados del sector del comercio, pone de manifiesto que en ellos no se ofreció al destinatario un medio de oposición (ex artículo 21.2 LSSI) o de revocación del consentimiento prestado (ex artículo 22.1 LSSI), medio que necesariamente había de consistir en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida en la que ejercitar esos derechos. Como se recoge en el Hecho Primero de esta resolución lo único que consta al pie de la comunicación publicitaria es la dirección electrónica “cursosvalladolid@...... , dos números de teléfono, la página www.grupo.atu.com y la siguiente leyenda: “Usted podrá ejercitar los derechos de acceso, rectificación, cancelación u oposición, dirigiéndose al Responsable del Fichero: Academia Técnica Universitaria, S.L, (Ref. Protección de Datos) (C/....1)”. La leyenda transcrita que se incluía en las comunicaciones publicitarias objeto de la presente denuncia no cumplía las exigencias de la LSSI. Por otra parte, aunque los mensajes publicitarios contenían una dirección de correo electrónico y una página web, no informaban al destinatario de la comunicación que esas eran las vías a través de las cuales podía oponerse al tratamiento o revocar el consentimiento prestado al envío los mensajes publicitarios. V A. Llegados a este punto, la primera de las cuestiones que corresponde analizar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 es la relativa a si la denunciada contaba o no con el consentimiento de la denunciante para remitirle comunicaciones comerciales. Consentimiento que exige el artículo 21.1 de la LSSI, que prohíbe las comunicaciones que “previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios”. Consentimiento que debe ser expreso, lo que se contrapone a consentimiento tácito, pero que a su vez puede ser verbal o escrito. El denunciante ha declarado rotundamente que no facilitó sus datos de contacto a la entidad denunciada ni autorizó su uso. Sin embargo, el Grupo ATU, en respuesta al requerimiento informativo de la Inspección de la AEPD, ha explicado que su objeto social es la realización de actividades de formación de ámbito estatal dirigidas prioritariamente a personas ocupadas y que necesita llevar a cabo una labor comercial para la búsqueda de alumnos del plan de formación. Ha precisado que en el desarrollo de las campañas comerciales llevadas a cabo se han visitado gran cantidad de comercios y empresas , se ha entregado información sobre los cursos ofertados y se han solicitado datos de las empresas visitadas para remitirles por correo electrónico más detalles de las actividades formativas dirigidas a trabajadores del sector del comercio. La denunciada ha añadido que, como consecuencia de estas visitas, dispone, entre otras muchas, de la tarjeta de visita del denunciante que le fue entregada al comercial de su entidad dándole su aprobación verbal para que le pudiera remitir comunicaciones comerciales por correo electrónico. En prueba de sus afirmaciones la denunciada ha remitido a la AEPD una copia de la tarjeta de visita de la denunciante en cuyo texto, que reproducimos a continuación, consta la dirección electrónica destinataria de las comunicaciones comerciales que nos ocupan: “G&L Optometristas .óptica deportiva .óptica infantil .control de miopía . presión intraocular . topografía corneal. (C/....2), Valladolid tlf: ***TEL.1 e-mail: ....@gmail.com”. Respecto a si la denunciada, GRUPO ATU, contaba con el consentimiento de la denunciante para remitirle comunicaciones publicitarias de sus productos por el hecho de que, con ocasión de la visita que le hizo el comercial de la empresa denunciada, le hubiera entregado una tarjeta en la que figuraba la dirección electrónica de contacto, procede traer a colación la Sentencia de la Audiencia Nacional, Sala de lo Contencioso Administrativo, de 17/05/2007 (Rec. 157/2005). Los razonamientos que la Sala de lo Contencioso Administrativo del Tribunal hace en dicha Sentencia, en la que se estimó el recurso contencioso interpuesto, se anuló la resolución sancionadora de la AEPD y se dejó sin efecto la sanción impuesta, son extrapolables al asunto que nos ocupa. En su Fundamento de Derecho Quinto la SAN dice: “Es de reseñar, frente a lo señalado en la resolución recurrida, que la entrega por una persona de una tarjeta de visita en la que consta su dirección de correo electrónico, en un contexto como es la feria del SIMO, a la que para promocionar su producto acudió el denunciado, con el que contactó la persona en cuestión por estar interesada en el mismo, impide que se pueda tener por acreditado a efectos sancionadores la falta de consentimiento. (….) en el caso concreto atendiendo las circunstancias existentes, existe un consentimiento previo o autorización expresa, que no es necesario que figure por escrito, para la remisión de una comunicación comercial con un producto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 promocionado en la citada feria”. En este mismo Fundamento de Derecho la Sala de la Audiencia Nacional reitera lo argumentos anteriores para responder al alegato de la Abogacía del Estado: “En contra de lo argumentado por la resolución recurrida, la entrega de una tarjeta que contiene la dirección e-mail , precisamente en una feria de ámbito comercial en que el demandado promociona su producto, evidencia que, además del teléfono y la dirección postal, quien la entrega consiente en que se dirijan comunicaciones comerciales a dicha dirección de e-mail en relación con el mencionado producto. A la vista de lo expuesto, no puede hablarse de vulneración de lo dispuesto en el artículo 21.1 de la LSSI ya que si bien se remitió una comunicación comercial a la dirección ******.es , se contaba con autorización para ello”. (El subrayado es de la AEPD) Trasladando las reflexiones precedentes al supuesto que analizamos se concluye que la denunciante había otorgado su consentimiento -a través de la entrega de la tarjeta que recogía la dirección electrónica- para que le remitieran información más detallada sobre las actividades formativas dirigidas a trabajadores del sector comercio. Por tanto, por lo que respecta a la primera comunicación comercial vía email que la denunciante recibió de la denunciada (el correo electrónico de fecha 02/09/2015) no se aprecia infracción del artículo 21.1 de la LSSI Antes de entrar a valorar si el segundo de los mensajes electrónicos que recibió la denunciante (el 16/09/2015) vulnera la LSSI, es necesario referirse a la oposición que comunicó a la denunciada al objeto de que no tratara su dirección electrónica con fines promocionales. La denunciante, GYL OPTOMETRISTAS, ha facilitado a la AEPD copia de un mensaje electrónico enviado el 02/09/2015 a las 14:16 horas desde su dirección electrónica, ....@gmail.com” a cursosvalladolid@...... con el siguiente texto: “Por favor, rogamos nos den de baja de sus ficheros a lo cual tenemos derecho según la ley de protección de datos, si seguimos recibiendo emails lo comunicaremos directamente a la AGPD”. La denunciada, ha reconocido haber recibido de la denunciante tanto ese correo como otro posterior, de fecha 06/09/2015, enviado a la dirección empresas@......, con el siguiente texto: “…nos hemos dirigido a Lía Gonzáles Zarza de su departamento de formación en Valladolid para que borre nuestros datos de su base y deje de mandarnos publicidad de sus cursos. En ningún momento les hemos facilitado nuestros datos y mucho menos autorizarles a usarlos. Ya lo hemos comunicado a la AEPD, pero insistimos en que dejen de enviarnos publicidad….” Reconoce también que fue a raíz de recibir este segundo email cuando dio la orden de eliminar de sus registros la dirección electrónica de la denunciante. La denunciada ha reconocido haber recibido ambos correos electrónicos y afirma que fue a raíz de recibir el segundo cuando dio la orden de eliminar la dirección electrónica de la denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 Así las cosas, sobre la premisa de que la denunciante había consentido expresamente recibir publicidad de la denunciada a través de su dirección electrónica, en tanto había entregado su tarjeta de visita al comercial de la empresa denunciada, a través del correo electrónico en el que solicitó al Grupo ATU que dieran de baja de sus ficheros sus datos para no recibir comunicaciones comerciales -email que envió el 02/09/2015 a las 14:16 horas ( recordemos que el mensaje comercial lo recibió a las 13:50 de ese mismo día)- revocó el consentimiento inicialmente otorgado ( ex artículo 22.1 de la LSSI). Respecto al tiempo máximo de que dispone el prestador del servicio para actualizar los datos tratados, en defecto de disposición expresa en la LSSI y en consideración a la remisión que el artículo 19 de la LSSI hace a la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) y a su normativa de desarrollo, hemos de acudir al Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD) cuyo artículo 17.2, relativo a la revocación del consentimiento, fija un plazo de diez días para el cese en el tratamiento de los datos. Teniendo en cuenta que el GRUPO ATU ha reconocido haber recibido el correo electrónico que la denunciante le envió el 02/09/2015 en el que revocaba el consentimiento para el tratamiento de su dirección electrónica con fines promocionales, y puesto que envió a la denunciante un nuevo correo comercial el 16/09/2015, cuando se había superado con creces el plazo de diez días computado desde el 02/09/2015, hay que concluir que el prestador del servicio no estaba legitimado para el envío de esa comunicación comercia pues no contaba ya con el consentimiento de la destinataria y actual denunciante. De lo anterior resulta que el email comercial que el GRUPO ATU envió a la denunciante el 16/09/2015 vulnera el artículo 21.1 de la LSSI, conducta que es subsumible en el tipo sancionador del artículo 38.4.
11. d)de la Ley 34/2002. El citado precepto dispone: “Son infracciones leves: (…)
12. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. B. La segunda de las cuestiones que a analizar es la relativa a la presunta infracción del artículo 22.1 de la LSSI por parte del GRUPO ATU. Como se ha expuesto en el Fundamento IV, ninguno de los mensajes publicitarios que la denunciada envió a la denunciante (de 02/09/2015 y 16/09/2015) incluyó un medio de revocación del consentimiento prestado (ex artículo 22.1 LSSI). Aunque es cierto que en las comunicaciones promocionales recibidas se incluía una dirección electrónica y una página web, no se informaba al destinatario que éstas eran las vías a través de las cuales podía revocar el consentimiento prestado al envío de comunicaciones comerciales u oponerse a tales envíos de conformidad con lo prevenido en la LSSI. El incumplimiento de la obligación impuesta por el artículo 22.1 de la LSSI constituye una infracción leve tipifica en su artículo 38.4.h), precepto que dispone: “Son C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 infracciones leves: (…)
13. h)El incumplimiento de la obligación del prestador de servicios establecida en el apartado 1 del artículo 22, en relación con los procedimientos para revocar el consentimiento prestado por los destinatarios cuando no constituya infracción grave”. VI En el presente supuesto, la valoración conjunta de las actuaciones practicadas y la documentación obrante en el expediente pone de manifiesto que la conducta de ACADEMÍA TÉCNICA UNIVERSITARIA, S.L., que se somete a la valoración de este organismo podría ser constitutiva de sendas infracciones de los artículos 21.1 y 22.1 de la LSSI, tipificadas como infracciones leves, respectivamente, en los artículos 38.4.
14. d)y 38.4.h). Dicho lo cual, debe tenerse en cuenta lo dispuesto en el artículo 39 bis de la Ley 34/2002, que bajo la rúbrica “Moderación de sanciones” dispone: “1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
15. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
16. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
17. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
18. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
19. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
20. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
21. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 La denunciada no ha sido sancionada o apercibida por la AEPD anteriormente como consecuencia de infracciones previstas en la LSSI. Se suma a ello que ha manifestado que fue un error involuntario no haber respondido al primer email que le envió la denunciante oponiéndose al tratamiento de su dirección electrónica con fines comerciales y que ha llevado a cabo a través de una consultora externa revisiones y auditorías en materia de protección de datos para la adecuada aplicación de la normativa. Expone también que, a raíz de los hechos que han dado lugar al expediente que nos ocupa, ha adoptado diversas medidas como centralizar los envíos de mensajes publicitarios en un departamento interno de la compañía, que tiene contacto directo con la consultora de protección de datos que lleva a cabo las revisiones y auditorías, que revisará cada asunto que surja en las campañas de marketing que se hagan a través de comunicaciones electrónicas. Sobre este particular añaden que han creado la cuenta lopd@...... ,que se incorporará en las comunicaciones publicitarias que efectúen por vía electrónica a fin de gestionar las solicitudes de los destinatarios. En el presente caso se aprecia una cualificada disminución de la culpabilidad de la entidad como consecuencia de la concurrencia de varios de los criterios contemplados en el artículo 40 de la LSSI (artículo 39 bis.1.a,). En particular, ausencia de intencionalidad (apartado a del artículo 40), como lo demuestra que la denunciada haya incluido en su página web la información omitida –medio de baja-, el breve periodo de tiempo que transcurrió desde la revocación del consentimiento de la denunciante y el envío de un nuevo mensaje publicitario (apartado
22. b)y que de los hechos examinados no se infiere que se hayan generado perjuicios apreciables ni que la denunciada haya obtenido de ello beneficios (apartados d, y e,) En resumen, a tenor de las reflexiones anteriores, las infracciones de la LSSI de las que se responsabiliza a la denunciada son “leves”; no ha sido sancionada o apercibida por este organismo en ninguna ocasión anterior y concurre la circunstancia descrita en el artículo 39.bis, 1.a, en relación con el artículo 40, apartados a, b, d, y e. Todo ello, unido a la naturaleza de los hechos que nos ocupan, justifica que la AEPD, al amparo del artículo 39.bis, 2, de la LSSI, opte por no acordar la apertura de un procedimiento sancionador y, en su lugar, apercibir al sujeto responsable. Ahora bien, puesto que la denunciada, nada más tener conocimiento de los hechos, adoptó las medidas correctoras necesarias para adecuar su conducta a las obligaciones que le imponen los artículos 22.1 y 21.2 de la LSSI, es obligado referirse al criterio seguido por la Audiencia Nacional en su Sentencia de 29/11/2013 (Rec. 455/2011), que pese a haberse dictado en un supuesto al que era aplicable la LOPD el pronunciamiento que recoge es totalmente válido respecto al apercibimiento regulado en la LSSI al que se alude en la presente resolución. A propósito de la naturaleza jurídica del apercibimiento regulado en el artículo 45.6 de la LOPD [por lo que aquí interesa, debemos entender artículo 39 bis, 2 de la LSSI] la SAN DE 29/11/2013 indica que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN precitada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. Como ya se ha dicho, la denunciada ha adoptado las medidas correctoras necesarias para adecuar su conducta a las obligaciones que le imponen los artículo 21.2 y 22.1 de la LSSI. Así pues, a la luz del pronunciamiento de la SAN de 29/11/2013 (Rec. 455/2011) referente al supuesto en el que el presunto infractor ha adoptado las medidas correctoras oportunas, tomando en consideración las circunstancias que concurren en el presente caso, se acuerda el archivo de las actuaciones de investigación practicadas en relación con ACADEMIA TÉCNICA UNIVERSITARIA, S.L. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a ACADEMIA TÉCNICA UNIVERSITARIA, S.L., y a GYL OPTOMETRISTAS, CB. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es