← España

E-07207-2017

1/9 Expediente Nº: E/07207/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades CONDENET IBÉRICA, S.L. y EDICIONES CONDE NAST, S.A. en virtud de denuncia presentada por Dña. A.A.A.y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 29 de noviembre de 2017 , tuvo entrada en esta Agencia escrito de Dña. A.A.A. (en lo sucesivo la denunciante) exponiendo que sigue recibiendo en su cuenta de correo electrónico comunicaciones comerciales de la revista “GQ.com”, ello a pesar de no haberse dado de alta en su lista de distribución y haber solicitado, en cuatro ocasiones, la baja en la recepción de tales comunicaciones a través del formulario “date de baja” que aparece en los correos. Asimismo, la denunciante manifiesta haber cancelado la suscripción a través de la opción que ofrece el propio Gmail y haber escrito tres mensajes de baja mediante el formulario de la web de GQ. La denunciante adjunta la siguiente documentación: - Copia de una comunicación electrónica enviada con fecha 29 de noviembre de 2017 a la dirección de correo electrónico ***EMAIL.1 desde la cuenta XXX.1@info.***WEB.1, con asunto: “¿Eres foodie o gourmet? ¿Experto en comida o sólo postureo? ¿Queremos conocerte.”, en la que se promocionan las revistas de Condé Nast . En el pie del citado envío aparece la siguiente información: (El subrayado es un enlace) “Has recibido este email porque te has registrado en GQ.COM con esta dirección de email: ***EMAIL.1. Consulta la política de protección de datos en nuestra página web. Respetamos tu privacidad. Si recibes este email por error, te rogamos canceles tu suscripción. Condé Nast España, (C/...1), España.” Impresión de copia de dos mensajes procedentes www.***WEB.1/XXX.2 con el siguiente texto: (El subrayado es un enlace) de “GQ XXX.1 Parece que ha habido un error, no hemos podido darte de baja. Por favor ponte en contacto con nosotros aquí” SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 13 de diciembre de http://www.***WEB.1 comprobándose: 2017 se accede a la página web

  1. a)Que contiene un formulario de contacto en el que se recoge la siguiente información: nombre completo y correo electrónico del usuario, asunto y mensaje correspondiente al contacto. Al pie del cual hay un segundo formulario para poder registrarse en la XXX.1 del grupo GQ previa facilitación de la dirección de email del usuario, donde se recibirá información semanal sobre “Noticias, moda, planes y más”. En este formulario hay una casilla en blanco junto a la que aparece la leyenda “He leído y acepto las Condiciones de Uso así como la Política de protección de datos” “
  2. b)En el documento de “Política de Privacidad” se indica que: “Al aceptar la presente Política de Privacidad, acepta su contenido y otorga su consentimiento expreso al tratamiento automatizado de los datos personales facilitados con el fin de poder gestionar el registro de los usuarios en los Sitios Web, así como para remitirles, por cualquier medio, (incluyendo el envío de comunicaciones comerciales por correo electrónico o cualquier otro medio de comunicación electrónica equivalente como SMS, MMS) información y ofertas comerciales sobre nuestros productos y servicios, y los de otras empresas pertenecientes al Grupo Condé Nast, así como información y ofertas comerciales de productos y servicios de terceros colaboradores del mencionado grupo del sector de moda, viajes, decoración, belleza y estilo de vida” (…) Mediante la aceptación de la presente Plítica de Privacidad, conoce y acepta que CONDENET podrá poner los datos personales a disposición de otras compañías del Grupo Condé Nast, que estarán localizadas dentro del territorio nacional para las anteriores finalidades. En concreto, las sociedades pertenecientes al Grupo Condé Nast en España son Ediciones Condé Nast, S.A. y Condenet Ibérica, S.L.” - Con fecha 26 de enero de 2018 se solicita a las entidades CONDENET IBÉRICA, S.L. , (en adelante CONDENET), y EDICIONES CONDE NAST, S.A., (en adelante CONDE NAST), información acerca del origen del dato de la dirección electrónica de la denunciante utilizada para la remisión de las comunicaciones comerciales, así como sobre cuanta información pudiera aportar en relación con los hechos denunciados y las medidas adoptadas para evitar que se continuaran remitiendo comunicaciones comerciales a la citada dirección electrónica que no reunieran los requisitos de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico. TERCERO: Con fecha 8 de febrero de 2018 se registra de entrada escrito de CONDE NAST señalando, en síntesis, los siguientes extremos: - Que con fecha 9 de octubre de 2017 el usuario del correo electrónico ***EMAIL.1, se dio de alta voluntaria en la promoción publicada en la página web http://***WEB.1/XXX.3 cumplimentando el “Formulario de participación en la Promoción”, cuya modelo se adjunta en blanco. Para ello, dicho usuario aceptó las bases legales de la Promoción, en cuya cláusula 11 se informaba de las finalidades C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 de uso del correo electrónico facilitado, solicitándose el consentimiento para la finalidad de envíos de comunicaciones comerciales vía correo electrónico de publicidad propia y de terceros relacionados con CONDE NAST o con la Promoción, pudiendo negarse al uso de sus datos con esa finalidad a través de la cuenta de correo electrónico ***EMAIL.2 que se ofrecía para ejercer los derechos ARCO, y que no consta haya sido utilizada por el reseñado usuario en ningún momento. - Todos los correos electrónicos enviados al mencionado usuario incluían un medio sencillo y gratuito para darse de baja en la XXX.1 de GQ, consistente en pinchar un link que abría una pantalla que confirmaba directamente la baja. Se adjunta impresión de captura de dicha pantalla. - Que el CRM utilizado para la gestión de usuarios de XXX.1 detectó la solicitud del mencionado usuario de causar baja en la XXX.1 de GQ el día 14 de noviembre de 2017, procediéndose automáticamente a determinarlo como “inactivo”. - Se afirma que “A través de un proceso automatizado, se ejecutan las altas y bajas del CRM en la herramienta de e-mail de marketing una vez al día por la noche quedando actualizada dicha herramienta conforme a la información del CRM, sin embargo en esta ocasión coincidió con una actualización de proceso automático que utiliza la Interfaz de programación de Aplicaciones (API) que implicó el desarrollo y cambios en dicho proceso, debiendo realizar pruebas y comprobaciones de funcionamiento que impidieron la actualización automática diaria habitual tanto de las altas como de las bajas de la herramienta de e-mail marketing”. Una vez finalizadas las pruebas técnicas, se actualizó la mencionada herramienta y en ese mismo mes se dejaron de remitir comunicaciones comerciales al mencionado usuario. - Que el usuario se ha registrado a lo largo de los años 2016, 2017 y hasta el 2 de febrero de 2018 para recibir XXX.1 de las revistas propiedad de CONDE NAST, solicitando su baja en cuatro de ellas (GQ, Traveller, AD y Vanity Fair), actualizándose efectiva y automáticamente tres de ellas y retrasándose la actualización de GQ debido al hecho puntual y aislado anteriormente descrito. - CONDE NAST sólo remitió comunicaciones comerciales referidas a sus propios productos y servicios, en concreto a la revista GQ que organizó la promoción. - Concluye que la empresa cumplía con los requisitos del artículo 21 de la LSSI, resultando, de lo expuesto, que solicitó al usuario el consentimiento para envío de comunicaciones comerciales vía correo electrónico, con especificación de los sectores de actividad sobre los que se remitirían los envíos, amén de resultar de aplicación la excepción del artículo 21.2 de dicha norma. CUARTO: Con fecha 8 de febrero de 2018 se registra de entrada escrito de CONDENET señalando los siguientes extremos: - Que es filial de la entidad CONDE NAST, empresa responsable de los datos, a la que CONDENET y como entidades del mismo grupo empresarial se presan mutuamente diferentes servicios. CONDENET presta como encargada del tratamiento a CONDE NAST, entre otros, servicios digitales de gestión de promociones en las páginas web de las revistas de CONDE NAST. Se adjunta copia de “Contrato Mutuo de Tratamiento de Datos por Cuenta de Terceros” firmado entre ambas entidades con fecha 24 de junio de 2011. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 - Que CONDENET gestionó una promoción de CONDE NAST que estuvo vigente desde el 2 al 14 de octubre de 2017, consistente en regalar un ejemplar de la revista GQ (propiedad de CONDE NAST) a todos los participantes hasta agotar existencias, y que se publicó en la página web http://***WEB.1/XXX.3. - Que CONDENET no ha tratado los datos de la denunciante ni de otro usuario con finalidades propias, sino para prestar el servicio contratado por CONDE NAST siguiendo las instrucciones del mismo como responsable de los datos. - Que no ha recibido en el correo electrónico ***EMAIL.2 establecido a los efectos de los derechos ARCO ninguna solicitud de baja del correo electrónico del que es usuario la denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI). II El artículo 37 de la LSSI establece como sujetos sobre los que impone su régimen sancionador a “los prestadores de servicios de la sociedad de la información”. Para determinar qué sujetos se ajustan a dicha definición, ha de acudirse a lo dispuesto en el Anexo de la citada ley, que define al “Prestador de servicios” (apartado,) “como la persona física o jurídica que proporciona un servicio de la sociedad de la información”. Lo que se completa con la definición que sobre “Servicios de la sociedad de la información o servicios” ofrece el apartado a), del Anexo: “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1. La contratación de bienes o servicios por vía electrónica. 2. La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3. La gestión de compras en la red por grupos de personas. 4. El envío de comunicaciones comerciales. 5. El suministro de información por vía telemática.” III Por su parte, el artículo 21 de la LSSI, señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” (el subrayado es de la Agencia Española de Protección de Datos) El artículo 38.4.
  3. d)de la LSSI tipificada como infracción leve: “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”, pudiendo ser sancionada con multa de hasta 30.000 euros, de acuerdo con el artículo 39.1.
  4. c)de la misma norma. IV En el presente caso, de la valoración conjunta de los elementos fácticos obrantes en el expediente de actuaciones previas de investigación tramitado, se desprende que la entidad CONDE NAST no ha probado contar con el consentimiento previo y expreso de la denunciante para remitirle a su dirección de correo electrónico comunicaciones comerciales de publicidad propia y de terceros relacionados con la empresa. Téngase en cuenta que CONDE NAST no ha aportado ningún medio de prueba acreditativo, ni tan siquiera a nivel indiciario, de la cumplimentación por parte de la denunciante, usuaria de la dirección de correo electrónico ***EMAIL.1, del “Formulario de participación en la Promoción” que fue publicada, según ha señalado en la página web http://***WEB.1/XXX.3. La aportación de un ejemplar en blanco del citado formulario no prueba que el correo electrónico de la denunciante fuera facilitado por la misma al cumplimentar voluntariamente dicho documento con fecha 9 de octubre de 2017, como tampoco acredita que la denunciante aceptara las bases legales supuestamente asociadas a dicha promoción, cuyo clausulado se desconoce al no haberse aportado copia de las mismas ni de su efectiva publicación en la mencionada página web en las fechas señaladas por CONDE NAST. Se trata, por tanto, de meras manifestaciones de parte que no están avaladas por ningún medio de prueba que permita acreditar el alta voluntaria en la promoción y la aceptación de las condiciones legales de la misma. A este respecto se recuerda que la denunciante ha negado haber contactado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 con la revista GQ o haber solicitado el envío de información comercial. Sobre esta cuestión referente a la carga de la prueba, resulta significativo traer a colación el criterio mantenido por la Audiencia Nacional en la Sentencia de fecha 17 de mayo de 2007, Recurso 157/2005, en el que, respecto de un caso que también afectaba al incumplimiento de lo previsto en el artículo 21 de la LSSI, se arguyó que: “En caso de que los afectados hubieran negado haber otorgado dicho consentimiento, que la Ley no exige que sea escrito, correspondería al denunciado probar su existencia, como ha reiterado esta Sala en relación con el tratamiento inconsentido de datos.” Asimismo, debe rechazarse que en este caso se produzca la excepción del artículo 21.2 de la LSSI, toda vez que no hay constancia probada de la existencia de una relación contractual previa entre la denunciante y la empresa CONDE NAST, no teniendo tal naturaleza la relación que pueda derivar de la cumplimentación de un formulario de una promoción o el alta en una XXX.1 para recibir información comercial. A tenor de todo lo cual, las comunicaciones comerciales que la entidad CONDE NAST ha reconocido haber remitido a la usuaria de la dirección de correo electrónico ***EMAIL.1, entre las que se encuentra la de fecha 29 de noviembre de 2017 adjuntada a la denuncia, fueron enviadas sin mediar solicitud previa ni autorización expresa de la denunciante para ello. Tal conducta constituye por parte de la reseñada empresa una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  5. d)de la citada norma, precepto que califica como tal: “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”, pudiendo ser sancionada con multa de hasta 30.000 euros, de acuerdo con el artículo 39.1.
  6. c)de la LSSI. V El artículo 39 bis de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: “1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  7. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
  8. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  9. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  10. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  11. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  12. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  13. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” A este respecto, procede tener en cuenta los criterios establecidos en el artículo 40 de la misma norma, cuyo tenor literal es el siguiente: “Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  14. a)La existencia de intencionalidad.
  15. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  16. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  17. d)La naturaleza y cuantía de los perjuicios causados.
  18. e)Los beneficios obtenidos por la infracción.
  19. f)Volumen de facturación a que afecte la infracción cometida.
  20. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En el presente supuesto se cumplen los requisitos recogidos en el citado apartado 2 del artículo 39 bis. Trasladando las consideraciones precedentes al supuesto que analizamos se observa que la presunta infracción de la LSSI de la denunciada, constituiría una infracción “leve”; que esa entidad no ha sido sancionada o apercibida por la AEPD en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 39 bis 1 de la LSSI, teniendo en cuenta la ausencia de intencionalidad, la falta de constancia de beneficios obtenidos y de perjuicios ocasionados por la infracción. VI En todo caso, debe señalarse que, si bien estamos ante comunicaciones comerciales no solicitadas, ya que se remitieron sin autorización expresa de su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 destinataria, lo que significaría la concurrencia de una actuación infractora por parte de la entidad responsable de los envíos, ésta al tener noticia de los hechos aquí expuestos, ha comunicado a esta Agencia que había procedido a dar de baja la cuenta de correo de la denunciante en la XXX.1 de GQ. Pues bien, en atención a las citadas circunstancias se considera necesario subrayar que la Audiencia Nacional, en su Sentencia de 29 de noviembre de 2013, (Rec. 455/2011), Fundamento de Derecho Sexto, a propósito de la naturaleza jurídica de esta figura, que pese a referirse al apercibimiento regulado en el artículo 45.6 de la LOPD tiene plena aplicación al apercibimiento regulado por la LSSI, advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD (estas consideraciones deben entenderse hechas, por lo que aquí respecta, al artículo 39 bis, 2 de la LSSI) confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento -como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella- cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando las medidas correctoras pertinentes ya hubieran sido adoptadas, lo procedente en Derecho será acordar el Archivo de las actuaciones. En el presente caso y teniendo en cuenta las circunstancias del mismo, este organismo está facultado para, en lugar de iniciar la apertura de un procedimiento sancionador, apercibir al denunciado a fin de que adopte las oportunas medidas correctoras. Sin embargo, en base a los principios de intervención mínima y proporcionalidad que informan la capacidad de actuación de esta Agencia y teniendo en cuenta que las medidas correctoras que procedería imponer fueron ya adoptadas por iniciativa propia, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la SAN de 29/11/2013 (Rec. 455/2011) debe acordarse el Archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a EDICIONES CONDE NAST, S.A. y a Dña. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.