E-07321-2014

1/8 Expediente Nº: E/07321/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ENDESA ENERGÍA SA en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 7 de octubre de 2014 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por A.A.A., en adelante el denunciante, en la que manifiesta lo siguiente: 1. El 19 de junio de 2014 solicitó a “Endesa Online” su deseo de no continuar recibiendo más mensajes publicitarios a través del enlace “Si vols rebre més correus electrónics d’Endesa clica aquí” sobre el que hizo clic hasta en cinco ocasiones con resultados infructuosos. 2. Dado que continuó recibiendo correos electrónicos publicitarios, el 5 de septiembre de 2014 ejerció su derecho de cancelación de datos y el 8 de septiembre de 2014 recibió respuesta de “Endesa Online” en la que se le asigna a su solicitud el código ***CÓD.1 y le indican que en breve recibirá respuesta mediante notificación postal. 3. A pesar de ello, a 30 de septiembre de 2014 continúa recibiendo comunicaciones comerciales. Junto con el escrito de denuncia, el denunciante aporta copia de la siguiente documentación:

1. a)Copia de un correo electrónico remitido el 26 de mayo de 2014 por el denunciante a la cuenta ......1@endesaonline.com, en el que se reenvía un correo remitido por ......1@endesaonline.com, el 23 de mayo de 2014 en el que se le comunica a D. B.B.B. la disponibilidad de su factura y que el denunciante afirma haber recibido en su dirección de correo electrónico.
2. b)Solicitudes de oposición remitidas el 19 de junio, 24 de julio y 5 de septiembre de 2014 al buzón ......2@endesaonline.com las dos primera y ......3@endesaonline.com la última.
3. c)Correos electrónicos publicitarios recibidos el 31 de julio y 4 de septiembre de 2014.
4. d)Correo electrónico remitido por ......1@endesaonline.com el 8 de septiembre de 2014 en el que se responde a la solicitud de oposición del denunciante indicándole que ésta se ha gestionado con éxito.
5. e)Correos electrónicos publicitarios recibidos el 16, 20, 23, 29 y 30 de septiembre de 2014 Como respuesta a la solicitud de subsanación remitida por esta Agencia, con fecha de 15 de diciembre de 2012 tiene entrada en esta Agencia un escrito del denunciante en el que aporta las cabeceras completas de los correos electrónicos aportados en su anterior C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 escrito. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. El denunciante recibió en su cuenta de correo .......@yahoo.es 9 correos electrónicos remitidos desde la cuenta. ......2@endesaonline.com, con origen en la dirección IP ***IP.1, en las fechas que se indican a continuación: 24/07/2014, 31/07/2014, 04/09/2014, 16/09/2014, 20/09/2014, 23/09/2014, 29/09/2014, 30/09/2014, 02/10/2014 Los correos electrónicos contenían información comercial referente a servicios y productos de Endesa y de otras entidades. Los correos electrónicos disponen de un enlace a través del cual puede solicitarse la baja de la lista de destinatarios. 2. La dirección IP ***IP.1 es una de las direcciones que el proveedor de servicios de Internet MICRODELTA INVESTIGACION Y DESARROLLO, S.L., en adelante MICRDELTA, utiliza para prestar servicios a sus clientes. Consultados los registros de actividad de la entidad, entre el 1 de julio de 2014 y el 16 de febrero de 2015 consta el envío de los nueve correos electrónicos contenidos en la denuncia y de otros dos más remitidos los días 4 y 16 de julio de 2014. La entidad remitente de los mensajes, según le consta a MICRDELTA es ENDESA OPERACIONES Y SERVICIOS COMERCIALES S.L. 3. El dominio endesaonline.com está registrado a nombre de “ENDESA S.A.”. Al acceder al sitio web www.endesaonline.com se identifica a ENDESA ENERGÍA SA y a ENDESA ENERGIA XXI SLU como las entidades responsables de los servicios prestados a través del sitio web. 4. El 19 de febrero de 2015 se realiza una visita de inspección a ENDESA ENERGÍA SA en la que se constatan los siguientes hechos: 4.1. ENDESA ENERGIA SA proporcionan servicios de electricidad y gas en el mercado libre mientras que ENDESA ENERGIA XXI SLU se dedica a la comercialización de las tarifas denominadas “de último recurso” que están reguladas. 4.2. La gestión de los envíos publicitarios realizados desde la cuenta ......2@endesaonline.com la realiza ENDESA OPERACIONES Y SERVICIOS COMERCIALES SL en cumplimiento de un contrato firmado el 1 de julio de 2009 con ENDESA ENERGIA SA. 4.3. Las direcciones de correo electrónico ......4@endesaonline.com y ......2@endesaonline.com, únicamente se utilizan para enviar correos (notificaciones de servicio a los clientes y comunicaciones comerciales, respectivamente) y los correos electrónicos recibidos en dichas cuentas no son atendidos. En el caso del buzón ......4@endesaonline.com se informa de ello el remitente a través de una respuesta automática a su correo electrónico con el texto “El C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 buzón ......4@endesaonline.com es utilizado únicamente para la emisión de correos. Para ponerse en contacto con Endesa diríjase a www.endesaonline.com.”, tal y como ocurrió en el correo del 26 de mayo de 2014. 4.4. Tanto el denunciante como B.B.B. son clientes de ENDESA ENERGIA. En la ficha de cliente del denunciante consta como dirección de correo electrónico ........@gmail.com mientras que en la ficha de B.B.B. no consta ninguna. 4.5. En los sistema de la entidad consta que el denunciante se dio de alta en el sitio www.endesaonline.com utilizando la dirección de correo electrónico ........@gmail.com el 27 de noviembre de 2012. En los sistema de la entidad consta que B.B.B. se dio de alta en el sitio www.endesaonline.com utilizando la dirección de correo electrónico .......@yahoo.es el 14 de mayo de 2014. Se observa en la lista de solicitudes asociadas al usuario de B.B.B. tras su alta y la solicitud de envío de factura electrónica el 14 de mayo, consta una solicitud de recordatorio de clave resuelta el día 26 de mayo, la baja del servicio de factura electrónica y de usuario solicitadas el mismo 26 de mayo y por último una solicitud remitida por el denunciante el 5 de septiembre y resuelta el 8 de septiembre en la que identificándose reitera su solicitud de oposición al envío de notificaciones comerciales y solicita la cancelación de sus datos. 4.6. Los representantes de la entidad manifiestan que actualmente el alta de usuario en el sitio www.endesaonline.com requiere de una confirmación que se debe realizar a través de un enlace remitido al correo electrónico utilizado en el proceso de alta pero en el momento en que B.B.B. se dio de alta dicha confirmación no se realizaba. 4.7. En los sistemas de ENDESA ENERGIA SA constan dos solicitudes de oposición al envío de comunicaciones comerciales remitidas por el denunciante que constan como recibidas el 12 de junio de 2013 y el 8 de septiembre de 2014 (que corresponde con la recibida el 5 de septiembre descrita en el punto anterior. En la primera de ellas, el denunciante manifiesta que a pesar de haber utilizado los enlaces de baja de los correos publicitarios que recibe, continúa recibiendo envíos publicitarios y que desea no volver a recibir comunicaciones publicitarias en sus direcciones ........@gmail.com y .......@yahoo.es. En la segunda solicitud reitera que los enlaces no funcionan y que se está incumpliendo su derecho de no recibir publicidad. Ninguna de las dos solicitudes fue resuelta. La comunicación recibida por el denunciante el 8 de septiembre de 2014 informaba de que se había gestionado con éxito su solicitud, pero después indicaba que para ello había abierto una reclamación que finalmente no se resolvió. 4.8. Los representantes de la entidad manifiestan que se detectó una incidencia a finales de septiembre de 2014 que hacía que algunas de las solicitudes realizadas a través del enlace de baja incluido en los correos electrónicos del dominio endesaonline.com no se ejecutarán correctamente. El 9 de octubre de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 2014 se puso en producción una solución a dicha incidencia que asigna además un número de solicitud que permite al usuario reclamar en caso de fallo o duda. TERCERO: De las actuaciones practicadas se desprende que el denunciante se dio de alta en ENDESA online en fecha de 27/11/2012 con la dirección de correo ........@gmail.com y en fecha de 14/05/2014 utilizando la dirección de correo .......@yahoo.es correspondiente a B.B.B.. La ausencia en aquellos momentos de un mecanismo de confirmación de alta a través de correo electrónico que asegure que quien proporciona los datos es el titular de la cuenta impidió detectar y corregir el error. En relación con el envío de comunicaciones comerciales, se ha constatado que ENDESA ENERGIA recibió al menos dos solicitudes remitidas por el denunciante el 12/06/2013 y el 8/09/2014. Dicha solicitudes, fueron remitidas tras haber tratado de utilizar el medio proporcionado en los correos electrónicos que, según la propia entidad ha manifestado, debido a una incidencia ya resuelta no funcionaba correctamente en ocasiones. Por lo que de haberse atendido correctamente la solicitud de 2013, las direcciones ........@gmail.com y .......@yahoo.es deberían de haber ido excluidas de la lista de destinatarios de correos electrónicos publicitarios. El 9 de octubre de 2014 se solucionó la incidencia y por eso el denunciante no ha vuelto a recibir correos publicitarios. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en el artículo 43.1, párrafo segundo, de la LSSI, la competencia para resolver el presente Procedimiento corresponde al Director de la Agencia Española de Protección de Datos. II Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. La LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. Por su parte, en cuanto a la revocación del consentimiento o retirada de la autorización, el artículo 22.1 de la LSSI dispone que: “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos” III El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
6. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
7. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. IV Por tanto debe tenerse en cuenta también no solo la prestación de la autorización o la concurrencia de los supuestos que dispensen ésta, sino también la posibilidad de la revocación del mismo o la oposición a ser receptor de comunicaciones comerciales por medios electrónicos, debiendo tener en cuenta lo dispuesto en el art. 21.2 LSSI último párrafo respecto del ofrecimiento de un medio de oposición, que obviamente ha de ser eficaz y no presentar errores como en el caso analizado, y respecto de lo dispuesto en el art. 22.1 LSSI respecto de la revocación de la autorización prestada con la simple notificación. En el presente supuesto, ha quedado acreditado que ENDESA ENERGIA S.A., remitió comunicaciones comerciales por medios electrónicos, sin la habilitación legal necesaria, habida cuenta de que el denunciante comunico su deseo de no recibirlas en reiteradas ocasiones, ya sea en fecha de 12/06/2013 o en fecha de 08/09/2014. Ahora bien, las comunicaciones comerciales remitidas sin la habilitación legal necesaria de acuerdo con el art. 21 de la LSSI, tienen fechas que van desde el 27/07/2014 hasta el 01/10/2014, debiendo tener en cuenta el carácter de grave o leve de las infracciones y plazo de prescripción que a continuación analiza. V De conformidad con lo establecido en el artículo 38, en sus apartado 4 de la LSSI, se consideran infracciones leves las siguientes: “4. Son infracciones leves:
8. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b), se producirá una infracción de carácter grave a los efectos de la LSSI. En el presente caso se ha de considerar infracción leve ya que no se acredita un envío masivo de comunicaciones comerciales. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 En cuanto a la prescripción de las infracciones, el artículo 45 de la LSSI dispone que: las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves a los seis meses; las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año. En cuanto al cómputo del plazo de las infracciones, la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común dispone en su artículo 132.2 que: El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviera paralizado durante más de un mes por causa no imputable al presunto responsable. En el presente caso teniendo en cuenta que la última comunicación comercial recibida por el denunciante que vulnera el art. 21 de la LSSI es de fecha 02/10/2014, el dies a quo para el inicio del cómputo de la prescripción, ha de considerarse en dicha fecha, por lo que la infracción a la que da lugar estaría prescrita en fecha de 02/04/2015, procediendo al archivo de las actuaciones, sin perjuicio del derecho del denunciante de interponer nueva denuncia si continua recibiendo comunicaciones comerciales que puedan vulnerar la citada norma. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones por prescripción de la infracción del art. 21 de la LSSI, de acuerdo con su art. 45. 2. NOTIFICAR la presente Resolución a ENDESA ENERGÍA SA y a A.A.A. . De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es