E-07392-2013

1/6 Expediente Nº: E/07392/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la(

1. s)entidad(
2. es)AGORA CONTROL Y GESTION EMPRESARIAL, S.L., SINERTEC GROUP, S.L. en virtud de denuncia presentada por Don A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 6 de noviembre de 2013, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que ponía en conocimiento de esta AEPD los siguientes “hechos” en orden a su adecuación al marco normativo vigente en materia de protección de Datos: “Tras pedir una información comercial a través de la web www. Centralita. Panasonic.es empiezan a llegar correos de Spam para los cuales no se ha autorizado, aún con repetidas solicitudes de baja de las listas de correo (…)”—folio nº 1--. Junto con la denuncia se aportan capturas de pantalla de dos respuestas a solicitudes de baja recibidas los días 31 de octubre y 1 de noviembre de 2013, además de varios correos electrónicos publicitarios y distintas partes del sitio web promociones.tumejoroferta.es. En estas últimas capturas se añade un comentario en el que indica que no se identifica a la entidad responsable del sitio web. Como respuesta a la solicitud de subsanación remitida por esta Agencia, con fecha de 09/12/13 tiene entrada en esta Agencia, a través de su sede electrónica, una escrito de subsanación del denunciante en el que aporta los cuerpos y las cabeceras completas de los correos electrónicos recibidos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. En el sitio web www.centralita-panasonic.es tiene una política de privacidad que se ha de aceptar al solicitar información comercial. En dicha política se indica que “Por la presente cláusula el usuario presta su pleno consentimiento a SINERTEC GROUP S.L. para la cesión de sus datos a otras empresas del grupo con el fin de mejorar la prestación de todos los servicios que a continuación detallamos y con el fin de que pueda proceder al envío al usuario de información y publicidad sobre productos y servicios de nuestro grupo empresarial por correo electrónico, fax o por otros medios de comunicación electrónica equivalentes, por lo que los datos referentes a los mismos serán utilizados para llevar a cabo dichas comunicaciones, y ello al amparo de lo establecido en la Ley 34/2002 de 11 de Julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, y a la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones. No obstante, le informamos que podrá revocar el consentimiento, en cada comunicado comercial o publicitario que se le haga llegar, y en cualquier momento, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 mediante notificación a SINERTEC GROUP S.L. bien sea dirigiéndose a nuestra dirección que al final indicamos o a través del correo electrónico ...@....”. En la política de privacidad no se indica cuáles son las empresas del grupo 2. El denunciante aporta copias de los correos electrónicos recibidos en respuesta a sus solicitudes de baja. 2.1. Correo electrónico recibido el 31 de octubre de 2013 remitido desde ...1@... en el que se confirma la baja del boletín “Agora II”. 2.2. Correo electrónico recibido el 1 de noviembre de 2013 remitido desde ..@...jazztel.... en el que se confirma la baja del boletín “Agora”. 3. El denunciante recibió en su cuenta de correo .....@arkidos.com los correos electrónicos cuyas características se listan a continuación. Cuenta origen Fecha Hora ..@...jazztel.... 01/11/2013 ......@tumejoroferta.es 11/11/2013 12:06 14:14 orangea...@....... 14/11/2013 13:33 .....@ofertasplus.es 14/11/2013 21:03 ......@ofertaono.... 18/11/2013 13:04 smartphone@...... 26/11/2013 11:31 A pesar de proceder de distintas direcciones de correo electrónico, todos los correos tiene como origen la dirección IP ***IP.1. Los correos electrónicos contenían información comercial referente a servicios y productos de productos y servicios de comunicaciones de distintas operadoras. Los correos electrónicos disponen de información sobre el cómo solicitar la baja de la lista de destinatarios en forma de enlace. El cuerpo de los correos electrónicos, además de información promocional, contienen enlaces y tanto éstos como los de baja apuntan a páginas alojadas en el dominio promociones.tumejoroferta.es. En los cuerpos de los dos correos remitidos los días 14 de noviembre se identifica como anunciante a AGORA CONTROL Y GESTION EMPRESARIAL SL, mientras que en el correo remitido el 18 de noviembre se indica que el envío ha sido realizado por ésta misma entidad. En el cuerpo del correo remitido el 26 de noviembre se identifica como anunciante a ADSL HOUSE SL. 4. La dirección IP ***IP.1 está asignada a la sociedad ECIRCLE GmbH, con sede en Alemania. ECIRCLE GmbH es una sociedad cuyo principal servicio es uno de envío masivo de correos electrónicos y gestión de campañas de marketing digital. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 5. El dominio tumejoroferta.es está registrado a nombre de B.B.B., que ostenta varios cargos en el consejo de administración de SYNERTEC y es administrador único de ADSL HOUSE SL. 6. Durante la inspección realizada en la sede de SINERTEC GROUP SL, en base a las manifestaciones realizadas por sus representantes, a las pruebas realizadas y a la documentación aportada, se constataron los siguientes hechos: 6.1. SINERTEC pertenece a un grupo de empresas que está compuesto, aparte de por la propia SINERTEC, por las siguientes empresas:  AGORA CONTROL Y GESTION EMPRESARIAL SL  ASESORIA DE MARKETING LA MODERNA SL  ENTONA SL. 6.2. La actividad principal de SINERTEC consiste en la captación de nuevos clientes para los mercados residencial, autónomos y PYME, para TELEFONICA. Los datos de las personas a las que van dirigidas las campañas publicitarias realizadas por SINERTEC se obtiene de los propios interesados a través de consultas realizadas telefónicamente y del sitio web www.centralitaspanasonic.es. 6.3. SYNERTEC ejecuta campañas publicitarias para otras entidades utilizando los datos del fichero “POTENCIALES CLIENTES” en base a contratos de prestación de servicios. El objeto de dichos contratos no es la cesión de los datos de SYNERTEC a otras entidades sino el envío de la publicidad diseñada por un tercero a los potenciales clientes de SINERTEC. AGORA CONTROL Y GESTION EMPRESARIAL SL, en adelante AGORA, y ADSL HOUSE SL son dos de los clientes para los que se realizan este tipo de servicios. El fichero de potenciales clientes tiene 220.992 registros. 6.4. AGORA, que comparte sede con SINERTEC, es una empresa totalmente separada de ésta última así como lo están sus bases de datos y ficheros. Mientras SYNERTEC trabaja con TELEFONICA, AGORA lo hace con las operadoras JAZZTEL, ONO, ORANGE y VODAFONE. Es por ello que en ocasiones AGORA está interesada en hacer campañas cuyos destinatarios sean los potenciales clientes de SINERTEC. 6.5. El servicio a través del cual SINERTEC remitía los correos es una plataforma tecnológica denominada ECIRCLE contratada a ECIRCLE SPAIN SLU, que después fue adquirido por TERADATA IBERIA SLU, en adelante ECIRCLE. El contrato de prestación de servicios fue firmado por AGORA el 2 de julio de 2013 pero en su primera página consta como propuesta de servicios realiza a SINERTEC por lo que es posible que el servicio fuera utilizado por todas las empresas del grupo. Debido a que el servicio prestado no satisfacía las necesidades de SINERTEC, ésta solicitó el 18 de febrero de 2014 la rescisión del contrato que tuvo efecto el 4 de marzo de 2014 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 6.6. El correo electrónico del denunciante consta en los sistemas de la entidad como registrado a través del sitio web www.centralitas-panasonic.es el 30 de octubre de 2013. 6.7. La plataforma tecnológica de ECIRCLE tenía limitaciones que impedían la ejecución concurrente sobre una misma base de datos de varias campañas o grupos de envíos. Para soslayar dicha limitación ECIRCLE ofreció, y SINERTEC admitió, como solución la replicación de las bases de datos de la entidad. De esa forma SINERTEC podría hacer envíos sobre cada una de las copias. A tal fin se crearon 5 copias de la base de datos del mercado residencial y de autónomos denominadas agora, agora II, agora III, agora IV y agora V, y otras tantas copias de la base de datos del mercado de PYMES. Las bajas solicitadas sobre una base de datos a través del enlace incluido en los correos remitidos debían de replicarse en el resto de bases de datos pero el 3 de julio de 2013 uno de los potenciales clientes se quejó de que las bajas no estaban funcionando correctamente. SINERTEC se puso en contacto con ECIRCLE para que revisase la actualización de las bases de datos y parece que la entidad, tras realizar algunas actualizaciones en las bases de datos, consideró la incidencia solucionada. 6.8. En un listado proporcionado por ECIRCLE a SINERTEC en respuesta la requerimiento realizado en la inspección, consta el envío por parte de SINRTEC desde la plataforma de los 6 correos electrónicos citados en el punto 3 después de la fecha de confirmación de la baja citada en el punto 2. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
3. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el presente caso, se procede a examinar la reclamación de fecha de entrada en esta AEPD—06/11/13-- en dónde el epigrafiado pone de manifiesto lo siguiente en orden a determinar su adecuación a la normativa vigente en materia de protección de Datos. “Tras pedir una información comercial a través de la web www. Centralita. Panasonic.es empiezan a llegar correos de Spam para los cuales no se ha autorizado, aún con repetidas solicitudes de baja de las listas de correo (…)”—folio nº 1--. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. El envío de publicidad a través de medios electrónicos requiere que haya sido previamente autorizado o consentido, así se recoge en el artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en lo sucesivo LSSI), modificado por la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, que señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Sobre este particular debe señalarse que el artículo 38.3.
4. b)de la LSSI, en su anterior regulación consideraba infracción grave “El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente a destinatarios que no hayan autorizado o solicitado expresamente su remisión, o el envío, en el plazo de un año, de más de tres comunicaciones comerciales por los medios aludidos a un mismo destinatario, cuando éste no hubiera solicitado o autorizado su remisión”. Sin embargo la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones modificó el mencionado artículo de la LSSI, se establece de la siguiente manera “El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.” Por su parte, el apartado 4
5. d)del art. 38 de la LSSI, considera como infracción leve “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. Así las cosas, tras la reforma de la LSSI, los hechos objeto de denuncia podrían ser constitutivos de una infracción leve, ya que no se considera en la actualidad, a diferencia de lo establecido en la anterior regulación, que cinco mensajes remitidos a un mismo destinatario, en este caso al denunciante, sea un envío masivo e insistente o sistemático. Las infracciones prescriben según lo dispuesto en las Leyes que las establezcan, comenzando el plazo a contarse desde el día en que se comete la infracción. En este contexto ha de tenerse en cuenta además que el artículo 45 de la LSSI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 establece, en cuanto a la prescripción de las infracciones, que “las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves a los seis meses”. (*el subrayado pertenece a la AEPD). El ámbito propio de la prescripción es el del expediente sancionador que finaliza con la resolución sancionadora, momento en el que se agota por parte de la Administración actuante el ejercicio de la potestad sancionadora. De conformidad con lo expuesto, se ha de considerar prescrita la infracción denunciada, habida cuenta de que los hechos objeto de denuncia datan de la siguiente fecha: 26/11/13—noviembre 2013—(*fecha de recepción del último correo comercial remitido por la Entidad denunciada al afectado) tal y como se deprende de la documentación aportada junto con la denuncia y de la inspección realizada en el marco del E/07392/2013. Por los motivos expuesto no procede sancionar a la Entidad objeto de denuncia al haberse producido la prescripción de la infracción administrativa. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la Entidad --SINERTEC GROUP, S.L.-- y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es