E-07611-2014

1/7 Expediente Nº: E/07611/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VUELING AIRLINES, S.A., en virtud de la denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 10/11/2014 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que manifiesta que, pese a haberse dado de baja en numerosas ocasiones del servicio de newsletter de la entidad, continúa recibiendo los boletines publicitarios de VUELING AIRLINES, S.A., (en lo sucesivo, VUELING o la denunciada). Explica que en septiembre de 2013 se dio de baja por vez primera del servicio de newsletter y que ha reiterado, sin éxito, en seis ocasiones la petición de baja de su dirección electrónica para el tratamiento con fines publicitarios. Aporta impresiones de pantalla de ocho comunicaciones comerciales recibidas de vueling@..... entre el 07/10/213 y el 10/11/2014; de seis correos de confirmación de baja enviados desde ....@vueling.com a “A.A.A.” entre el 09/09/2013 y el 04/11/2014. Acompaña, asimismo, las cabeceras de ochos mails relativas a los boletines publicitarios enviados a la dirección ...@... desde vueling@...... SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: << ANTECEDENTES Con fecha de 10 de noviembre de 2014 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por A.A.A., en adelante el denunciante, en la que manifiesta lo siguiente: 1. Desde septiembre de 2013 ha solicitado la baja en el servicio de boletín de VUELING AIRLINES S.A., en adelante VUELING, hasta en seis ocasiones. 2. En marzo de 2014 les avisó de que si continuaba recibiendo publicidad les denunciaría. 3. La semana pasada volvió a recibir otro boletín y volvió a darse de baja pero aun así ha vuelto a recibir más publicidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 La denuncia aporta la siguiente documentación:

1. a)Copia de 8 boletines recibidos por correo electrónico, remitidos entre el 7 de octubre de 2013 y el 10 de noviembre de 2014, con origen en la cuenta vueling@..... y destino en la cuenta ...@....
2. b)Copia de seis mensajes de confirmación de baja del boletín de VUELING remitidos entre el 9 de septiembre de 2013 y el 4 de noviembre de 2014, con origen en la cuenta ....@vueling.com y destino en la cuenta descrita con el texto “A.A.A.”. HECHOS CONSTATADOS 1. En su escrito de denuncia el denunciante no especifica cuál es su dirección de correo electrónico pero en el campo destinado a los datos personales del denunciante la que consta es ...@.... 2. Tanto los boletines como las confirmaciones de baja identifican al destinatario como “A.A.A.”. Las cabeceras de los boletines prueban que éstos fueron recibidos en la cuenta ...@.... Al no disponer de las cabeceras de los correos de confirmación de baja no se dispone de evidencias que prueben se la cuenta dada de baja es ...@... o ...@.... 3. VUELING, sociedad que se dedica al transporte aéreo de personas, dispone de un servicio de NEWSLETTERS por el que informa a las personas que se encuentran dadas de alta en el mismo de promociones y ofertas de vuelos operados por la compañía. El alta en el servicio se realiza bajo petición del suscriptor existiendo tres vías o canales para ello: 3.1. A través de proceso de reserva de vuelos de la compañía vía Internet. 3.2. A través de la página web de la compañía. 3.3. A través de la zona privada, dentro de la página web de la compañía, dedicada de los clientes que disponen de la tarjeta de puntos de VUELING. En cualquiera de las tres vías, el proceso de alta en el servicio de NEWSLETTERS requiere que el candidato a suscriptor seleccione la casilla correspondiente de solicitud de alta, casilla que por defecto no aparece seleccionada. De esta manera, el hecho de hacer una reserva de vuelo o de comprar un billete de VUELING implica el alta como suscriptor en el servicio de NEWSLETTERS, en cumplimiento de la política de privacidad que tiene que aceptar el cliente. 4. Para el proceso de baja del servicio de NEWSLETTERS, VUELING tiene implantado un procedimiento que incluye las siguientes vías o canales: 4.1. Activando el procedimiento desde cualquiera de los mensajes recibidos a través del servicio de NEWSLETTERS. Todos los mensajes enviados a través de este servicio incluyen al final el siguiente mensaje: “Si prefieres no recibir más comunicaciones de este tipo, no dudes en comunicárnoslo aquí” En la frase anterior la palabra “aquí” aparece resaltada, distinto color y subrayada, poniendo así en evidencia que contiene un enlace a una página web que permite la baja en el servicio de NEWSLETTERS, a partir de la cual se dejan de recibir mensajes asociados a dicho servicio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 4.2. A través de la dirección de correo electrónico lopd@vueling.com, dirección de la que se informa dentro del apartado avisos legales en la página web de VUELING. 4.3. A través de correo postal dirigido al domicilio de VUELING. 5. Durante la inspección realizada en la sede de VUELING el 3 de marzo de 2015 y en base a la documentación aportada posteriormente por la entidad, se han constatado los siguientes hechos: 5.1. VUELING tiene 8,4 millones de suscriptores aproximadamente. 5.2. En el momento de la inspección se comprueba que el sistema de bajas del boletín a través del enlace descrito en el punto 4.1 funciona correctamente. 5.3. En la base de datos de suscriptores la dirección de correo electrónico ...@... consta vinculada un usuario con fecha de alta fecha de alta 13 de enero de 2013 y fecha de baja de suscripción el 9 de septiembre de 2013. Consultado el sistema que gestiona el envío de los boletines no se localiza ningún envío con fecha posterior a 9 de septiembre de 2013. 5.4. En la base de datos de suscriptores la dirección de correo electrónico ...@... localizándose un registro con fecha de alta 27 de noviembre de 2009 y fecha de baja 13 de enero de 2015. 6. Los representantes de la entidad manifestaron que en ocasiones anteriores han tenido problemas con clientes que utilizan cuentas de correo de entidades públicas que han cambiado su dominio de .net a .cat ya que los correos dirigidos a cuentas .net son redirigidos por los servidores de correo a la cuenta equivalente del dominio .cat. 7. En relación con los dominios tmb.net y tmb.cat se ha comprobado que ambos figuran a nombre la misma entidad, FERROCARRIL METROPOLITÀ DE BARCELONA, SA, y que al tratar de acceder al sitio web www.tmb.net, se redirige al usuario al sitio web www.tmb.cat.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en lo sucesivo, LSSI) que atribuye a la Agencia Española de Protección de Datos la competencia para sancionar por la comisión de infracciones graves y leves de los artículos 38.3.c),
3. d)e
4. i)y 38.4.d),
5. g)y
6. h)de la LSSI, respectivamente. II Actualmente se denomina “spam” a todo tipo de comunicación no solicitada hecha por vía electrónica y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 posibilidades que ofrece en cuanto al volumen de las transmisiones han permitido que esta práctica se realice de forma abusiva e indiscriminada. El envío de publicidad a través de medios electrónicos exige que previamente haya sido autorizado o consentido, tal y como prevé el artículo 21 de la LSSI. El precepto obliga, además, al prestador del servicio a ofrecer al destinatario los mecanismos para oponerse al tratamiento de sus datos con fines promocionales exigiendo, si la comunicación comercial se efectúa por correo electrónico, que se ofrezca la posibilidad de oponerse a estos envíos a través de una dirección electrónica válida. La LSSI contempla también el derecho del destinatario de una comunicación comercial a revocar el consentimiento que hubiera prestado a dicho tratamiento, obligando a los prestadores de servicio a establecer a tal fin procedimientos sencillos y gratuitos para revocar el consentimiento y si la comunicación se remite por correo electrónico a incluir una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho La LSSI, según redacción introducida por Disposición Final segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (L.G.T.), dispone en sus artículos 21 y 22: - Artículo 21, “Prohibición de comunicaciones comerciales no solicitadas realizadas a través de correo electrónico o medios de comunicación electrónica equivalente”. “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección” - Artículo 22 , “Derechos de los destinatarios de servicios” “1.El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos. (…)” (El subrayado es de la AEPD) La vulneración de la obligación impuesta por el artículo 22 de la LSSI se tipifica como infracción grave o leve, respectivamente, en los artículos 38.3.
7. d)y 38.4.
8. h)en los siguientes términos. El artículo 38.3.
9. d)dispone: “Son infracciones graves (..)
10. d)El incumplimiento significativo de la obligación del prestador de servicios establecida en el apartado 1 del artículo 22, en relación con los procedimientos para revocar el consentimiento prestado por los destinatarios”. El artículo 38.4.
11. h)señala que “Son infracciones leves (…)
12. h)El incumplimiento de la obligación del prestador de servicios establecida en el apartado 1 del artículo 22, en relación con los procedimientos para revocar el consentimiento prestado por los destinatarios cuando no constituya infracción grave”. El apartado
13. f)del Anexo de la LSSI, “Definiciones”, entiende por “Comunicación comercial” “toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica.” III El denunciante plantea en su denuncia que VUELING no ha atendido la solicitud de baja sus datos de contacto -su dirección electrónica- para el envío de comunicaciones comerciales con fines publicitarios. El denunciante, no obstante, no precisa en el relato de los hechos cuál es la dirección electrónica sobre la que recayó su petición de baja. Petición que declara haber dirigido a VUELING en reiteradas ocasiones. A este respecto debemos señalar que en el escrito de denuncia, en el apartado “Datos personales del denunciante”, consta la siguiente dirección electrónica: ...@.... Por otra parte, en las cabeceras de las comunicaciones comerciales que el denunciante recibió de VUELING, y que ha aportado con la denuncia, aparece como dirección de destino de la comunicación comercial ...@.... Llegados a este punto debemos traer a colación el resultado de la inspección practicada en la sede de VUELING de la que se obtuvo la siguiente información. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Sobre el procedimiento para darse de “alta” en el servicio de newsletters de la entidad se verificó que éste se efectúa siempre a petición del suscriptor, a través de alguna de las siguientes vías: 1, por medio de un proceso de reserva de vuelos de la compañía desde internet; 2, a través de la página web de la compañía; y 3 desde la página web de la compañía al acceder a la zona privada, destinada a los clientes que tienen la tarjeta de puntos de VUELING. En los dos primeros supuestos porque al hacer la reserva o comprar un billete desde la página web el usuario debe aceptar la política de privacidad de la compañía y esto conlleva que se de alta como suscriptor de la newsletter. Los inspectores verificaron también que asociados a los datos personales del denunciante constan en los sistemas de VUELING dos cuentas de correo electrónico: ...@... y ...@... La primera de ellas se dio de alta el 13/01/2013 y de baja el 09/09/2013. Conviene recordar que, curiosamente, entre los mails relativos a la “Confirmación de baja” que el denunciante adjunta a su denuncia hay uno que fue enviado el 09/09/2013. También, que en la exposición de los hechos denunciados afirma que dio de baja por vez primera su dirección electrónica para el tratamiento con fines publicitarios en septiembre de 2013. La segunda dirección (...@...) consta con fecha de alta el 27/11/2009 y de baja el 13/01/2015. Se concluye de lo expuesto que VUELING registró correctamente la solicitud que le dirigió el denunciante en la que revocaba el consentimiento para el tratamiento de su dirección electrónica ...@.... La explicación que los representantes de VUELING han ofrecido en relación a los hechos sobre los que versa la denuncia es que, si bien la dirección electrónica “.cat” se dio de baja de sus ficheros el 09/09/2013, como comprobaron los inspectores, el denunciante seguía recibiendo en ella los boletines publicitarios de VUELING porque cuando éstos eran enviados a la dirección ...@... -respecto de la que no hay registrada ninguna solicitud de baja hasta el 13/01/2015, posterior a la fecha de interposición de la denuncia que nos ocupa que data del 10/11/2014- el servidor del denunciante redireccionaba las comunicaciones comerciales desde la dirección “.net” a “ .cat”. De tal manera que aunque VUELING había atendido correctamente la petición del denunciante en la que revocaba el consentimiento para el tratamiento con fines publicitarios de la dirección ...@.... , al no haber dado de baja la dirección .net, y puesto que el servidor redireccionaba a ella las comunicaciones comerciales dirigidas a ...@... , el resultado era que aparentemente no se había atendido la solicitud de baja para el tratamiento de ese dato. Los representantes de VUELING explicaron a los inspectores que este tipo de problemas suele plantearse con aquellos clientes que utilizan cuentas de correo de entidades públicas que han cambiado su dominio de “.net” a “.cat”, pues los correos que envían a la primera se redireccionan a la cuenta equivalente del dominio “.cat”. Esta explicación de la denunciada fue confirmada por la Inspección de Datos de la AEPD, que verificó que los dominios “tmb.net” y “tmb.cat” -dominios que aparecen en las dos direcciones electrónicas del denunciante incorporadas a los ficheros de VUELING- están a nombre de la misma entidad, Ferrocarril Metropolità de Barcelona, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 S.A., y que cuando se intenta acceder al sitio web www.tmb.net, se redirige al usuario al sitio web www.tmb.cat. A la luz de las consideraciones expuestas debe concluirse que VUELING cumplió la obligación que le impone el artículo 22 de la LSSI y atendió la comunicación del denunciante revocando el consentimiento para el tratamiento de su dirección electrónica ...@.... En consecuencia, no se aprecia en los hechos sobre los que versa la presente denuncia infracción de las disposiciones de la LSSI, debiendo acordar el archivo de las presentes actuaciones. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a VUELING AIRLINES, S.A., y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es