E-07681-2013

1/8 Expediente Nº: E/07681/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades CARREFOUR ONLINE, S.L.U., y CENTROS COMERCIALES CARREFOUR, S.A., en virtud de denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 02/12/2013 tuvo entrada en esta Agencia Española de Protección de Datos (AEPD) escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que manifiesta que en varias ocasiones se ha dado de baja como suscriptor en la web de “CARREFOUR” (www.carrefour.es/......................), pese a lo cual continúa recibiendo publicidad. Acompaña a su denuncia copia de los siguientes correos electrónicos: De fecha 02/12/2013, enviado por ..........@carrefour.com a la dirección ..........@yahoo.es. De fecha 07/11/2013 remitido por CARREFOUR a esa misma dirección electrónica desde cuéntaseloacarrefour................, en el que da respuesta a la solicitud del denunciante y le informa que tiene “deshabilitada la opción de envió de correos electrónicos”. De fecha 06/11/2013, del denunciante (misma dirección electrónica) ,en el que hace constar su nombre, apellidos y dirección electrónica, el establecimiento Carrefour al que está vinculada su tarjeta así como el número de tarjeta del Club Carrefour ***NÚMERO.1, con el siguiente texto: “Hoy me he dado de baja de vuestra Newsletter por 3ª vez.”. Y les informa que procederá a denunciar el envío de nuevos mensajes electrónicos. SEGUNDO: Tras la recepción de la denuncia, por la Subdirección General de Inspección de Datos se efectuaron actuaciones encaminadas al esclarecimiento de los hechos, teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas que se reproduce: << ANTECEDENTES Con fecha de 2 de diciembre de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Que siendo cliente del CLUB CARREFOUR con el número ***NÚMERO.1 ha solicitado en diversas ocasiones la baja del servicio de NEWSLETTERS sin éxito ya que sigue recibiendo envíos publicitarios. La baja la ha solicitado a través del formulario http://www.carrefour.es/...................... y a pesar de ello sigue recibiendo envíos en su dirección ..........@yahoo.es. Junto a su denuncia aporta los siguientes documentos:  Copia de los siguientes envíos a través de email: o Email de ..........@yahoo.es.a cuéntaseloacarrefour................ de fecha 6/11/2013 a las 16:05 en el que informa que se ha dado de baja del servicio de newsletters por tercera vez y le siguen enviando correos. o Email de cuéntaseloacarrefour................ a ..........@yahoo.es.de fecha 7/11/2013 a las 12:31 en el que en contestación al email anterior, le informan que tiene “deshabilitada la opción de envío de correos electrónicos”. En las cabeceras figura remitido desde la dirección IP ***IP.1. o Email de ........@carrefour.com a ..........@yahoo.es.de fecha 2/12/2013 a las 18:07 en el que bajo el asunto “Descubre nuestras últimas ofertas” le realizan un envío comercial de Carrefour. El email contiene un enlace bajo la leyenda “Darse de baja”. En las cabeceras figura remitido desde la dirección IP ***IP.2. o Email de hacerseqrande@........... a ..........@yahoo.es.de fecha 19/12/2013 a las 18:12 en el que bajo el asunto “Gana 100 euros cantando con tus hijos” le realizan un envío comercial de Carrefour. El email contiene un enlace bajo la leyenda “Darse de baja”. En las cabeceras figura remitido desde la dirección IP ***IP.3. ACTUACIONES PREVIAS En fecha de 11/4/2014 se realiza una inspección al GRUPO CARREFOUR en la que se recaba la siguiente información: 1. CARREFOUR cuenta con lo que denomina CLUB CARREFOUR al que pertenecen los clientes que hayan solicitado la tarjeta de fidelización de CARREFOUR. 2. Dicho Club cuenta con un servicio de newsletters a través del cual periódicamente se remiten comunicaciones comerciales vía correo electrónico a los miembros del Club que hayan facilitado una dirección de correo electrónico y no se hayan opuesto al envío de dichas comunicaciones. 3. CARREFOUR cuanta también con otros servicios de newsletters distintos del CLUB CARREFOUR. Entre estos servicios se encuentran uno dedicado a padres y que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 gestiona a través de la dirección de correo electrónico hacerseqrande@........... y otro dedicado a tecnología y que es gestionado desde la dirección ........@carrefour.com. 4. El servicio hacerseqrande@........... pertenece a la empresa CENTROS COMERCIALES CARREFOUR, S.A y su gestión se encuentra subcontratada con la empresa B2B. 5. El servicio ........@carrefour.com pertenece a la empresa CARREFOURONLINE, SLU gestionándolo con recursos propios. 6. Una persona puede darse de alta indistintamente en cualquiera de los tres servicios de newsletter mencionados. 7. Los clientes del CLUB CARREFOUR pueden ejercer en cualquier momento su derecho de oposición al envío de nuevas comunicaciones comerciales. Una de las vías para dicho ejercicio es hacer uso del enlace "Darse de baja" que viene incorporado en todos los correos publicitarios. También puede ejercerse dicha oposición mediante el envío de un correo al efecto a la dirección cuéntaseloacarrefour................. 8. El ejercicio del mencionado derecho de oposición queda reflejado en la base de datos que da soporte al CLUB CARREFOUR mediante una marca prevista al efecto de forma que su dirección de correo electrónico es eliminada de las futuras listas de destinos de comunicaciones comerciales tanto del propio CLUB CARREFOUR como de las newsletters hacerseqrande@........... y ........@carrefour.com. 9. Los inspectores constatan en los sistemas de información lo siguiente: 9.1. Se accede a la base de datos del CLUB CARREFOUR y se realiza una consulta por el NIF ***NIF.1 no encontrándose ningún registro asociado al citado NIF. 9.2. Se accede a la base de datos del CLUB CARREFOUR y se realiza una consulta por el número de tarjeta del Club: ***NÚMERO.1 encontrándose que se encuentra asociado a B.B.B. con domicilio con domicilio en (C/...............1) (SEVILLA) TEL ***TEL.1. No consta dirección de correo electrónico asociado a dicha persona aunque si figura activada la marca de consentimiento para recibir información por correo electrónico. 9.3. Se accede a la base de datos del servicio newsletter hacerseqrande@........... y se realiza una consulta por el número de tarjeta del Club Carrefour: ***NÚMERO.1 encontrándose que se encuentra asociado a B.B.B. con dirección de correo electrónico ....1@yahoo.es. No consta que haya ejercitado su derecho de oposición a la recepción de publicidad desde dicha newsletter. 9.4. Se accede a la base de datos del servicio newsletter hacerseqrande@........... y se realiza una consulta por la dirección de correo electrónico ..........@yahoo.es.encontrándose que se encuentra asociado a C.C.C. con número de tarjeta del CLUB CARREFOUR ***NÚMERO.2. No consta que haya ejercitado su derecho de oposición a la recepción de publicidad desde dicha newsletter. Se consulta el fichero ROBINSON utilizado como filtro para excluir de publicidad a los susbcriptores de esta newsletter comprobándose que esta persona no se encuentra en dicho fichero ROBINSON, por lo que continúa recibiendo publicidad de esta newsletter. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 9.5. Se accede a la base de datos del CLUB CARREFOUR y se realiza una consulta por el número de tarjeta del CLUB CARREFOUR ***NÚMERO.2 encontrándose que se encuentra asociado a D.D.D. con domicilio con domicilio en (C/...............2)(SEVILLA) TEL ***TEL.2. Consta como dirección de correo electrónico asociado a dicha persona ..........@yahoo.es.así como autorización para el envío de información comercial. 9.6. Se accede a la base de datos del servicio newsletter ..........@carrefour.com y se realiza una consulta por la dirección de correo electrónico ..........@yahoo.es.obteniéndose que se encuentra asociada a C.C.C. con número de tarjeta del CLUB CARREFOUR ***NÚMERO.1. Consta que antiguamente permitía el envío de publicidad aunque actualmente no sin que pueda precisarse la fecha de dicho cambio..>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El envío de publicidad a través de medios electrónicos requiere que haya sido previamente autorizado o consentido. Así se establece en el artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en lo sucesivo, LSSI). El citado precepto obliga al prestador del servicio a ofrecer al destinatario los mecanismos para oponerse al tratamiento de sus datos con fines promocionales, exigiendo, si la comunicación comercial se efectúa por correo electrónico, que se ofrezca en todo caso la posibilidad de oponerse a través de una dirección electrónica válida. El artículo 21 de la LSSI dispone: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección” El artículo 38 de la LSSI, según redacción introducida por la Disposición Final segunda de la Ley 9/2014, de 9 de mayo, de Telecomunicaciones, tipifica como infracción grave (artículo 38.3.
2. c)“ El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21. El artículo 38.4, considera infracciones leves, “
3. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave” III En el presente caso el denunciante ha manifestado que “habiéndome dado de baja en varias ocasiones como suscriptor de ofertas vía mail en la web de Carrefour (en el siguiente formulario, www.carrefour.es/......................,) siempre sigo recibiendo publicidad” En prueba de sus manifestaciones el denunciante ha aportado la impresión de pantalla de diversos correos electrónicos: De fecha 06/11/2013, dirigido a cuéntaseloacarrefour................, en el que dice textualmente: “Hoy me he dado de baja de vuestra Newsletter por 3ª vez”. Además les comunica que procederá a denunciar el envío de nuevos mensajes electrónicos. En este correo electrónico el denunciante se identifica con los siguientes datos: nombre, apellidos, dirección electrónica (..........@yahoo.es.), establecimiento Carrefour al que está vinculada su tarjeta y el número de tarjeta del Club Carrefour cuyos dos últimos dígitos son 68 De fecha 07/11/2013, que CARREFOUR le envía desde la dirección electrónica cuéntaseloacarrefour................, respondiendo a su solicitud e informándole que tiene “deshabilitada la opción de envió de correos electrónicos”. De fecha 02/12/2013, posterior por tanto a la confirmación por CARREFOUR de que había atendido el ejercicio de su derecho, enviado desde ..........@carrefour.com a la dirección del denunciante, ..........@yahoo.es. El envío al denunciante con posterioridad al 07/11/2013, fecha en la que CARREFOUR dice haber atendido su solicitud de oposición, de varios correos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 electrónicos de contenido comercial –como son el de 02/12/2013, desde ..........@carrefour.com, y otros, de cuya existencia el denunciante informó a la AEPD en su respuesta al requerimiento informativo de fecha 19/12/2013, enviado desde hacerseqrande@...........)- nos obliga a examinar si CARREFOUR atendió o no la oposición del denunciante al tratamiento del dato relativo a su dirección electrónica con fines publicitarios y si las comunicaciones comerciales de la denunciada posteriores a tal fecha constituyen una infracción del artículo 21 de la LSSI por carecer de legitimación para ello. A este respecto debe advertirse que cuando el denunciante se dirige a cuéntaseloacarrefour................, solicitando no recibir más comunicaciones comerciales se identifica por su nombre, dos apellidos y por el número de tarjeta del Club Carrefour cuyos dos últimos dígitos son 68. Esta circunstancia debe relacionarse con el hecho de que la inspección practicada en la sede de CARREFOUR reveló que la tarjeta del Club Carrefour finalizada en 68, con la que el denunciante se identifica cuando ejercita el derecho de oposición, está asociada al nombre de otra persona (***NOMBRE.1.) Además, en los ficheros examinados se comprueba que vinculada a esa tarjeta no consta ninguna dirección electrónica. La asociación entre el número de tarjeta del Club Carrefour finalizada en 68 y el correo electrónico del denunciante únicamente se aprecia cuando se accede al servicio de Newsletter teconologia@............. y desde allí se realiza una búsqueda por la dirección electrónica del denunciante. Precisamente en la fecha en la que tuvo lugar la inspección de la AEPD (el 11/04/2014) se comprobó al acceder a los ficheros de esta Newsletter que estaba asociada a la dirección electrónica del denunciante pero que ya no permitía el envío de publicidad, sin que pudiera determinarse la fecha en la que se había producido tal cambio. La conclusión no puede ser otra que considerar que CARREFOUR atendió el derecho del denunciante a oponerse al envío de comunicaciones comerciales a su dirección electrónica en la medida en que se identificó ante la responsable del fichero, exclusivamente, por el número de la tarjeta Club Carrefour (finalizada en 68), ya que su nombre y apellidos no constan en los ficheros de CARREFOUR como titular de ninguna tarjeta del Club. No obstante, esta circunstancia no puede llevarnos a pensar que con los correos electrónicos de contenido comercial que envió a la dirección electrónica del denunciante con posterioridad al 07/11/2013, fecha en la que le informó que había atendido su oposición al envío de tales comunicaciones, CARREFOUR vulneró el artículo 21 de la LSSI. La inspección practicada por la AEPD acredita que después de haber atendido la solicitud de oposición del denunciante relacionada con la tarjeta finalizada en 68, CARREFOUR continuaba legitimada para el envío de comunicaciones comerciales a la dirección electrónica ..........@yahoo.es., de las que son exponente los correos electrónicos citados (de 02/12/2013 de ..........@carrefour.com o de 19/12/2013 desde hacerseqrande@...........) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Tal legitimación deriva del hecho de que el denunciante no solicitó la baja en el envió de comunicaciones comerciales asociadas a la tarjeta ** y que la dirección ..........@yahoo.es. aparece en las bases de datos del Club Carrefour asociada a la tarjeta Carrefour finalizada en **. Al consultar los ficheros del Club Carrefour por este número de tarjeta resulta que su titular –un tercero, ***NOMBRE.2 – tiene autorizado el envío de comunicaciones comerciales al mail que se indica, que no es otro que el del denunciante. Los titulares de las dos tarjetas del Club Carrefour, las terminadas en 68 y en **, son personas cuyo nombre y apellidos no coinciden con los del denunciante (en la primera la titular es ***NOMBRE.1 y en la segunda ***NOMBRE.2). De esta manera, y puesto que cuando el denunciante ejercitó el derecho de oposición indicó su propio nombre y apellidos y el número de una tarjeta del Club Carrefour terminada en 68, CARREFOUR identificó al cliente que ejercitaba el derecho de oposición a través del número de la tarjeta del Club. Los inspectores de la AEPD comprueban al acceder a la base de datos del Club Carrefour que la dirección electrónica del denunciante (..........@yahoo.es.) está asociada a la tarjeta del citado club cuyos dos últimos dígitos son ** cuyo titular tampoco es el denunciante, sino ***NOMBRE.2 y que vinculada a esta tarjeta existe una autorización para el envío de comunicaciones comerciales. En consecuencia -sin perjuicio de que CARREFOUR hubiera atendido el derecho de oposición del denunciante al envío de comunicaciones comerciales habiéndose identificado a tal fin por el número de tarjeta del Club finalizada en 68- la denunciada continuaba estando legitimada, al amparo del artículo 21.2 de la LSSI, para enviar comunicaciones comerciales al titular de la tarjeta terminada en ** cuyo correo electrónico –tal y como consta en sus ficheros- es el del denunciante. Las consideraciones precedentes permiten concluir que los mensajes publicitarios remitidos a su dirección electrónica, ..........@yahoo.es., no vulneran las disposiciones de la LSSI sin que se aprecie en los hechos denunciados infracción de la Ley 34/2002, por lo que debe acordarse el archivo de las actuaciones practicadas. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a CARREFOUR ONLINE, S.L.U., y CENTROS COMERCIALES CARREFOUR, S.A., y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es