1/6 Expediente Nº: E/07826/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CIBELES GROUP LLC en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 1 de diciembre de 2015 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por A.A.A., en adelante el denunciante, en la que manifiesta lo siguiente: 1. Recibe publicidad de la página web www.mil21.es en sus cuentas de correo ......@aspasepsia.com y ......@gmail.com sin haberlo solicitado. 2. No le dan de baja de los envíos a pesar de haberlo solicitado por correo electrónico y por teléfono. 3. Además el enlace de baja que aparece nunca funciona. La denuncia aporta copia de un correo recibido en ......@aspasepsia.com el 25 de noviembre de 2015, las cabeceras completas y contenido de un correo recibido el 21 de noviembre de 2015 y el resultado de error obtenido al tratar de darse de baja. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. El denunciante aporta copia de un correo sin cabeceras recibido el 25 de noviembre de 2015 en su cuenta de correo ......@aspasepsia.com con origen en la cuenta correo@....... El correo del que sí aporta cabeceras se recibió el 21 de noviembre de 2015 en su cuenta de correo ......@aspasepsia.com con origen en la cuenta correo@...... y la dirección IP ***IP.1. Ambos correos electrónicos contienen un boletín electrónico que incluye noticias internacionales. 2. El correo electrónicos del día 25 dispone de un enlace mediante el que solicitar la baja. El del día 21 informa de la posibilidad de ejercer los derechos ARCO y aparentemente (no se dispone del código fuente del boletín) proporciona un enlace a la política de privacidad del remitente. En cualquier caso el denunciante manifiesta en su escrito de denuncia que se le proporciona un enlace de baja que no funciona. El enlace en cuestión dispone de dos parámetros, uno es la orden de baja (“unsubscribe”) y el otro un identificador de usuario. Al ser probado el enlace por el Subinspector actuante este parece funcionar ya que devuelve el mensaje “Ha cancelado la suscripción a la lista que seleccionó y recibirá una confirmación por mail.”: 3. La dirección IP ***IP.1 es una de las direcciones que el operador OVH SAS, con sede en Francia asigna de forma dinámica entre sus clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 4. Los dominios ...... y mil21.es están registrados a nombre de CIBELES GROUP LLC, con sede en los Estados Unidos. En el pie de las páginas del sitio web www.mil21.es figura un enlace al sitio web www.cibeles.net, que parece ser la página de CIBELES GROUP LLC. Consultado el sitio web www.cibeles.net el 9 de diciembre de 2015, en la página “LA EMPRESA” se informa bajo el epígrafe “Dónde estamos” de que “Cibeles Group tiene su sede central en Madrid, España así como delegaciones en Mendoza, Argentina y Miami, EEUU. Puede ponerse en contacto con nosotros si tiene cualquier consulta en los teléfonos: ***TEL.1. Estaremos encantados de atender sus dudas y preguntas.” A continuación se proporcionan direcciones postales en España, Argentina y Estados Unidos. 5. El 29 de diciembre de 2015 se remite solicitud de información a la dirección facilitada por el sitio web de CIBELES GROUP LLC, en Boadilla del Monte (Madird). La solicitud consta como entregada por el servicio de Correos el 8 de enero de 2015 pero no se obtuvo respuesta a la solicitud. 6. El 18 de febrero de 2016 se remite por correo postal reiteración de la solicitud de información a la misma dirección postal. Ese mismo día se remite copia escaneada de la solicitud a la dirección de correo ......@mil21.es. La solicitud escrita es devuelta con motivo de ser desconocido el destinatario, pero la solicitud remitida por correo electrónico es contestada horas más tarde en los siguientes términos: 6.1. “La empresa Cibeles Group, CCL está ubicada en el estado de Florida, EEUU. Nosotros desconocemos si existe Cibeles Group España, como indican en el documento. En España sólo tenemos corresponsales informativos o periodistas que envían noticias.”. 6.2. “…el sistema de suscripción a la newsletter de las noticias de mil21.es le indicamos que está automatizado y sólo figuran, exclusivamente los dados de alta en vigor. No queda rastro ni de quien se dio de alta y luego se dio de baja. El sistema no guarda ningún dato adicional, sólo la cuenta de correo mientras está vigente.”. 6.3. En relación con la acreditación documental del consentimiento prestado por el afectado para el envío de comunicaciones a sus buzones de correo manifiestan que “…no tenemos documentos adjuntos, utilizamos un sistema que envía la alerta informativa a los dados de alta de forma automática y si se dan de baja son borrados también definitivamente.” 6.4. “El sistema no deja constancia de quienes se han dado de baja. Sólo se conserva un listado de los que permanecen activos porque en algún momento se dieron de alta.”. 6.5. Finalmente, indica que desconoce cuándo se dieron de baja los usuarios con los correos ......@aspasepsia.com y ......@gmail.com. No figuran en el listado porque en algún momento se dieron de baja y por tanto, dejaron de recibir las alertas informativas del boletín generado por mil21.es. 7. Consultado el sitio web www.cibeles.net el 10 de marzo de 2015, se observa que el contenido de la página “LA EMPRESA” ha sido actualizado. En el epígrafe “Dónde estamos” se informa de que la sede central está en Miami y la dirección que figura asociada a España es “C/ Fernando el Católico 13, Oficinal 5 | 28015 |Madrid – ESPAÑA” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en lo sucesivo LSSI), que señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. III En este caso se denuncia la recepción de correos procedentes de la página web www.mil21.es, sin haberlo solicitado, en las cuentas de correo ......@aspasepsia.com y ......@gmail.com, y no cursar la baja de las mismas en los listados de distribución publicitaria de CIBELES GROUP LLC, a pesar de haberlo solicitado por correo electrónico y por teléfono, por lo que considera que el enlace de baja que se indica no funciona. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Debemos señalar, que no son aplicables al presente caso las disposiciones contenidas en el Título III, “Comunicaciones comerciales por vía electrónica”, de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI). En el Anexo de la LSSI, bajo la rúbrica “Definiciones”, se recoge en su apartado
- f)el concepto legal de “Comunicación comercial” y alude a ella como “toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica.” (El subrayado es de la AEPD) En el presente caso los correos enviados por CIBELES GROUP LLC, a las cuentas de correo ......@aspasepsia.com y ......@gmail.com, no tenían finalidad comercial, por lo que están excluidos del ámbito de aplicación de la LSSI, ya que contienen un boletín que incluye noticias internacionales. Corresponde por ello examinar si tal conducta pudiera ser constitutiva de una infracción de la LOPD. IV El artículo 6.1 de la LOPD recoge el principio del consentimiento, conforme al cual “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” En el caso que nos ocupa, se denuncia la recepción de boletines de noticias internacionales, respecto de lo cual hemos de indicar que si bien no estamos ante correos publicitarios, podríamos encontrarnos ante un uso indebido de datos personales del denunciante, en el caso de que la entidad denunciada no contase con el consentimiento de su titular, lo que significaría la concurrencia de una actuación infractora por parte de CIBELES GROUP LLC, por tratar datos de carácter personal sin recabar el consentimiento del denunciante, tipificado como una infracción grave, según el art. 44.3
- b)de la LOPD. Sin embargo, dicha entidad, al tener noticia de los hechos aquí expuestos, ha comunicado a esta Agencia que ha procedido a la eliminación de las direcciones de correo electrónicas, ......@aspasepsia.com y ......@gmail.com, de su base de datos, sin que consten nuevos envíos de boletines informativos a estas direcciones de correo electrónico del afectado. En este sentido debemos tener en cuenta que según establece el artículo 45.6 de la LOPD: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Así las cosas, debe tenerse en consideración la Sentencia de la Audiencia Nacional de 29 de noviembre de 2013, (Rec. 455/2011), Fundamento de Derecho Sexto, donde se establece que pese a lo regulado en el artículo 45.6 de la LOPD sobre la figura del apercibimiento, dicha sentencia establece que la naturaleza jurídica del apercibimiento, advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. Por lo tanto, la Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento -como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella- cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando las medidas correctoras pertinentes ya hubieran sido adoptadas, lo procedente en Derecho será acordar el Archivo de las actuaciones. En consideración a lo expuesto, habida cuenta de que la actuación de CIBELES GROUP LLC, podría ser constitutiva de una infracción de la LOPD, y de que dicha entidad, nunca antes ha sido apercibida o sancionada por la AEPD, y que junto a ello se constata una cualificada disminución de la culpabilidad teniendo en cuenta que no consta vinculación de la actividad de CIBELES GROUP LLC con la realización de tratamiento de datos personales, que no constan beneficios obtenidos como consecuencia de la comisión de la infracción, ni se desprende intencionalidad y que únicamente se ha constatado la remisión de un correo a la dirección electrónica del denunciante, este organismo está facultado para, en lugar de iniciar la apertura de un procedimiento sancionador, apercibir al mismo a fin de que adopten las oportunas medidas correctoras. Sin embargo, en base a los principios de intervención mínima y proporcionalidad que informan la capacidad de actuación de esta Agencia y teniendo en cuenta que las medidas correctoras que procedería imponer fueron ya adoptadas por iniciativa propia y de forma diligente por la entidad denunciada al suprimir de sus listados las direcciones de correo electrónico del denunciante en armonía con el pronunciamiento de la Audiencia Nacional recogido en la SAN de 29/11/2013 (Rec. 455/2011) debe acordarse el Archivo de las actuaciones de investigación practicadas. V Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a CIBELES GROUP LLC y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es