1/7 Expediente Nº: E/07947/2012 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ATRAPALO, S.L. en virtud de denuncia presentada por Dª A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 4 de diciembre de 2012 tiene entrada en esta Agencia un escrito de A.A.A., en adelante la denunciante, en el que manifiesta lo siguiente: 1. En agosto de 2012 compró un billete de avión a través de ATRAPALO, S.L., en adelante ATRAPALO, y a partir de ese momento han estado remitiéndole numerosos correos publicitarios no autorizados, ya que únicamente facilitó sus datos con el fin de que gestionaran el billete de avión. 2. Tras adquirir el billete recibió un correo electrónico en el que, en lugar de solicitar su autorización expresa para tratar sus datos con finalidades distintas de las de la gestión del billete adquirido, se solicitaba (aunque no claramente) su consentimiento para el envío de propaganda y se le facilitaba un enlace con el que oponerse a los envíos. 3. Al tratar de oponerse observó que el formulario al que llevaba el enlace, no disponía de un botón mediante el que confirmar la solicitud de baja, a pesar de que al imprimir el formulario dicho botón si aprecía. 4. Todas las gestiones que ha realizado para que dejen de remitirle los correos electrónicos publicitarios han sido infructuosas ya que el formulario de baja no muestra el botón de confirmar la misma y a pesar de contestar a los correos recibidos manifestando su deseo de no recibir más mensajes, sigue recibiéndolos. El escrito aporta la siguiente documentación:
- a)Copia parcial del correo electrónico con el billete adquirido.
- b)Copia del correo electrónico citado en el punto 2 con el enlace de baja.
- c)Impresión del formulario de baja en dos días distintos y fotografías que muestran cómo el formulario no dispone de un botón que permita confirmar la baja.
- d)Copia de un conjunto de correos recibido, de las respuestas remitidas y de la bandeja de entrada en la que se muestran parte de los correos recibidos. Con fecha de 7 de febrero de 2013 tiene entrada en esta Agencia un escrito de la denunciante en el que reitera los hechos descritos en su escrito anterior y aporta copia de nuevos correos electrónicos recibidos, de las respuestas dadas y dos fotografías del formulario de baja con fecha de 20 de diciembre de 2012 en el que no se observa ningún botón para enviar la confirmación de baja pero en las que un menú desplegado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 oculta la mitad del formulario. Con fecha de 25 de abril de 2013 tiene entrada en esta Agencia un escrito de la denunciante en el que manifiesta que a finales de marzo de 2013 han cesado los envíos de correos electrónicos y aporta impresión del buzón de entrada de su cuenta de correo que muestra los últimos correos recibidos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. En las Condiciones Generales de contratación del sitio web de ATRAPALO se indica que “El usuario acepta que los datos personales facilitados en el proceso de compra de nuestros productos sean incorporados a un fichero automatizado, cuya titularidad corresponde a Atrapalo.com, con la finalidad de prestar adecuadamente el servicio solicitado, dar cumplimiento a los requisitos de facturación, contabilidad y auditoría de la compañía, realizar análisis estadísticos, verificar tarjetas de crédito y otras tarjetas de pago, así como realizar comunicaciones comerciales por correo electrónico sobre otros productos que se comercializan a través de la página web de Atrapalo.com y que Atrapalo.com considere que podrían ser del interés del usuario, por ser similares a los contratados.” 2. ATRAPALO tiene actualmente dos boletines, el boletín general y el denominado “Hibiscus” cuyos destinatarios pueden ser clientes de la entidad o usuarios que se han suscrito para recibir los boletines. Los boletines son remitidos a diario a 2,1 millones de clientes y suscriptores. La entidad tramita en torno a 20.000 solicitudes de baja realizadas por clientes y suscriptores. 3. Los destinatarios de los boletines disponen de tres medios de baja: Enlaces incluidos en cada boletín. El enlace de baja cancela la suscripción a todos los boletines y no caduca por lo que el enlace de un boletín siempre puede ser utilizado para cancelar la suscripción. Anteriormente el enlace de baja dirigía al destinatario a un formulario web en el que debía de confirmar la baja pero desde el 20 de agosto de 2013 al pulsar el enlace se produce la baja de la suscripción de forma instantánea. La configuración de la cuenta de usuario. El departamento de atención al usuario con el que se puede contactar a través del teléfono 902****** o la cuenta de correo electrónico ..............@atrapalo.com. 4. El 20 de noviembre de 2013 se realizó una inspección en la sede de ATRAPALO durante la que pudieron constatarse los siguientes hechos: 4.1. La denunciante consta en los sistemas de la entidad con fecha alta el 1 de agosto de 2012 (la fecha de compra del billete aportado en el escrito de denuncia inicial) y como fecha de baja el 3 de abril de 2013. La baja se realizó a consecuencia de la solicitud de la propia denunciante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 mediante la pulsación de uno de los enlaces de baja de los boletines. 4.2. Si bien la entidad diseña los boletines y define sus destinatarios, los envíos son realizados a través de otra entidad con la que tiene contratado el servicio Actualmente se encuentran en proceso de migración de los servicio de envío. 4.3. No tiene noticia de ninguna incidencia en relación con el formulario de baja que se utilizaba anterior. 4.4. La entidad, con el fin de mejorar sus procesos, cambió el 20 de agosto de 2013 el sistema de baja mediante enlace que anteriormente requería de confirmación al actual que da de baja al usuario en los dos boletines de manera inmediata son sólo pulsar el enlace de baja. 4.5. Los buzones desde los que se remiten los boletines no son atendidos. Los correos electrónicos tienen predefinido un buzón de respuesta que hasta el 1 de febrero de 2013 tampoco lo era pero que actualmente manda una copia al departamento de atención al usuario de forma que puedan ser atendidos. 4.6. En los sistemas de la entidad no consta que la denunciante haya mantenido ningún contacto con ATRAPALO, bien por teléfono, bien por correo electrónico, directamente o a través de un órgano de consumo. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos de conformidad con lo dispuesto en el párrafo segundo del artículo 43.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de comercio electrónico (en lo sucesivo LSSI). II La LSSI prohíbe las comunicaciones comerciales no solicitadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo como: “
- f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 El envío de comunicaciones comerciales a través del correo electrónico requiere que haya sido previamente autorizado o consentido, así se recoge en el artículo 21 LSSI, que señala: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija”. Añade el artículo 22. 1 lo siguiente: “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado”. . IV En el supuesto que se examina la denunciante pone de manifiesto que desde agosto del 2012, fecha en la que compró un billete de avión en la página de ATRÁPALO.COM, esta compañía no cesa de enviarle correos con contenido publicitario y sin haberlo consentido. Además, ha realizado numerosas gestiones para que dejaran de remitirle este tipo de correos, como contestar a la dirección de email remitente de los correos recibidos manifestando su deseo de no recibir más mensajes o utilizar el formulario de baja, aunque en este último supuesto no ha podido porque en dicho formulario no se muestra el botón de confirmar la misma. Tras las actuaciones previas de inspección practicadas por la Agencia se ha podido comprobar que el envío de correos publicitarios se ubica en el marco de una relación contractual entre la denunciante y la empresa denunciada, en la media en que en agosto de 2012 la denunciante compró unos billetes de avión en la web de la entidad denunciada, encontrándose, dentro de las condiciones generales de contratación del sitio web de ATRÄPALO, la siguiente información: “El usuario acepta que los datos personales facilitados en el proceso de compra de nuestros productos sean C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 incorporados a un fichero automatizado, cuya titularidad corresponde a Atrapalo.com, con la finalidad de prestar adecuadamente el servicio solicitado, dar cumplimiento a los requisitos de facturación, contabilidad y auditoría de la compañía, realizar análisis estadísticos, verificar tarjetas de crédito y otras tarjetas de pago, así como realizar comunicaciones comerciales por correo electrónico sobre otros productos que se comercializan a través de la página web de Atrapalo.com y que Atrapalo.com considere que podrían ser del interés del usuario, por ser similares a los contratados”. No existe, por tanto, vulneración de la normativa en materia de protección de datos en la medida en que existe una relación contractual entre la denunciante y la entidad denunciada, resultando por ello de aplicación lo dispuesto en el artículo 21.2 de la LSSI : “2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente.” V De las actuaciones previas de inspección practicadas por la Agencia a la entidad denunciada se constata que existen tres medios para darse de baja y así revocar su consentimiento a recibir comunicaciones comerciales. En concreto, a través de los enlaces incluidos en cada boletín, mediante la configuración de la cuenta de usuario, y contactando con el departamento de atención al usuario (a través del teléfono 902****** o la cuenta de correo electrónico ..............@atrapalo.com ). En dicha inspección se acredita que la denunciante hizo uso de la primera vía para revocar su consentimiento, es decir, a través de la pulsación del enlace de baja de los boletines, en fecha 3 de abril de 2013, fecha a partir de la cual no ha recibido más correos, y así lo ha expresado la denunciante (ya que en escrito posterior a la denuncia manifiesta no haber recibido más correos). Por tanto, la vía utilizada en fechas anteriores a abril de 2013 no era la correcta (contestar a la dirección de email remitente de los correos recibidos manifestando su deseo de no recibir más mensajes) Cabe concluir, por tanto, que los correos publicitarios recibidos por la denunciante son anteriores a su solicitud de baja en el servicio (3 de abril de 2013), sin que exista constancia de que recibiera correos posteriores a esta fecha. En este sentido, se ha de tener en cuenta que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. El Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el artículo 137 de LRJPAC: “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de “presunción de inocencia” impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de “cargo” acreditativa de los hechos que motivan esta imputación y en aplicación del principio “in dubio pro reo”, que obliga en caso de duda, respecto de un hecho concreto y determinante, a resolver del modo más favorable para el denunciado, en especial cuando no puede determinarse la responsabilidad subjetiva, es decir, el causante de la conducta supuestamente infractora. Por ello, dada la ausencia de elementos de cargo que permitan imputar a la entidad denunciada el posible incumplimiento de la prohibición recogida en el artículo 21.1 de la LSSI procede acordar el archivo de las actuaciones practicadas. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a ATRAPALO, S.L. y a Dª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es