1/4 Expediente Nº: E/10167/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante Dª. A.A.A., con NIF.: ***NIF.1, titular de la página web ***URL.1(en adelante, “la parte reclamada”), en virtud de la reclamación presentada por Dª. B.B.B., (en adelante, “la parte reclamante”), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), y vulneración de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 26/04/21, tuvo entrada en esta Agencia, escrito presentado por la reclamante, en el que indicaba lo siguiente: “Desde la web ***URL.1 me envían información comercial, solicito baja y me dicen que pinche en un sitio, clico y me dicen que me identifique, lo intento y le digo que no recuerdo contraseña, y entonces les pido reiniciar contraseña, me dice que me envían un email para cambiarla y este email no llega nunca”. Al escrito de reclamación se aporta impresión de pantalla del proceso de solicitud de baja realizado en el sitio web, ***URL.2 donde consta un proceso de renovación de contraseña. En una de las capturas de pantalla que aporta, se aprecia el siguiente texto: "Para dar de baja tu cuenta, pulsa aquí. Recuerda que debes de estar loteado para poder darte de baja”. SEGUNDO: Con fecha 21/06/21 y 12/07/21 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos, de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el escrito de solicitud enviado a la parte reclamada, el día 21/06/21, a través del servicio de notificaciones electrónicas “NOTIFIC@”, fue rechazado en destino el día 02/07/21 Según certificado de la Sociedad Estatal Correos y Telégrafos, el escrito de solicitud enviado a la parte reclamada, el día 12/07/21 a través del servicio de notificaciones postales de Correos, fue entregado en destino el día 21/07/21, siendo el receptor de este: Dª C.C.C.. ***NIF.2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 TERCERO: Con fecha 14/11/21, se recibe en esta Agencia contestación de la parte reclamada a la solicitud hecha, en la cual se indica lo siguiente: De Somos La Web S.L. En relación con la reclamante les informamos: La usuaria creó su cuenta en fecha, hora, según consta en nuestra base de datos. Tenemos activado el doble op tin, por lo que tuvo que validar la cuenta ella misma. Documento
- El día 16 de abril del 2021 dicha usuaria se pone en contacto con nosotros. Nos indica que no recibe los emails para cambiar la contraseña y poder darse de baja, además de anunciarnos que ya ha puesto la denuncia en la Agencia. Documento número
- La denuncia la interpone cuando nos envía el email, sin esperar a las gestiones con nosotros. Documento número
- Cuando recibimos el email de que no recibe la contraseña y podemos ayudarla, posterior a la denuncia, le decimos que mire en spam. Documento número
- La usuaria debió mirar en spam, cambiar la contraseña y dar de baja su cuenta ya que, a fecha de hoy, no consta en nuestros ficheros. Documento número
- Por lo que consideramos que hemos cumplido perfectamente con los derechos de la usuaria y que simplemente esta se precipitó en la denuncia antes de mirar en spam CUARTO: Con fecha 22/09/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de las reclamaciones presentadas, de conformidad con el artículo 65 de la Ley LPDGDD, al haber apreciado posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. FUNDAMENTOS DE DERECHO I.- Competencia: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). II.- Síntesis de los hechos: Según la reclamante, desde la web ***URL.1 la envían información comercial y que, habiendo solicitado la baja, a través del enlace que existe en el correo electrónico, la piden que se identifique. No obstante, al no recordar la contraseña e intentar reiniciarla, la responden que la enviarán un correo con las nuevas claves de acceso, pero denuncia que dicho correo nunca llegó. Según la parte reclamada, la reclamante creó una cuenta en la web el 13/01/14, aportando captura de su base de datos donde constan sus datos personales y la fecha de alta. Indica que, el mismo día que la reclamante contactó con ellos para indicarles su deseo de darse de baja también presentó denuncia ante la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 Indican además que, cuando recibieron dicho correo, la respondieron que mirase la carpeta de spam y que, la reclamante debió mirar en spam pues, se constata que cambió la contraseña y se dio de baja en su cuenta ya que, no constan en sus ficheros ninguna referencia a la reclamante. III.- Sobre la posible infracción a la Ley LSSI, respecto al envío de comunicaciones comerciales sin el consentimiento del destinatario. El envío de comunicaciones comerciales por medios electrónicos está regulado en el artículo 21 de la LSSI, disponiendo lo siguiente: “
- Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas.
- Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” Por tanto, en el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la actuación de la parte reclamada en este caso, no se contradice con lo estipulado en el artículo 21 de la LSSI. Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Dª. A.A.A., titular de la página web ***URL.1 y a Dª. B.B.B. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es