E-11429-2021

1/4  Expediente Nº: EXP202102041(E/11429/2021) RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el ASL FITNESS, S. L. con CIF.: B88488135, (en adelante, “la parte reclamada”), en virtud de la reclamación presentada por D. A.A.A., (en adelante, “la parte reclamante”), y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 06/07/21, tuvo entrada en esta Agencia, escrito presentado por el reclamante, en el que indicaba, entre otras que, había sido socio del club, ASL FITNESS, S.L., hasta el año 2015 cuando se dio de baja del mismo. Indica que en año 2018 recibió un correo electrónico desde la dirección ***EMAIL.1 informándole del cambio de normativa de protección de datos y solicitando su consentimiento para el envío de comunicaciones comerciales. A este respecto, indica que él nunca dio su consentimiento para ello. No obstante, unos años después volvió a recibir dos comunicaciones electrónicas comerciales, ahora desde las direcciones ***EMAIL.2 y ***EMAIL.3 , el 17/05/21 y el 19/05/21, con mensajes publicitarios haciendo referencia al club ASL FITNESS S.L. Denuncia que, se ha accedido indebidamente al listado de clientes del club, tratando sus datos personales sin consentimiento para fines comerciales. SEGUNDO: Con fecha 14/09/21, por parte de esta Agencia se dirigió escrito a la entidad solicitando información sobre la reclamación recibida, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 24/10/21, la entidad reclamada remite a esta Agencia escrito de contestación a la solicitud de información, en el cual, entre otras, indican: Que el reclamante era socio del club ASL FITNESS, hasta el año 2015, por lo que la entidad mantenía sus datos personales de inscripción en la categoría de “antiguo socio”. Que iDeando+ (***URL.1), es una agencia de marketing con la que han contratado la prestación de servicios de comunicación digital y que los envíos corresponden a dos pruebas que la entidad iDeando+ realizó en relación con dos proyectos empresariales que estaban desarrollando, que al final no llegaron a implementarse: “suplementatuvida.es” e “ideandomas.es”, y de los que solo quedan sendas webs que ya no están operativas. Afirman que esos envíos, que se realizaron en la modalidad de “prueba”, se remitieron únicamente a las direcciones de correo de varios colaboradores y amigos que habían consentido los mismos. No obstante, indican que, los envíos al reclamante obedecieron a un error informático consistente en que el programa de mensajería C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 utilizado, el Outlook Express, de Microsoft, tenía por defecto la función, “autocompletar”, que de forma automática rellena las direcciones de correo cuando se va a enviar uno con solo poner las primeras letras del nombre del destinatario. El error detectado consistió en que, los envíos de prueba iban dirigidos al colaborador, D. B.B.B., con DNI ***NIF.1 y domicilio en calle ***DIRECCIÓN.1 y correo-e ***EMAIL.4 y ***EMAIL.5 y cuando se elaboraron dichos correos al introducir el nombre de “Jaime” en la barra de destinatarios, el programa autocompletó de forma automática la dirección de correo pero lo hizo con la dirección del reclamante, ***EMAIL.6 por lo que finalmente se le enviaron dichos correos a este destinatario sin que fuera la intención, y que, para evitar que se produzca nuevamente este tipo de errores, han procedido a deshabilitar la opción “autocompletar”. CUARTO: Con fecha 25/10/21, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. FUNDAMENTOS DE DERECHO I-Competencia Es competente para resolver este Procedimiento, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). II- Síntesis de los hechos: En el presente caso, el reclamante indica que, había socio del club, ASL FITNESS, S.L., hasta el 2015 cuando se dio de baja del mismo. En el año 2018 había recibió un correo electrónico de este club informándole del cambio de normativa de protección de datos y solicitando su consentimiento para el envío de comunicaciones comerciales, pero él nunca se lo dio. No obstante, en el año 2021 recibió dos correos electrónicos publicitarios, desde dos cuentas de correos pertenecientes a la entidad iDeando+, empresa, que según afirma ASL FITNESS, SL., ha sido contratada por ellos para realizar el servicio de comunicaciones digitales. La entidad reclamada afirma que, el envío de comunicaciones comerciales al reclamante fue debido a un error en la configuración del programa de mensajería utilizado, el Outlook Express, de Microsoft, que tenía por defecto la función, “autocompletar”, y que en vez de completar el correo electrónico con la dirección del colaborador al que en principio iban dirigidos los correos electrónicos, se completó con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 la dirección del correo del reclamante, al tener éste el mismo nombre que el colaborador y que, para evitar que se produzcan este tipo de errores en lo sucesivo, han procedido a deshabilitar la opción “autocompletar” del Outlook Express. III.- Sobre el envío de correos electrónicos con mensajes publicitarios sin el consentimiento necesario: En el caso que nos ocupa, según se desprende del escrito de reclamación y de la documentación aportada , el reclamante era socio del club ASL FITNESS, hasta el año 2015, por lo que la entidad mantenía sus datos personales de inscripción en la categoría de “antiguo socio”, sin que, al parecer, en ningún momento el reclamante solicitase a la entidad que eliminara sus datos personales de sus sistemas. iDeando+, agencia de marketing con la que el club había contratado la prestación de servicios de comunicación digital, intentó enviar dos correos electrónicos de prueba a un colaborador, en relación con dos proyectos empresariales que estaba desarrollando, los días 17/05/21 y 19/05/21, pero debido a un error de configuración del Outlook Express utilizado, fueron enviados al reclamante. El hecho de que la entidad, iDeando+, tuviera en su poder los datos personales del reclamante, según consta en la declaración de club ASL FITNESS, es que había sido contratada por ésta para la gestión de las comunicaciones digitales. No obstante, el envío de dos correos electrónicos desde las direcciones de correo pertenecientes a la entidad iDeando+, al reclamante sin su consentimiento de éste podrían suponer la vulneración del artículo 21 de la LSSI, pues dispone lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” La citada infracción se encuentra tipificada como “leve” en el art. 38.4.d) de dicha norma, que califica como tal, “El envío de comunicaciones comerciales por correo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. No obstante, artículo 45 de la citada Ley LSSI, establece que la prescripción de las infracciones leves se produce a los seis meses de haberse cometido, por lo que, en el presente caso, las infracciones habrían prescrito el 19/11/21. Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la entidad ASL FITNESS, S. L. con CIF.: B88488135, y a D. A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es