PS-00001-2016

1/27 Procedimiento Nº PS/00001/2016 RESOLUCIÓN: R/01322/2016 En el procedimiento sancionador PS/00001/2016, instruido por la Agencia Española de Protección de Datos a la entidad BANCO SANTANDER, S.A., vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 22 de septiembre de 2015, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., (en lo sucesivo el denunciante), en el que manifestaba que recibe publicidad no deseada del BANCO SANTANDER, S.A., en adelante la denunciada, por vía postal y electrónica. Ello a pesar de que la Agencia Española de Protección de Datos, (en adelante AGPD), impuso a dicha entidad financiera por motivos semejantes una multa de 2.000 € en el procedimiento sancionador PS/00331/2014 y, posteriormente, acordó iniciar a dicha sociedad el procedimiento sancionador PS/00219/2015. A los efectos de acreditar dicha circunstancia, el denunciante adjunta la siguiente documentación: - Copia del correo electrónico comercial con asunto: “Por fin una hipoteca en condiciones” remitido, con fecha 24 de julio de 2015, desde la dirección “Santander”BancaComercial@emailing.bancosantander.es a la cuenta de correo ......@hotmail.es . En dicho envío, cuyas cabeceras de Internet se aportan, se ofrecía un enlace de baja y se publicitaba una “Hipoteca Santander” - Copia del extracto, de fecha 3 de septiembre de 2015, remitido al denunciante, a la (C/.....1) de Valladolid, con información publicitaria referente a la cuenta corriente 123 del BANCO SANTANDER, S.A. Se comprueba que el nombre y apellidos del destinatario del envío y la dirección a la que se remitió el extracto coinciden con los datos del denunciante que figuran en la denuncia. SEGUNDO: En el Hecho Probado Primero de las Resoluciones números: R/02438/2014 y R/02722/2015, de fechas 30/10/2014 y 12/11/2015, acordadas, respectivamente, en los procedimientos sancionadores números PS/00331/2014 y PS/00219/2015, instruidos por esta Agencia al BANCO SANTANDER, S.A., y en los que el denunciante también actuaba en calidad de tal en los mismos, se hace constar que: “Mediante escrito con fecha de entrada en BANCO SANTANDER, S.A., de 10/06/2011, el denunciante ejerce su derecho de oposición a que sus datos sean tratados con fines de publicidad y prospección comercial.” TERCERO: Con fecha 13 de enero de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a BANCO SANTANDER, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/27 S.A. tanto por presunta infracción del artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica, como por presunta infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4
2. d)de la citada Ley, pudiendo ser sancionada con multa de hasta 30.000 € con arreglo al artículo 39.1.
3. c)de la LSSI. CUARTO: Notificado el acuerdo de inicio, BANCO SANTANDER, S.A., y tras recibir la copia de la documentación del expediente solicitada, formuló alegaciones, significando, que tanto el denunciante como sus dos hermanas son clientes que proceden de Banesto, manteniendo sus relaciones de negocio por internet, para lo que autorizaron al banco firmando un documento en el que reconocen que la información que reciben les ha sido enviada a la dirección electrónica facilitada por los mismos. En el supuesto de este expediente, la información publicitaria enviada al correo electrónico iba dirigida a B.B.B., como se ve en el encabezamiento de la comunicación, quien no se ha opuesto a la recepción de envíos publicitarios. En cuanto a la información enviada por correo electrónico al denunciante, no cabe advertir que sea comercial, ya que es una liquidación de cuentas. Si se ha enviado en el mismo documento una información comercial tendría un carácter accesorio. En consecuencia, en relación con el correo electrónico no se ha producido infracción ya que no iba dirigido al denunciante sino a su hermana y en cuanto al correo postal el objeto principal del envío es la información contractual. QUINTO: Con fecha 9 de febrero de 2016, se inició el período de práctica de pruebas, durante el cual se acuerda lo siguiente: 1. Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y la documentación adjunta a la misma, las alegaciones al acuerdo de inicio PS/00001/2016 presentadas por BANCO SANTANDER, S.A., y la documentación que a ellas acompaña. 2. Incorporar al procedimiento, a efectos probatorios, la siguiente documentación: - En relación con el PS/00331/2014: Denuncia formulada por el denunciante con fecha 7 de enero de 2014 contra el BANCO SANTANDER, S.A., contestación de esa entidad al requerimiento de información efectuado en el expediente de investigación E/00551/2014, Diligencia del Inspector de Datos de fecha 30 de abril de 2014, alegaciones de dicha entidad al acuerdo de inicio y propuesta de resolución del PS/00331/2014, así como resolución R/02438/2014 acordada el 31/10/2014 en dicho expediente. - En relación con el PS/00219/2015: Denuncia formulada por el denunciante con fecha 5 de enero de 2015 contra el BANCO SANTANDER, S.A., alegaciones de dicha entidad al acuerdo de inicio y propuesta de resolución del PS/00219/2015, así como resolución R/02722/2015 acordada el 12/11/2015 en dicho expediente. - Sentencia de fecha 4 de diciembre de 2015 acordada por la Audiencia Nacional en el Recurso Contencioso Administrativo nº 2/2015, interpuesto por BANCO SANTANDER, S.A., contra resolución de 30 de octubre de 2014 del Director de la Agencia Española de Protección de Datos en el PS/00331/2014. 3. Solicitar al BANCO SANTANDER, SA la aportación de la siguiente información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/27 y/o documentación: - Remisión de la documentación contractual correspondiente a de cada uno de los clientes firmantes del Doc. 1 adjuntado al escrito de alegaciones, ya que sólo se aportaba el “Anexo: Provisión de información a través de la página Web”, con justificación de que con fecha 29 de octubre de 2012 los tres clientes que lo suscribieron facilitaron la dirección electrónica ......@hotmailcom. - Remisión de copia íntegra del “Contrato Básico para la Prestación de Servicios de Inversión a Clientes“, en adelante contrato básico, suscrito por el denunciante con BANESTO el 24 de octubre de 2012. Igualmente se remitirá copia de los contratos completos suscritos por B.B.B.y C.C.C. con motivo de su celebración. Se solicita aclaración de si dicho contrato está vigente, de los números de cuenta (CCC) vinculados al mismo y sus respectivos titulares, así como se trata del contrato multicanal. - En el caso de que el contrato básico no coincida con el contrato multicanal se solicita copia íntegra de los contratos multicanal firmados por dichos titulares. - Acreditación de que Dña. C.C.C. facilitó el 5 de marzo de 2014 la cuenta de correo electrónico en cuestión, tal y como se indicó en las actuaciones previas de inspección del E/00551/2014 que dieron lugar al PS/00331/2014. - Acreditación de que Dña. B.B.B. añadió a la base de datos la reseñada cuenta de correo electrónico el día 12/03/2013, con justificación del motivo por el que lo facilitó o se le requirió, copia del contrato al que se vincula la aportación de dicho dato y finalidades concretas para las que autorizó su uso. - Acreditación de que el denunciante al solicitar una orden de traspaso con sus claves desde Banesnet, el día 08/11/2013, introdujo en los datos de la misma la reseñada cuenta de correo electrónico, con justificación del motivo por el que lo facilitó o se le requirió, contrato al que se vincula la aportación de dicho dato y finalidades concretas para las que autorizó su uso. Se solicita aportación del documento de OTE. - En todo caso, se solicita acreditación de las fechas exactas y forma o medios utilizados por cada uno de esos clientes (A.A.A., B.B.B.y C.C.C.) para facilitar la mencionada cuenta de correo, con aportación de los correspondientes contratos o documentos y finalidades exactas para las que consienten su uso. - Remisión de copia del contrato relativo a la cuenta ***CCC.1. - Actuación seguida por esa entidad cuando alguno de los titulares de cuentas indistintas se opone al tratamiento publicitario de sus datos personales, entre los que se encuentran señas electrónicas comunes al resto de titulares. - Remisión de la información obrante en su base de datos de personas respecto de las direcciones electrónicas del denunciante, B.B.B.y de C.C.C. en julio y septiembre de 2015. 4. SOLICITAR a Don A.A.A. la siguiente documentación o información: - Atendido que BANCO SANTANDER, S.A. alega en su escrito de alegaciones que la dirección de correo electrónico ......@hotmail.es es una cuenta compartida con sus hermanas, se solicita :
4. a)Acreditación de que el denunciante es y ha sido único titular y usuario de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/27 la dirección de correo electrónico ......@hotmail.es.
5. b)Aportación de declaración testimonial de sus hermanas C.C.C. y B.B.B., acompañada cada una de las declaraciones de copia de documento identificativo de las mismas, en la que éstas contesten si dicha dirección de correo electrónico ha sido, o no, utilizada y facilitada por ellas en el marco de las relaciones contractuales de negocio por Internet, o de otro tipo, mantenidas en su día con BANESTO y en la actualidad con BANCO SANTANDER, S.A. También se requiere que Dña. C.C.C. confirme o niegue, según proceda, haber facilitado el 5 de marzo de 2014 la cuenta de correo electrónico ......@hotmail.es. Al igual que se requiere que Dña. B.B.B. confirme o niegue, según proceda, haber añadido el día 12/03/2013 a la base de datos de alguna de las entidades reseñadas la citada cuenta de correo electrónico, debiendo justificarse el motivo por el que se facilitó o fue requerido dicho dato y las finalidades concretas para las que autorizó su uso. También se solicita remisión de copia del contrato/s al que se vincula la aportación de dicho dato. Asimismo, se solicita declaren si han ejercido el derecho de oposición ante BANESTO o BANCO SANTANDER, S.A., al tratamiento de sus datos personales para no recibir comunicaciones comerciales o publicitarias por vía postal o por medios de comunicación electrónica. - Remisión de la documentación contractual relativa a los diferentes servicios o productos contratados con BANESTO, o en su caso con BANCO SANTANDER, S.A., en los que el denunciante hubiera facilitado la mencionada dirección de correo electrónico a efectos de contacto. - Aclaración de si resulta ser cierto que el día 08/11/2013 solicitó una orden de traspaso con sus claves desde Banesnet introduciendo en los datos de la misma la cuenta de correo electrónico, ......@hotmail.es, conforme afirma BANCO SANTANDER, S.A, en cuyo caso se solicita justificación de la finalidad para la que fue facilitada o se le requirió dicha información, contrato al que se vincula la aportación de dicho dato y finalidades concretas para las que autorizó su uso. - Remisión de copia íntegra del “Contrato Básico para la Prestación de Servicios de Inversión a Clientes“, en adelante contrato básico, suscrito por usted con BANESTO el 24 de octubre de 2012. SEXTO: Con fecha 19 de febrero de 2012 se registra escrito del BANCO SANTANDER, S.A. en el que indica que acompaña: copia del contrato multicanal suscrito por los tres hermanos, en fecha 24 de octubre de 2012 con Ibanesto; contratos multicanal que después de la fusión con Banco Santander suscribieron C.C.C. y el denunciante, mientras que la otra hermana, B.B.B., no suscribió un nuevo contrato multicanal con el Banco; órdenes de traspaso de efectivo firmadas por los tres hermanos el 24/12/2012 y orden de traspaso con solicitud de OTE recogiendo como dato de contacto además del teléfono el correo electrónico discutido, cuya incorporación a la base de datos justifican mediante aportación de notas explicativas acompañadas de varios pantallazos. Igualmente, afirman que la forma de proceder para envíos publicitarios en el caso de titularidades indistintas con uso común de un medio electrónico es un caso infrecuente., utilizándose el criterio de personalizar la publicidad a las personas que no se habían opuesto a la recepción de publicidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/27 Con fechas 2 y 7 de marzo de 2016 se registra de entrada contestación del denunciante exponiendo que en la Resolución del PS/00331/2014 consta que el 30 de abril de 2014, se contactó con su hermana C.C.C. que indicó que la dirección de correo electrónico ......@hotmail.es es de su hermano y que ella no la había aportado. Entiende que el Banco, a partir de ese momento, ya sabía que la cuenta de correo electrónico era suya y no debía utilizarla. SÉPTIMO: Con fecha 19 de abril de 2016, se recibe nuevo escrito del denunciante señalando que le han vuelto a enviar una carta, fechada el día 23 de enero de 2016, con información de intereses, comisiones y gastos, en la que se incluía un encarte con la leyenda: “DESCUBRE LA NUEVA CUENTA 123. LA CUENTA CORRIENTE QUE TE REMUNERA HASTA UN 3% DEL SALDO HASTA 15.000€, BONIFICA TUS RECIBOS DE TRIBUTOS LOCALES, EL COLEGIO DE LOS NIÑOS Y LA ONG A LA QUE AYUDAS, Y CON LA QUE PUEDES CONSEGUIR ACCIONES DEL SANTANDER AL ACCEDER AL MUNDO 1 2 3” OCTAVO: Con fecha 5 de mayo de 2016 se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancione al BANCO SANTANDER, S.A. con las siguientes multas: - Multa 20.000 € (veinte mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3
6. b)de dicha norma, de conformidad con los apartados 1, 2,4 y 5.
7. a)del artículo 45 de la LOPD. - Multa de 8.000 € (Ocho mil euros) por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
8. d)de dicha norma, de conformidad con los artículos 39.1.
9. c)y 40 de la LSSI. NOVENO: Notificada la citada propuesta de resolución, formula las siguientes alegaciones: BANCO SANTANDER, S.A. En relación con la infracción al artículo 6.1 de la LOPD, tras poner de manifiesto que el correo postal enviado al interesado es el habitual que se utiliza para remitir la información obligatoria relacionada con los productos contratados por el cliente, se defiende: “Resulta así que son características específicas del caso , primero que es evidente que el envío tiene como finalidad única cumplir con la obligación de informar al cliente del desarrollo de sus operaciones , y segundo, que la información que contiene y que puede considerarse como comercial no puede considerarse como un supuesto de envío de información publicitaria pues no es el objeto del envío que se realiza. Y ello, no solo por su carácter ajeno y accidental al cumplimiento de la obligación contractual que es objeto principal del envío y que es informar al cliente sobre sus cuentas, sino porque es un mensaje impreso, no en un documento exclusivo a tal efecto, sino en otro documento que tiene por finalidad ocultar la información que se remite indicar que el contenido del sobre es la liquidación de una cuenta e identificar al destinatario y su dirección.” A lo que añaden, “Por otra parte, el hecho de recoger en un documento destinado a dar información contractual una breve referencia accidental y marginal en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/27 cuanto al contenido de la información que se envía a otro producto no puede considerarse propiamente promoción comercial en el sentido habitual que ampara este término, cuando de lo que se trata es de una información relativa a unas cuentas del titular que contienen accidentalmente una mención de otro producto no tratándose de ningún modo de folletos e informaciones propiamente publicitarios o medios semejantes.” En relación con la infracción al artículo 21.1 de la LSSI estiman que no se aprecia la existencia de la conducta infractora imputada debido a que: “En primer lugar está acreditado por la cabecera del correo recibido que el destinatario del mismo no era el denunciante sino su hermana B.B.B., identificada además de nombre por su dos apellidos, que no ha formulado denuncia alguna. B.B.B. ha sido cliente del banco y titular de diversos productos del mismo, sin que haya en ningún momento ejercitado sus derechos de cancelación de datos ni consta que nunca haya hecho oposición al envío de comunicaciones comerciales ni al uso para ello del correo electrónico que en su día facilitó Juntamente con sus hermanos.” Pero además, y esto es lo más importante, la Agencia es plenamente consciente de que no está acreditado que el denunciante sea el titular de la cuenta de correo en cuestión.” (…) “En todo caso, todo lo que ha quedado expuesto lo que revela es que ni el denunciante ni mucho menos la Agencia, a pesar de no tener por cierto quien es el titular de la dirección de correo discutida, han aportado la mínima evidencia objetiva de que la misma es del denunciante y no de las hermanas, que no se han opuesto a recibir publicidad, omitiendo presentar cualquier prueba objetiva al respecto.” HECHOS PROBADOS PRIMERO: Con fecha 10 de junio de 2011, Don A.A.A., en adelante el denunciante, presentó en la oficina del BANCO SANTANDER, S.A. ubicada en la (C/....2) de Valladolid, escrito ejercitando su derecho a que sus datos de carácter personal fueran excluidos de tratamientos con fines publicitarios y de prospección comercial. Dicha solicitud fue sellada por la entidad bancaria. (folio 31). SEGUNDO: El denunciante es cliente del BANCO SANTANDER, S.A., entidad con la que consta suscribió, cuando respondía a la razón social Banco Santander Central Hispano, S.A el 7 de diciembre de 2004 “Contrato Multicanal”. En el contrato el dato de la dirección de correo electrónico está sin cumplimentar. (folios 2, 130 al 132 y 144) TERCERO: Con fecha 28 de mayo de 2010 Dña. C.C.C. , hermana del denunciante, suscribió “Contrato Multicanal” con el BANCO SANTANDER, S.A. (folios 124 al 128) CUARTO: Con fecha 24 de octubre de 2012 el denunciante y sus hermanas C.C.C. y B.B.B., en adelante sus hermanas, suscribieron con el Banco Español de Crédito, S.A. contrato “ Pack Bienvenida” de Ibanesto relativas a las operaciones y servicios de: Apertura de Cuenta, Cuenta Azul, Depósito Azul, Cuenta Nómina Azul, Cuentas a Plazo, Tarjetas Bancarias de Pago, Préstamo Mercantil al Consumo, Banca a Distancia para Particulares y Depósito y Administración de Valores. . (folios 114 al 118) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/27 QUINTO: Con fecha 24 de octubre de 2012 el denunciante y sus hermanas suscribieron con el Banco Español de Crédito, S.A. “Contrato básico para la prestación de Servicios de Inversión a Clientes Minoristas”. (folios 18 al 20 y 119 al 123). SEXTO: En la documentación contractual reseñada con anterioridad no figura como dato de contacto del denunciante ni de sus hermanas el correo electrónico ......@hotmail.es, información que tampoco aparece en el documento “ANEXO: Provisión de información a través de la página Web” de fecha 29 de octubre de 2012. SÉPTIMO: Con fecha 15 de febrero de 2016 la dirección de correo electrónico ......@hotmail.es aparece asociada a los datos del denunciante y de sus dos hermanas en la Base de Datos de Personas-Consulta de Direcciones Electrónicas” del Banco Santander, S.A. (folios 137 y 138) OCTAVO: Con fecha 30 de octubre de 2014, el Director de la Agencia Española de Protección de Datos resolvió sancionar a Banco Santander en el procedimiento sancionador PS/00331/2014 por enviar dos correos publicitarios con fechas 20/12/2013 y 30/12/2013 a la dirección de correo electrónico del denunciante sin consentimiento previo y expreso del mismo. En dicho expediente obraba Diligencia levantada por el Inspector de Datos en el que constaba que Dña. C.C.C. , hermana del denunciante, había indicado vía telefónica al Inspector Actuante que no había facilitado nunca la dirección de correo electrónico ......@hotmail.es al Banco Santander, tratándose de una cuenta que pertenecía a su hermano, (folios 92, 98 al 105) NOVENO: La Audiencia Nacional desestimó en Sentencia de fecha 4 de diciembre de 2015 el Recurso contencioso administrativo nº 2/2015, interpuesto por Banco Santander, S.A. contra la Resolución de la AEPD en el PS/00331/2014,. (folios 75 a 79). DÉCIMO: Con fecha 12 de noviembre de 2015, la Directora de la Agencia Española de Protección de Datos resolvió sancionar a Banco Santander, PS/00219/2015, por enviar dos correos publicitarios a la dirección de correo electrónico del denunciante, en fechas 18/11/2014 y 28/11/2014. (folios 67 a 73) UNDÉCIMO: Con fecha 3 de septiembre de 2015, Banco Santander remite un envío postal al domicilio del denunciante y a su nombre relativo a “liquidación de cuenta/s” que incluía la siguiente leyenda. “DESCUBRE LA NUEVA CUENTA 123. LA CUENTA CORRIENTE QUE TE REMUNERA HASTA UN 3% DEL SALDO HASTA 15.000€, BONIFICA TUS RECIBOS DE TRIBUTOS LOCALES, EL COLEGIO DE LOS NIÑOS Y LA ONG A LA QUE AYUDAS, Y CON LA QUE PUEDES CONSEGUIR ACCIONES DEL SANTANDER AL ACCEDER AL MUNDO 1 2 3” (folios 2, 26 y 27) DUODÉCIMO: Con fecha 24 de julio de 2015, BANCO SANTANDER, S.A. remitió una comunicación comercial a la dirección ......@hotmail.es desde la cuenta de correo electrónico bancacomercial@emailing.bancosantander.es con publicidad de la Hipoteca Santander. En el encabezamiento se indica: Información dirigida a B.B.B. (folio 3). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/27 DECIMOTERCERO: Con fecha 23 de enero de 2016, BANCO SANTANDER, S.A. remite un envío postal al domicilio del denunciante y a su nombre sobre “intereses, comisiones y gastos” que incluye la siguiente leyenda. “DESCUBRE LA NUEVA CUENTA 123. LA CUENTA CORRIENTE QUE TE REMUNERA HASTA UN 3% DEL SALDO HASTA 15.000€, BONIFICA TUS RECIBOS DE TRIBUTOS LOCALES, EL COLEGIO DE LOS NIÑOS Y LA ONG A LA QUE AYUDAS, Y CON LA QUE PUEDES CONSEGUIR ACCIONES DEL SANTANDER AL ACCEDER AL MUNDO 123” (folio 144) FUNDAMENTOS DE DERECHO I En el presente procedimiento se imputa la comisión de dos infracciones al Banco Santander, la primera infracción deriva de una posible vulneración de dispuesto en el artículo 6.1 de la LOPD, mientras que la segunda infracción deriva de una posible conculcación de lo previsto en el artículo 21.1 de la LSSI. La Directora de la Agencia Española de Protección de Datos resulta competente para sancionar la comisión de la infracción a la infracción tipificada en el artículo 44.3
10. b)de la LOPD, de conformidad con lo dispuesto en el artículo 37.
11. g)en relación con el artículo 36 de dicha norma, Asimismo, la competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
12. d)e
13. i)y 38.4 d),
14. g)y
15. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II La primera infracción imputada al BANCO SANTANDER, S.A. tiene su origen en la supuesta conculcación del principio del consentimiento recogido en el artículo 6.1 de la LOPD con motivo de la remisión , con fechas 3 de septiembre de 2015 y 23 de enero de 2016, de dos envíos postales por parte de dicha sociedad al domicilio del denunciante y a nombre del mismo con información publicitaria de la cuenta 1 2 3 comercializada por esa entidad, los cuales se produjeron con posterioridad a que el denunciante hubiera ejercitado ante la misma su derecho de oposición al tratamiento de sus datos personales con fines de publicidad y de prospección comercial, en concreto con fecha 10 de junio de 2011 al objeto de ser excluido de ese tipo de tratamientos. La vigente LOPD, en su artículo 43, atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
16. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
17. q)del Reglamento de desarrollo de la LOPD, de 13 de diciembre, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en adelante RDLOPD, se define “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/27 aunque no lo realizase materialmente”. En el presente caso, conforme a los preceptos reseñados en los Fundamentos de Derecho siguientes, se ha producido por parte del Banco Santander un tratamiento automatizado de datos personales del denunciante (nombre, apellidos y domicilio) con fines publicitarios que sitúa a dicha entidad, , en tanto que responsable de los citados ficheros y del tratamiento publicitario efectuado con esa información de carácter personal, en una posición jurídica susceptible de generar responsabilidad por incumplimiento de la LOPD al haber decidido sobre la finalidad, contenido y uso del tratamiento objeto de imputación, máxime cuando en las fechas en que se realizaron los dos envíos postales objeto de imputación ya conocía la negativa expresa del denunciante al tratamiento publicitario de sus datos de carácter personal. III Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. El artículo 6 de la LOPD dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El propio artículo 3 de la LOPD en su apartado
18. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/27 esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. En este supuesto, en el que se ha producido un tratamiento publicitario de los datos de carácter personal del afectado después de la presentación de su solicitud de fecha 10 de junio de 2011, resulta, asimismo, de aplicación el artículo 30.1 de la LOPD, precepto que regula los “Tratamientos con fines de publicidad y de prospección comercial”, estableciendo que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento.” Por su parte, el artículo 15 del RDLOPD, establece: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. “ A este respecto, hay que considerar igualmente lo establecido en los artículos 45.1.
19. b)y 46.1 del citado Reglamento de desarrollo de la LOPD en lo que respecta a los “Tratamientos para actividades de publicidad y prospección comercial” “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
20. b)Hayan sido facilitados por los propios interesados y obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad,” “Artículo 46. Tratamiento de datos en campañas publicitarias. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/27 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre.” IV En este supuesto, ha resultado acreditado el tratamiento de los datos de carácter personal del denunciante por parte del BANCO SANTANDER, S.A. para remitirle dos envíos postales con fechas 03/09/2015 y 23/01/2016 en los que ofertaba la contratación de la cuenta corriente 1 2 3. (folios 2 y 144). Este tratamiento se ha producido sin que la citada entidad financiera contase con el consentimiento inequívoco del denunciante para utilizar sus datos con fines publicitarios desde el 10 de junio de 2011, fecha en la que consta que éste puso en conocimiento de dicha entidad que no deseaba recibir publicidad de la misma, y, consecuentemente, el Banco Santander no podía utilizar el nombre, apellidos y domicilio del afectado con tratamientos asociados a esa finalidad. A pesar de la recepción por BANCO SANTANDER, S.A. de dicha solicitud en la fecha indicada, no consta actuación alguna por parte de dicha sociedad tendente a evitar que no se volvieran a tratar los datos del denunciante con fines de publicidad. No hay que olvidar que como responsable del fichero en el que figuran los datos del afectado, quien es cliente de esa entidad al menos desde que el 07/12/2004 suscribió el “Contrato Multicanal” que obra en el expediente (folio 130), y como responsable del tratamientos publicitario objeto de imputación, debió articular los medios necesarios para excluir, en forma efectiva, los datos personales del denunciante a efectos publicitarios en sus sistemas. La entidad denunciada sostenía en sus alegaciones al acuerdo de inicio que el envío postal remitido el 03/09/2015 no podía calificarse como de correspondencia comercial sino, como se desprende del sobre del envío, de información relativa a “Liquidación de Cuenta/s” dentro del marco de los servicios contratados, por lo que la introducción eventual, si se diera el caso, de alguna información comercial en el envío sería accesoria. Frente a dicho alegato, debe indicarse que en el segundo envío postal dirigido al denunciante con fecha 23/01/2016 conteniendo también la identidad y señas postales del destinatario, la reseña del tipo de información contractual adjuntada al mismo, en este caso referida a intereses, comisiones y gastos (folio 144), vuelve a contener la misma información comercial que la que fue objeto de la denuncia registrada el 22/09/2015. A tenor de lo cual, utilizar un medio inicialmente destinado a dar información contractual para introducir información publicitaria no es una circunstancia accesoria, marginal o accidental, habida cuenta que la impresión mecánica en el papel que contiene los datos identificativos del denunciante necesarios para que la carta llegue a su destino de publicidad de un determinado producto comercializado por la entidad remitente constituye un tratamiento publicitario de los datos de carácter personal del denunciante realizado en paralelo al tratamiento contractual, aunque independiente y ajeno al mismo. Es decir, la entidad denunciada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/27 utiliza como medio de promoción el envío postal al que se adjuntan los extractos sobre liquidación de cuenta/s, intereses, comisiones y gastos. De ese modo, de la lectura de la leyenda “DESCUBRE LA NUEVA CUENTA 123. LA CUENTA CORRIENTE QUE TE REMUNERA HASTA UN 3% DEL SALDO HASTA 15.000€, BONIFICA TUS RECIBOS DE TRIBUTOS LOCALES, EL COLEGIO DE LOS NIÑOS Y LA ONG A LA QUE AYUDAS, Y CON LA QUE PUEDES CONSEGUIR ACCIONES DEL SANTANDER AL ACCEDER AL MUNDO 123”, que figura en los envíos reseñados en los Hechos Probados Undécimo y Decimotercero de esta resolución, se evidencia que tiene como finalidad publicitar una nueva cuenta corriente comercializada por la entidad financiera denunciada, cuyas principales características y ventajas se anuncian por ese medio. En relación con las alegaciones a la propuesta de resolución, conviene puntualizar que el hecho de que dicha información publicitaria se encuentre contenida en el papel que sirve, según indica la imputada, para ocultar de la vista la información relacionada con los productos y servicios contratados por el denunciante, no obsta para declarar que se han tratado los datos de carácter personal del denunciante en fechas 23 de enero y 3 de septiembre de 2016 con fines de publicidad por la mercantil denunciada, entidad responsable del tratamiento y del fichero, que excede del uso necesario para el mantenimiento y desarrollo de la concreta relación contractual existente entre ambas partes. Por lo que el tratamiento de los datos personales del denunciante (nombre, apellidos, dirección) no ha respondido únicamente a la finalidad propia de la correspondencia contractual, ya que en ambos casos también se ha utilizado por la entidad remitente para promocionar entre sus clientes un nuevo producto financiero a través de la inclusión en los mismos del encarte publicitario al que ya se hecho referencia . La información publicitaria incluida en los reseñados envíos no guarda relación alguna con la información contractual obligatoria adjuntada a los documentos analizados, considerándose que el mencionado papel podría, en los dos envíos estudiados, haber cumplido perfectamente su finalidad de ocultar la información contractual remitida sin incluir dicha información comercial. Por lo que estamos ante un tratamiento publicitario decidido por BANCO SANTANDER, S.A. a pesar de conocer que excedía de la habilitación legal que le amparaba para tratar los datos de carácter personal del denunciante sin contar con su consentimiento y de la existencia de la oposición del titular de los datos al mismo. Es decir, sin perjuicio de que las cartas enviadas al denunciante tengan como una de sus finalidades informarle de la situación de la/s cuenta/s o productos que mantiene con la entidad, resulta evidente que esas comunicaciones se utilizan para hacer publicidad de un nuevo producto del Banco Santander. El hecho de que la publicidad se incluya junto con la información bancaria no significa que el tratamiento efectuado con los datos de carácter personal se haya limitado a remitir información asociada al mantenimiento y desarrollo de la relación contractual, puesto que la correspondencia postal remitida incluye publicidad, tal y como se evidencia de su simple lectura. En todo caso, esta forma de hacer publicidad debe resultar compatible con la obligación del Banco Santander de establecer los mecanismos que permitan cumplir los requerimientos legales de protección de datos, lo que incluye atender la negativa de los clientes que no desean que sus datos de carácter personal se utilicen para enviarles publicidad. En Sentencia de fecha 30/05/2014, la Audiencia Nacional confirmo la sanción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/27 impuesta por el tratamiento inconsentido de datos de un denunciante, estableciendo en su Fundamento de Derecho Tercero de la misma: “Por tanto, la cuestión que se suscita en el caso de autos no es fáctica sino jurídica y consiste en dilucidar si el invocado por la actora RD 1432/2002, que habilita el acceso a una base de datos de titulares de punto de suministro, puede habilitar el tratamiento de los datos del denunciante efectuado con posterioridad a la revocación del consentimiento para el tratamiento con fines comerciales y a la transmisión del citado cliente (en abril de 2010) a la suministradora actual. Pues bien, parece claro que si el denunciante ejerció su derecho de oposición ante la entidad recurrente para que sus datos no fueran tratados- por lo que aquí nos interesa- con fines comerciales, solicitud que la recurrente se comprometió a atender, debió adoptar las medidas necesarias para garantizar que sus datos no van a ser tratados con fines comerciales. A tal fin dispone el artículo 48 del Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica de Protección de Datos (RLOPD) que “Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlo, y adoptar las medidas necesarias que eviten el envío de publicidad”. Por tanto, no puede aceptarse lo alegado por la actora respecto a que no podía guardar información de los clientes transmitidos, pues el citado precepto la habilitaba para conservar los mínimos datos imprescindibles al objeto de evitar el envío de publicidad o, lo que es igual, el tratamiento de sus datos con fines comerciales. En casos como el presente, no puede aceptarse la habilitación del citado RD 1432/2002 como anulación de la revocación y oposición ejercida por el denunciante pues, como razona la AEPD, ello supondría vaciar de contenido el principio del consentimiento para el tratamiento de datos personales y relegar a mero formalismo el ejercicio del derecho de oposición, perdiendo así la sustantividad que el legislador les otorgó en la LOPD. Por tanto, la entidad recurrente al objeto de atender el derecho de oposición del denunciante, debió haber cruzado la base de datos del punto de suministro con la propia de la entidad referida a aquellas personas que hubieran mostrado su oposición al tratamiento de sus datos con fines comerciales, lo que no hizo. En definitiva Gas Natural Servicios SDG ha incurrido en la infracción apreciada por vulneración del principio del consentimiento reconocido en el artículo 6.1 de la LOPD, pues pese a conocer desde marzo de 2009 la revocación del consentimiento del denunciante para el tratamiento de sus datos con fines comerciales, y con independencia de que con posterioridad dejara de ser cliente de la entidad y sus datos hayan sido obtenidos de la base de datos de puntos de suministros, no ha adoptado medida alguna para evitar el uso de sus datos personales para el envío de publicidad. El recurso, en definitiva, debe ser desestimado. (…) Atendido que el supuesto examinado supone un tratamiento comercial y publicitario no consentido de los datos de carácter personal del denunciante por los motivos señalados, no cabe duda que el supuesto al que se refiere la Sentencia anteriormente citada guarda relación directa con el caso que nos ocupa en cuanto a la naturaleza del tratamiento publicitario realizado, la existencia de un ejercicio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/27 derecho de oposición por parte de los titulares de los datos anterior a los tratamientos comerciales de los mismos y la falta de adopción de medidas de los responsables del tratamiento para evitarlo. En conclusión, Banco Santander no ha aportado prueba alguna que legitime el tratamiento de datos personales del denunciante con posterioridad a la recepción de su solicitud de fecha 10 de junio de 2011, lo que hace decaer su legitimación incurriendo en un tratamiento de datos personales sin consentimiento del titular de los mismos y sin que concurra habilitación legal para dicho tratamiento o alguno de los supuestos contemplados en el artículo 6.2 de la LOPD. V Dispone el artículo 44.3.
21. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento no consentido de los datos personales del denunciante con fines publicitarios por parte de la entidad denunciada con posterioridad a que el afectado solicitase ser excluido de ese tipo de tratamientos. VI El artículo 45 de la LOPD, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
22. a)El carácter continuado de la infracción.
23. b)El volumen de los tratamientos efectuados.
24. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
25. d)El volumen de negocio o actividad del infractor.
26. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
27. f)El grado de intencionalidad.
28. g)La reincidencia por comisión de infracciones de la misma naturaleza.
29. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
30. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/27
31. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
32. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
33. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
34. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
35. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
36. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» La aplicación del artículo 45.5 de la LOPD <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC)”, SAN 21/01/2014, incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto y en el resto de supuestos examinados en el citado artículo. En el presente caso, constatada la comisión de la infracción imputada, se aprecia la concurrencia de una cualificada disminución de la culpabilidad de la entidad imputada por concurrir el supuesto
37. a)del artículo 45.5 de la LOPD, procediendo, en consecuencia, imponer una multa cuyo importe se encuentre entre 900 € y 40.000 € en aplicación de lo previsto en el apartado 5 del citado artículo 45, al tener la infracción imputada la consideración de grave, pero sancionarse con arreglo a los importes de las sanciones leves (artículo 45.1 LOPD). Se considera que cabe aplicar esta minoración cualificada de la sanción por concurrir en forma significativa varios de los criterios enunciados en el apartado 4 del artículo 45, en concreto los supuestos
38. e)y
39. h), debido a la falta de constancia de que a raíz de la comisión de la entidad imputada haya obtenido beneficios, no existiendo tampoco pruebas en el procedimiento de que se han causado perjuicios al afectado como consecuencia del tratamiento publicitario realizado por la entidad imputada al utilizar el nombre, apellidos y dirección postal del denunciante para enviarle dos comunicaciones postales no consentidas. A su vez, ya en el rango de las multas descritas para las infracciones leves a la LOPD, y a los efectos de la ponderación de la sanción concreta a imponer en este caso, se considera que actúan como atenuantes los criterios
40. b)y
41. j)del artículo 45.4, toda vez que el tratamiento no consentido se ha materializado en dos envíos postales con publicidad del mismo producto financiero utilizando como medio de difusión del producto los extractos bancarios dirigidos al cliente afectado. Paralelamente, se entiende operan como agravantes los supuestos a),
42. c)y
43. g)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/27 del mencionado artículo 45.4. Así, nos encontramos frente a una infracción continuada, toda vez que a pesar de los más de cuatro años transcurridos desde el 10 de junio de 2011, fecha en que el denunciante se negó al tratamiento publicitario de sus datos, Banco Santander ha procedido a remitir al afectado los dos envíos postales objeto de análisis. En cuanto al supuesto c), téngase en cuenta que el BANCO SANTANDER es una empresa que para ejecutar sus campañas publicitarias por vía postal está habituada a utilizar los datos de carácter personal de sus clientes obrantes en sus ficheros, por lo que le resulta exigible una especial diligencia no sólo en lo que se refiere al conocimiento de la normativa de protección de datos de carácter personal, sino también en cuanto al rigor y cuidado que debe mostrar para su efectivo cumplimiento en razón de su profesionalidad y la vinculación de la actividad del infractor con el tratamiento habitual y constante de datos personales. En este sentido conviene recordar lo recogido por la Sentencia de la Audiencia Nacional Recurso 104/2006 señala que “la entidad demandante por la actividad que realiza debe tratar un gran volumen de datos personales en sus ficheros, lo que hace que deba extremar el cuidado en el manejo de dichos datos para lograr una protección eficaz, pues está en juego un derecho fundamental autónomo, el derecho a la protección de datos personales según la STS 292/2000”, en el mismo sentido la Sentencia de la Audiencia Nacional, Recurso 143/2006 señala que ”pues la naturaleza de la actividad desarrollada por la entidad recurrente, y su permanente relación con los datos personales, determina que el comportamiento exigible a quien habitualmente está en contacto con este tipo de datos sea de distinguido y exquisito cuidado sobre el cumplimiento de las exigencias impuestas por la LOPD, porque está en juego la protección de derechos fundamentales- art. 18.4 CE”. En este caso, a la vista de las consideraciones efectuadas en los anteriores fundamentos de derecho, resulta relevante la falta de diligencia mostrada por esa entidad al continuar tratando con fines publicitarios los datos personales del denunciante sin acreditar que había adoptado medidas tendentes a asegurar los derechos y garantías establecidos por la LOPD y su normativa de desarrollo, resultando con ello acreditado el elemento culpabilistico en la comisión de la infracción que nos ocupa. Se incide que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado, para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En lo referente al supuesto g), en el PS/00583/2010, Resolución nº R/02580/2010, se acordó sancionar por esta Agencia, con fecha 02/02/2011, al Banco Santander con una multa de 2.000 euros por la comisión de una infracción de la misma naturaleza, lo que conlleva la existencia de reincidencia. En consecuencia, con arreglo a los criterios de graduación de las sanciones previstos en el artículo 45.4 y .5 de la LOPD y de conformidad con el principio de proporcionalidad contemplado en el artículo 131.3 de la LRJ-PAC, se estima como adecuada a la gravedad de los hechos constitutivos de la infracción analizada la imposición de una multa de 20.000 euros al BANCO SANTANDER, S.A. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/27 VII Respecto de la segunda infracción imputada por vulneración del artículo 21.1 de la LSSI, con anterioridad al análisis del fondo del asunto conviene realizar una breve exposición del marco jurídic0o que resulta de aplicación a las comunicaciones comerciales remitidas por la citada entidad financiera al correo electrónico del denunciante. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Por lo tanto, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. A su vez, el artículo 22.1 de la LSSI, que establece como “Derechos de los destinatarios de los servicios” que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/27 “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos” De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
44. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
45. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/27 configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. VIII Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
46. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. A continuación, la Ley pasa a determinar los supuestos, recogidos en el párrafo segundo del Anexo
47. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
48. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros representen una actividad económica, los siguientes: (…) y siempre que 4º El envío de comunicaciones comerciales. ” (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
49. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/27 IX En el presente supuesto, de la valoración del conjunto de elementos fácticos obrantes en el procedimiento se acredita que Banco Santander remitió, con fecha 24 de julio de 2015, una comunicación comercial desde el correo electrónico bancacomercial@emailing.bancosantander.es a la cuenta de correo ......@hotmail.es sin mediar el consentimiento previo y expreso del destinatario para ello, en este caso el denunciante. Dicha comunicación comercial se produjo a pesar de que la entidad remitente del envío conocía, como ya se ha expuesto reiteradamente, desde el 10 de junio de 2011 la oposición del afectado a que los datos de carácter personal de su titularidad que obrasen en los ficheros de esa sociedad se utilizasen para la remisión de publicidad, entre los cuales se encuentra la mencionada dirección de correo electrónico del denunciante conforme lo dispuesto en la definición contenida en el artículo 3.
50. a)de la LOPD, que establece como “Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables” . A mayor abundamiento, la comunicación comercial de fecha 24 de julio de 2015 se ha enviado después de que el Banco Santander fuese sancionado por esta Agencia, con fechas 30/10/2014 y 12/11/2014, en los procedimientos sancionadores de referencia PS/00331/2014 y PS/00219/20015 con sendas multas de 2.000 € y 5.000 €, respectivamente, por utilizar el correo electrónico ......@hotmail.es del denunciante para enviarle comunicaciones comerciales no autorizadas. La entidad denunciada centra sus alegaciones en cuestionar la verdadera titularidad de la citada cuenta de correo, señalando que se trata de una cuenta compartida indistintamente por los tres hermanos y que el envío no iba dirigido al denunciante, sino a su hermana B.B.B.como muestra el encabezamiento del mismo que incluye su nombre y apellidos. Además, aduce que la Sentencia de la Audiencia Nacional, recaída el 4 de diciembre de 2015, confirmó la sanción impuesta por la AEPD en el PS/00331/2014 debido a que no se había acreditado que la hermana del denunciante, en ese caso C.C.C., comunicara dicho correo al BANCO SANTANDER ni que fuera titular de un contrato multicanal con Banesto, circunstancias que dicha entidad entiende se enervan a través de la documentación contractual que presenta. Según la imputada dicha documentación prueba que los tres hermanos mantenían sus relaciones de negocio con Banesto por internet y que éstos firmaron el documento denominado “Anexo: Provisión de información a través de la página web” de fecha 29/10/2012, reconociendo que la información que recibían les había sido enviada a la dirección electrónica facilitada por los mismos, “que dio lugar a la recogida del dato del correo electrónico, tal y como resulta en relación con B.B.B. de los pantallazos que se acompañan como doc. 2 y 3”. A los efectos de contestar dichas alegaciones resulta preciso, en primer lugar, transcribir el Fundamento de Derecho Segundo de la Sentencia de la Audiencia Nacional de fecha 4 de diciembre de 2015, Rec. 2/2015, invocado por la imputada, en el que se señalaba: “Por su parte, consta también probado que el denunciante, don A.A.A. ejercitó C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/27 ante la entidad actora en fecha 10 de junio de 2011, el derecho de exclusión de la utilización de los datos para fines de publicidad y prospección comercial (…). Por otro lado, el citado correo electrónico figura asociado en el archivo de clientes de la parte demandante tanto a nombre del denunciante como de la hermana de éste. Pero este hecho, no obsta que, habiendo ejercitado el denunciante el derecho de exclusión, y estando asociado a su nombre el citado correo electrónico, la sociedad recurrente tenía que haber arbitrado los medios para que los envíos no llegaran a dicho correo. No podemos olvidar que el denunciante a instancia de la Agencia de Protección de Datos, aportó las cabeceras completas de los mensajes recibidos. No se ha acreditado por la parte actora, que la hermana del denunciante comunicara dicho correo a la sociedad recurrente, limitándose a alegar la existencia por parte de la misma de un contrato multicanal que no consta en las actuaciones, máxime cuando dicha persona lo niega y alega que el correo electrónico es de su hermano. Por tanto, ha resultado probada la infracción del artículo 21 de la LSSI, habiéndose destruido el derecho a la presunción de inocencia.” (El subrayado es de la AEPD) Por lo que, aunque BANCO SANTANDER, S.A. en sus alegaciones a la propuesta de resolución considere que el denunciante, al contestar la práctica de la prueba que le fue requerida, se ha limitado “a manifestar que su hermana C.C.C. ha declarado que tal correo no es suyo sino de su hermano, declaración de parte interesada que nada tiene que ver con una prueba mínimamente objetiva de los hechos”, hay que destacar que la Audiencia declaró que al estar asociado el nombre del denunciante al correo electrónico la entidad debió haber arbitrado los medios para que los envíos no llegaran al correo y, además, valoró en dicha Sentencia como ciertas las manifestaciones de C.C.C. respecto tanto de la titularidad exclusiva, y no conjunta, de la cuenta ......@hotmail.es por parte de su hermano, como las referentes a que no facilitó dicha cuenta a la denunciada. En segundo lugar, resulta necesario realizar las siguientes consideraciones en relación con la documentación contractual y los pantallazos aportados por BANCO SANTANDER, S.A. durante la instrucción del procedimiento: Si bien dicha documentación contractual muestra que los tres hermanos suscribieron con fecha 24 de octubre de 2012 los contratos denominados “Pack Bienvenida” y “Contrato básico para la prestación de servicios de inversión a Clientes minoristas” con el Banco Español de Crédito, S.A., sin embargo no acredita ni refleja que con motivo de la celebración de los mismos éstos facilitasen la dirección de correo electrónico ......@hotmail.es. Tampoco en el “Anexo: Provisión de información a través de la página web” de fecha 29 de octubre de 2012 (folio 18), en el que consta que los tres hermanos suscriben que la información que reciben les ha sido enviada a la dirección electrónica facilitada por los mismos, aparecen identificadas las cuentas a las que se remitieron, por lo que no queda probado que se trate de la dirección de correo que ahora nos ocupa. A su vez, las ordenes de traspaso de efectivo firmadas por los hermanos con fecha 24 de octubre de 2012 no incluyen el dato del reseñado correo electrónico de tanta cita (folios 134 al 136), como tampoco lo muestra la documentación contractual aportada. En esta misma línea el hecho de que la reseñada cuenta de correo electrónico aparezca asociada en el pantallazo aportado como Documento 2 a B.B.B. (folio 21) no prueba, fehacientemente, ni que fuera facilitado por dicha persona a raíz de la firma de un contrato de servicios con Banesto, como se alega, ni que fuera añadido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/27 el día 12/03/2013 por dicha persona a la base de datos, como se afirma en el correo electrónico de fecha 3 de febrero de 2016 (folio 21 ) y obra el pantallazo de la Base de Datos de Personas, al tiempo que no se justifica la finalidad exacta para la que pudo proporcionarse. Es decir, BANCO SANTANDER, S.A. no ha acreditado en la documentación contractual aportada que B.B.B. facilitase dicha cuenta de correo con motivo de la suscripción del contrato Multicanal el 24/10/2012 con Ibanesto, el cual, según Banco Santander, no renovó después de la fusión con BANCO SANTANDER, S.A., como si hicieron sus dos hermanos (folio 112). No obstante tal afirmación, esa entidad no ha justificado documentalmente dicha renovación, puesto que el Contrato Multicanal nº ***CCC.2 aportado, suscrito el día 28/05/2010 con Banco Santander por C.C.C., es de fecha anterior al contrato Multicanal de Banesto al que se refiere (folios 124 al 128). A su vez, el documento, sin fechar, de “Entrega de firma electrónica“ (folio 129) asociado al Contrato Multicanal suscrito por el denunciante, que no se ha adjuntado por la denunciada, tampoco acredita sus afirmaciones de renovación. A lo que hay que añadir que aunque en la cabecera del e-mail denunciado de fecha 24 de julio de 2015 figure como destinataria de la información B.B.B., y así se defienda en el correo electrónico de fecha 28 de enero de 2016 adjuntado al escrito de alegaciones (folio 24 y doc. 4) en el que se señala que “iba dirigido a la clienta ***CLIENTE.1 (B.B.B.) que tiene la misma dirección de email que sus dos hermanos”, resulta que dicha persona en el pantallazo extraído de la Consulta de Direcciones Electrónicas de la Base de Datos de Personas aparece identificada con el número ***CLIENTE.2 (folio 23) . A la vista de las circunstancias señaladas en el párrafo anterior, la aparición en la cabecera del correo objeto de denuncia de los datos de B.B.B. no resulta un elemento fáctico que pruebe que ésta hubiera facilitado dicha cuenta de correo en el marco de la relación contractual alegada, al igual que no prueba, ni siquiera indiciariamente, que esa dirección de correo electrónico fuera conjunta para los tres hermanos, circunstancia que, por otra parte, el denunciante ha negado conforme se desprende de su contestación (folio 139) a la prueba cuya práctica se le requirió el 09/02/2016, y cuya realización se consideró por la Instructora adecuada para la determinación de los hechos objeto de imputación y posibles responsabilidades a fijar en el procedimiento a la vista del contenido de las alegaciones formuladas por BANCO SANTANDER, S.A. y en aplicación del principio de presunción de inocencia recogido en el artículo 137.4 de la LRJ-PAC. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/27 En lo que se refiere a C.C.C., se recuerda que con fecha 30 de abril de 2014 ésta afirmó en el marco de las actuaciones previas de inspección E/00551/2014, origen del PS/00331/2014, que nunca había facilitado la dirección de correo electrónico ......@hotmail.es, al BANCO SANTANDER, S.A. , añadiendo que esa cuenta pertenecía a su hermano (folio 92). Al igual que en el caso de su hermana B.B.B., el pantallazo aportado de la aplicación de gestión de Banesto (folios 137 y 138), no acredita por sí mismo que C.C.C. diera de alta la reseñada dirección del correo electrónico con fecha 07/05/2013, máxime si en la explicación se indica: “Entendemos que se realizó debido a la recepción de un correo electrónico, al cual no tenemos acceso al haber modificado el programa de gestión de los mismos. Según el procedimiento que teníamos establecido, dado que en estos correos el sistema obligaba a indicar una dirección electrónica válida, en caso de que el cliente no tuviera ninguna dada de alta, se incluía ésta en BDP”. De lo que se colige que no hay ninguna certeza sobre el origen exacto de dicho dato ni prueba de que fuera facilitado por esa cliente o que ésta autorizase su uso con fines de publicidad por medios de comunicación electrónica. Por otra parte, en relación con las alegaciones del BANCO SANTANDER, S.A. relativas a la incorporación de dicho dato en los sistemas de Banesto, se observa que aunque figure que el alta de la dirección de correo ......@hotmail.es se asoció al denunciante con fecha 24/10/2012 a raíz de la contratación de misma fecha, ya se ha razonado cumplidamente que la documentación contractual presentada por la denunciada no acredita la facilitación de dicha cuenta de correo por alguno de los tres hermanos con esa fecha (folios 114 al 118, 134 al 136), ni justifica, tampoco, que se tratase de una dirección de correo electrónico conjunta, como reitera esa empresa al contestar la propuesta de resolución. Por otra parte, la copia de “Solicitud de OTE” aportada (folio 133) no prueba que el denunciante al solicitar el día 08/11/2013 una orden de traspaso con sus claves desde Banesnet introdujese la reseñada dirección de correo electrónico en la base de datos con fines publicitarios, ya que el documento aportado sólo justifica la realización por el denunciante, con esa fecha, de una solicitud de orden de traspaso de efectivo desde el “Buzón Banca a Distancia” al “Buzón Negocio IBANESTO” en cuyo marco facilitaba un teléfono y la cuenta de e-mail reseñada a los exclusivos efectos de contacto para la gestión requerida, pero no como expresión de consentimiento expreso para la recepción de comunicaciones electrónicas comerciales . Por lo que la facilitación de dicho dato, aunque se realizase en el marco de la relación contractual existente entre ambas partes, y que en ningún momento ha sido objeto de cuestionamiento, no conllevaba la aceptación expresa de recepción de publicidad por medios electrónicos por parte del denunciante ni suponía el levantamiento de su oposición al tratamiento de sus datos con fines publicitarios, expresada el 10 de junio de 2011. Dicha negativa, aun mediando una relación contractual entre las partes, impedía el envío de comunicaciones comerciales a la reseñada cuenta de correo electrónico de su titularidad, careciendo, por tanto, la denunciada de legitimación para enviar publicidad a la cuenta de correo ......@hotmail.es a partir de la recepción del escrito de fecha 10/06/2011. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/27 Por último, se recuerda que la remisión de este tipo de comunicaciones por medios de comunicación electrónica requiere la existencia de consentimiento previo y expreso del destinatario de las mismas, recayendo la carga de probar la autorización expresa o solicitud previa de las mismas al proveedor de servicios de la sociedad de la información responsable de los envíos, en este caso la entidad denunciada. Sin embargo, ésta no ha probado contar con la autorización del denunciante para usar sus señas electrónicas con fines publicitarios desde el 10/06/2011, al igual que no ha enervado los elementos fácticos en los que la AEPD sustenta que sus hermanas no facilitaron la cuenta ......@hotmail.es ni eran titulares conjuntas con el afectado de la misma. Todo lo cual, lleva a considerar que ha quedado probada la responsabilidad imputada a esa entidad en la comisión de la infracción leve al artículo 21.1 de la LSSI y, consecuentemente, destruida la presunción de inocencia. Expuesto todo lo anterior, no puede obviarse, que el denunciante ejerció su derecho de oposición al tratamiento de sus datos con fines publicitarios ante la entidad denunciada, por lo que BANCO SANTANDER debió arbitrar los medios para impedir que el correo electrónico del denunciante continuase utilizándose por esa entidad para remitir comunicaciones comerciales de sus productos y servicios, como el envío de fecha 24 de julio de 2015 denunciado, pues no puede obligarse a una persona a recibir publicidad en contra de su expreso deseo. Además, cabe destacar que esa entidad no ha acreditado que la cuenta ......@hotmail.es fuera de uso compartido e indistinto por los tres hermanos, habiendo sido sólo el denunciante quien ha probado a través de las tres denuncias efectuadas haber recibido las comunicaciones comerciales remitidas por BANCO SANTANDER a esas señas electrónicas, que según manifestaciones de su hermana C.C.C. pertenecían al denunciante. De este modo, a la luz de los elementos fácticos obrantes en el procedimiento cabe concluir que BANCO SANTANDER, S.A. ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI al resultar responsable del envío de una comunicación comercial al correo electrónico del denunciante que no contaba con su consentimiento previo y expreso, ya que no mediaba la autorización expresa o solicitud previa del mismo para su realización. X De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
51. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
52. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/27 indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b), se producirá una infracción de carácter grave a los efectos de la LSSI. El presente supuesto se ajusta al tipo de infracción establecido en el artículo 38.4
53. d)de la LSSI, calificado como infracción leve, al tratarse de una única comunicación comercial, si bien no cabe la excepción contemplada en el artículo 21.2 de la LSSI porque aunque existe una relación contractual entre ambas partes consta probado en el procedimiento que el denunciante con anterioridad a la remisión del envío denunciado mostró su oposición al Banco Santander al tratamiento publicitario de sus datos personales, lo que incluía sus señas electrónicas. XI La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
54. d)e
55. i)y 38.4 d),
56. g)y
57. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. A tenor de lo dispuesto en el art. 39 de la LSSI, las infracciones leves podrán ser sancionadas con multa de hasta 30.000 euros, fijándose Los criterios para su graduación en el artículo 40 de la misma norma que dispone lo siguiente: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
58. a)La existencia de intencionalidad.
59. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
60. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
61. d)La naturaleza y cuantía de los perjuicios causados.
62. e)Los beneficios obtenidos por la infracción.
63. f)Volumen de facturación a que afecte la infracción cometida.
64. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En aplicación los criterios de graduación de las sanciones recogidos en el citado artículo 40 de la LSSI, se estima que en este supuesto operan como agravantes las circunstancias comprendidas en los criterios a),
65. b)y
66. c)de dicho precepto. En concreto, si bien no puede hablase de intencionalidad en la conducta descrita, sin embargo si se ha producido una evidente falta de diligencia al no haber arbitrado ninguna medida que evitase la remisión de nuevas comunicaciones comerciales a la cuenta del denunciante, a pesar de lo dispuesto en las resoluciones de la Agencia y de lo razonado en la Sentencia de la Audiencia Nacional de fecha 4 de diciembre de 2015, Recurso Contencioso Administrativo nº 2/2015. El denunciante, además del correo comercial ahora analizado de fecha 24/07/2015, recibió en dicha cuenta comunicaciones comerciales no autorizadas del Banco Santander con fechas 20/12/2013, 30/12/2013 18/11/2014, 28/11/2014, según se desprende de los Hechos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/27 Probados reflejados en los expedientes PS/00331/2014 y PS/00219/2015 (folios 67 al 73 y 98 al 105). Tampoco consta que esa empresa tenga implementados mecanismos para impedir que el destinatario que comparta el uso indistinto de una cuenta de correo electrónico con terceros no reciba comunicaciones comerciales cuando se haya opuesto a ese tipo de tratamiento. Paralelamente, concurre la circunstancia de reincidencia, derivada de la comisión de sendas infracciones de la misma naturaleza que dieron lugar a las resoluciones R/02438/2014 y R/02722/2015 acordadas por esta Agencia en los dos procedimientos sancionadores antes reseñados, ambas firmes en vía administrativa. Por lo tanto, al haber quedado acreditado el elemento subjetivo de culpabilidad por parte del BANCO DE SANTANDER en la comisión de la infracción imputada, se estima adecuado a la gravedad de los hechos analizados procede la imposición de una sanción de 8.000 €, con arreglo a lo previsto en los artículos 40 de la LSSI y 131 de la LRJ-PAC. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANCO SANTANDER, S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
67. b)de la LOPD, una multa de 20.000 € (Veinte mil euros), de conformidad con lo establecido en los apartados 1, 2, 4 y 5.
68. a)del artículo 45 de la citada LOPD. SEGUNDO: IMPONER a la entidad BANCO SANTANDER, S.A., por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
69. d)de dicha norma, una multa de 8.000 € (Ocho mil euros), de conformidad con lo establecido en los artículos 39.1.
70. c)y 40 de la citada LSSI. TERCERO: NOTIFICAR la presente resolución a BANCO SANTANDER, S.A., y a Don A.A.A. . CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/27 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es