1/13 Procedimiento Nº PS/00010/2015 RESOLUCIÓN: R/01340/2015 En el procedimiento sancionador PS/00010/2015, instruido por la Agencia Española de Protección de Datos a Doña C.C.C., vista la denuncia presentada por IUKANET SERVEIS, S.L., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 2 de septiembre de 2014 tiene entrada en esta Agencia un escrito remitido por la entidad IUKANET SERVEIS, S.L., en adelante la denunciante, en el que manifiesta lo siguiente: 1. Lleva varios meses recibiendo publicidad no autorizada de marca comercial es RAYOHOST. una empresa cuya En su sitio web no se indican claramente los datos legales de dicha empresa, pero el registro de nombres de dominio informa de que el dominio L.L.L. tiene por administradora a Doña C.C.C., en adelante la denunciada. 2. En ningún caso han autorizado la inclusión de sus direcciones de correo electrónico en ninguna base de datos de la que sea titular RAYOHOST o la denunciada. 3. Han tratado de ponerse en contacto en varias ocasiones con la denunciada a través de correo electrónico y los enlaces que incluyen los correos para solicitar que cesen de remitirles las comunicaciones no solicitadas. Hasta el momento sus solicitudes han sido ignoradas. El escrito adjunta, entre otros, copia de los siguientes documentos:
- a)Correo electrónico remitido desde la dirección E.E.E. el 8 de julio de 2014, dirigido a I.I.I..
- b)Correos electrónicos recibidos el118, 12 y 13 de julio de 2014, en los que se informa de un error en la entrega de una solicitud de baja remitida por la denunciante desde la dirección H.H.H. con destino a la dirección E.E.E..
- c)Correo electrónico remitido desde la dirección D.D.D. el 7 de agosto de 2014, dirigido a I.I.I.. En respuesta a las solicitudes de subsanación remitidas por esta Agencia, la denunciante aportó la siguiente documentación:
- d)Cabeceras de los mensajes aportados en el anterior escrito.
- e)Reenvío del correo electrónico recibido el 7 de agosto de 2014 del que se puede obtener el código de los enlaces de baja incluidos. La denunciante manifiesta que desde que interpuso la denuncia no ha vuelto a recibir correos electrónicos de la denunciada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia tienen conocimiento de los siguientes extremos: 1. El 8 de julio de 2014 la denunciante recibió en su dirección I.I.I. un correo electrónico remitido desde la dirección E.E.E. cuya dirección IP de origen es M.M.M.. El correo electrónico contiene información publicitaria de productos y servicios comercializados a través del sitio web www. L.L.L.. Al pie del correo electrónico figura un enlace para darse de baja. 2. El 7 de agosto de 2014 la denunciante recibió en su dirección I.I.I. un correo electrónico remitido desde la dirección D.D.D. cuya dirección IP de origen es K.K.K.. El correo electrónico contiene información publicitaria de productos y servicios comercializados a través del sitio web www. L.L.L.. Al comienzo y al pie del correo electrónico figura un enlace para darse de baja. Ambos enlaces llevan en caso de pulsarlos a la URL A.A.A. 3. El subinspector actuante trató de acceder a la URL de baja citada durante los días 18 y 19 de diciembre de 2014 y el 7 de enero de 2015, produciéndose en todos los casos como resultado el siguiente mensaje de error: “Esta página web no está disponible”. 4. El dominio E.E.E. está registrado a nombre la denunciada. El dominio D.D.D. está registrado a través de un servicio de protección de la privacidad que impide que se conozca a su titular. El dominio L.L.L. está registrado a nombre de “WHOIS PRIVADO”, pero los datos de contacto de la entidad titular coinciden con los de la denunciada y es ella misma la que consta como contacto administrativo y técnico de este dominio. 5. Al acceder al sitio web www. L.L.L. no se identifica a ninguna persona física o jurídica como titular del mismo, pero en su página de “Términos del servicio” el último párrafo indica lo siguiente “ L.L.L. N.N.N. C/. J.J.J. Valencia Tel B.B.B.”. 6. La dirección IP K.K.K. está asociada a OVH Hosting Inc, un proveedor de acceso y servicios de Internet con sede en Montreal, Canadá. La dirección IP M.M.M. está asociada a OVH SAS, un proveedor de acceso y servicios de Internet con sede en Roubaix, Francia. 7. En respuesta a la solicitud de información remitida por esta Agencia la denunciada manifiesta, con fecha 29 de diciembre de 2014, lo siguiente en relación con los hechos denunciados: 7.1. La denunciada es la titular de los dominios L.L.L. y D.D.D.. Los dominios E.E.E.s y D.D.D. no están operativos, L.L.L. sí lo está. 7.2. “En referencia al correo electrónico: I.I.I. No poseemos ningún datos de dichos señores, y no constan actualmente en nuestras bases de boletines.” “No nos consta ninguna dirección de ese dominio, puede que constase, pero actualmente no aparece.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 7.3. Las direcciones de correo de los destinatarios tienen “… varios orígenes, por relaciones sociales en las redes sociales, directamente registrándote en L.L.L., solicitando información a F.F.F., ferias de muestras, relaciones comerciales, etc.” 7.4. La dirección de correo pertenece a una entidad que se dedica a la misma actividad que ellos por lo que carecería de interés enviarles comunicaciones comerciales, “No obstante haremos un seguimiento detallado de las subscripciones por si alguien introduce dicho email, y hemos vetado dicho email por si ocurriese.” 7.5. En relación con los enlaces de baja la denunciada manifiesta que ha paralizado el sistema que gestiona los boletines para proceder a una revisión del mismo y de los enlaces de baja que genera. TERCERO: Con fecha 27 de octubre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a Doña C.C.C., con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4
- d)de la citada Ley. CUARTO: En fecha 2 de febrero de 2015, la denunciada recibió el acuerdo de inicio del presente procedimiento sancionador, a las 13:05 horas, como consta en el Aviso de Recibo enviado por Correos. QUINTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas, el citado acuerdo se considera propuesta de resolución, por lo que procede a elevar el procedimiento a la resolución del Director de la Agencia Española de Protección de Datos, en virtud de lo previsto en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora. HECHOS PROBADOS PRIMERO: Con fecha 8 de julio de 2014, la denunciante recibió en la cuenta I.I.I. un correo electrónico remitido desde la dirección E.E.E., cuya dirección IP de origen es M.M.M.. (folios 26 al 31) SEGUNDO: Con fechas 11, 12 y 13 de julio de 2014, la denunciante recibió correos electrónicos, en los que se informa de un error en la entrega de una solicitud de baja remitida por la denunciante el 10 de julio de 2014 desde la dirección H.H.H. con destino a la dirección E.E.E.. (folios 8 al 12) TERCERO: Con fecha 7 de agosto de 2014, la denunciante recibió en la cuenta I.I.I. un correo electrónico remitido desde la dirección D.D.D., cuya dirección IP de origen de D.D.D. es K.K.K.. (folios 22 al 25) CUARTO: Los correos electrónicos recibidos por la denunciante con fechas 8 de julio y 7 de agosto de 2014 contienen información publicitaria de productos y servicios comercializados a través del sitio web www. L.L.L.. (folios 22 al 31) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 QUINTO: Los enlaces de baja situados al comienzo y al pie del correo electrónico recibido por el denunciante el día 7 de agosto de 2014 llevan, en caso de pulsarlos, a la URL A.A.A. (folios 56 y 57) SEXTO: En el intento realizado el 16 de diciembre de 2014 desde la Subdirección General de Inspección de Datos de acceder a los enlaces de baja del envío comercial de fecha 7 de agosto de 2014 apareció un mensaje de error al no poder encontrar el servidor en www. D.D.D. (folios 45 y 58) SÉPTIMO: En los intentos de acceder a la URL de baja citada, realizados los días 18 y 19 de diciembre de 2014 y el 7 de enero de 2015 desde la Subdirección General de Inspección de Datos, se obtuvo como resultado el siguiente mensaje de error: “Esta página web no está disponible”. (folio 88) OCTAVO: : El dominio denunciada.). (folio 36) E.E.E. está registrado a nombre de Doña C.C.C. (la NOVENO: Al final de la página de “Términos del servicio” del sitio web www. L.L.L. aparecen los siguientes datos de contacto “ L.L.L. C/. J.J.J. Valencia Tel B.B.B. ”. (folio 68) DÉCIMO: Con fecha 7 de enero de 2015 Doña C.C.C. confirma ser responsable de los dominios L.L.L. y D.D.D., indicando también que los dominios L.L.L. y D.D.D. no están operativos, mientras que si opera el dominio L.L.L. (folio 81). UNDÉCIMO: En relación con los enlaces de baja, la denunciada manifiesta que ha paralizado el sistema que gestiona los boletines para proceder a una revisión del mismo y de los enlaces de baja que genera. FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
- d)e
- i)y 38.4 d),
- g)y
- h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora., dispone que “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: • Que dicha posibilidad sea advertida expresamente al inculpado en el acuerdo de notificación. • Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el apartado primero del citado artículo. • Que el inculpado no presente alegaciones en plazo sobre el contenido de la iniciación. • Que como consecuencia de la instrucción no resulte modificada la determinación inicial de los hechos, de su posible calificación, de las sanciones imponible o de las responsabilidades susceptibles de sanción. (Art. 16.3 del citado Real Decreto). La STS de 19 de diciembre de 2001 (RJ 2001, 2617) recaída en recurso de casación en interés de ley, interpretando el artículo 13.2 arriba trascrito, declara que basta que el interesado no haya formulado alegaciones sobre el contenido del boletín de denuncia que inicia el procedimiento, para que no sea preceptiva la notificación de la propuesta de resolución, ni necesario, en consecuencia, el trámite de audiencia, al servir el acuerdo de iniciación como propuesta de resolución. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. III A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Por lo tanto, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
- h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
- b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. IV Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
- f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
- f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
- a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros representen una actividad económica, los siguientes: (…) y siempre que 4º El envío de comunicaciones comerciales. ” (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 Anexo
- f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica V En el presente supuesto, de la valoración conjunta de los elementos fácticos obrantes en el procedimiento se desprende que, con fechas 8 de julio y 7 de agosto de 2014, Doña C.C.C. envió dos comunicaciones comerciales a la cuenta I.I.I. desde los correos electrónicos E.E.E. y D.D.D., respectivamente, sin contar con el consentimiento previo y expreso de su destinatario para ello. Además, se ha constatado también que el procedimiento de baja ofrecido en el correo no autorizado de fecha 7 de agosto de 2014 no funcionaba correctamente. En las dos comunicaciones comerciales citadas se publicitaban diversos productos y servicios de alojamiento web para profesionales comercializados desde el sitio web G.G.G. gestionado por la denunciada, en cuyos “Términos del servicio” aparece, junto con el DNI de la denunciada, el mismo domicilio de contacto que figura asociado junto con el nombre y apellidos de la denunciada a los datos de contacto administrativo y técnico del registro del dominio L.L.L.. Estas circunstancias deben unirse al hecho de que las dos comunicaciones comerciales objeto de estudio se enviaron desde dos cuentas de correo electrónico cuyos dominios recaen bajo la responsabilidad de la denunciada, según ésta misma ha reconocido a esta Agencia a través del correo electrónico de 7 de enero de 2015. No obstante lo anterior, en este caso debe declararse la prescripción respecto de los hechos derivados del primer envío recibido por el denunciante. Así, conforme a lo previsto en el artículo 45 de la LSSI “las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves a los seis meses”, estableciéndose, a su vez, en el artículo 132.2 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, que “2. El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, (…)”. Aplicando dicha normativa, el mensaje comercial remitido con fecha 8 de julio de 2014, del que no se aportaron a esta Agencia las cabeceras completas del mismo por el denunciante hasta el 20 de noviembre de 2014, estaba prescrito cuando la denunciada recibió la notificación del acuerdo de inicio del presente procedimiento sancionador con fecha 2 de febrero de 2015, toda vez que entre ambas fechas habían transcurrido más de seis meses. En consecuencia, únicamente resulta imputable a la denunciada la comisión de los hechos derivados del envío de la comunicación comercial no consentida de fecha 7 de agosto de 2014, ya que en este caso la denunciada conoció la iniciación del procedimiento sancionador antes de haber transcurrido el plazo de seis meses desde la realización del citado envío. Dicho lo cual, la denunciada no C/ Jorge Juan, 6 28001 – Madrid ha justificado que el reseñado envío se www.agpd.es sedeagpd.gob.es 9/13 efectuara mediando autorización expresa o solicitud previa del destinatario del mismo, que , además, ha negado haber autorizado la inclusión de sus datos de correo electrónico en ninguna base de datos titularidad de L.L.L. o de la denunciada para recibir este tipo de comunicaciones. Atendido que esta Agencia ha justificado la responsabilidad de la denunciada en la comisión del envío no autorizado de fecha 7 de agosto de 2014, y afectando lo expuesto a la cuestión de la carga de la prueba, resulta de aplicación el criterio mantenido por la Audiencia Nacional en la Sentencia de fecha 17 de mayo de 2007, Recurso 157/2005, en el que, respecto de un caso que también afectaba al incumplimiento de lo previsto en el artículo 21 de la LSSI, se arguyó que: “En caso de que los afectados hubieran negado haber otorgado dicho consentimiento, que la Ley no exige que sea escrito, correspondería al denunciado probar su existencia, como ha reiterado esta Sala en relación con el tratamiento inconsentido de datos.” . Por otro lado, no enerva su responsabilidad el hecho de que la dirección de correo electrónico del denunciante no apareciese a fecha 29 de diciembre de 2014 en su lista de distribución de boletines publicitarios, puesto que no prueba que no hubiera estado incluida en la misma en la fecha en que se remitió el segundo de los correos electrónicos comerciales objeto de denuncia. Sentado lo anterior, únicamente eximiría a la denunciada del cumplimiento de contar con el consentimiento previo y expreso exigido en el artículo 21.1 de la LSSI la acreditación de la existencia de una relación contractual previa con la reseñada denunciante, tal y como se recoge en el primer párrafo del apartado 2 del artículo 21 de la LSSI, y ello siempre y cuando la imputada, como prestador de servicios de la sociedad de la información, hubiera obtenido de forma lícita los datos de contacto de la denunciante, los utilizase para enviarle comunicaciones comerciales relativas a productos o servicios similares a los inicialmente adquiridos por ésta en su condición de cliente, y además, le hubiera ofrecido en el momento de recogida de los datos un mecanismo sencillo y gratuito para poder oponerse al tratamiento de sus datos con fines promocionales. En este supuesto no resulta de aplicación dicha excepción que hubiera podido amparar la remisión del envío analizado sin mediar dicho consentimiento, ya que la denunciada no ha acreditado la existencia de relación contractual previa con la denunciante en los términos expresados en el artículo 21.2 de la LSSI. De este modo, a la luz de los elementos fácticos obrantes en el procedimiento cabe concluir que Doña C.C.C. ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI al enviar un correo electrónico publicitario a la denunciante sin contar con la autorización expresa o solicitud previa de la misma para ello, y sin que quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 de dicha norma. VI Por otra parte, de lo actuado se ha constatado que el mecanismo de oposición incluido en la comunicación comercial de fecha 7 de agosto de 2014, aunque gratuito, no permitía al destinatario de la misma oponerse, en forma efectiva y real, al tratamiento de sus señas electrónicas con fines promocionales, tal y como prueban los reiterados mensajes de error que han aparecido en las distintas pruebas practicadas por esta Agencia durante las actuaciones previas de inspección practicadas, y cuyo resultado obra entre los antecedentes de las actuaciones previas de inspección incorporadas al presente procedimiento. En este sentido, la Audiencia Nacional, en su Sentencia de fecha 22 de enero de 2014, Rec. nº 110/2013, señalaba: “Y en definitiva, la cuestión principal pasa a ser si C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 resultaba bastante, a efectos de excluir la antijuridicidad de la conducta, con el mantenimiento, en su página web, de una específica zona para darse de baja en el perfil o si, dado que la propia actora estableció una serie de correos electrónicos como cauce de comunicación, tenía el deber de que éstos estuvieran en efecto operativos para canalizar la revocación del consentimiento para la recepción de comunicaciones comerciales Esta es, a juicio de la Sala, la alternativa jurídicamente correcta puesto que, en efecto, si la empresa consignaba unos correos electrónicos como cauce de comunicación, tenía el deber jurídico de mantenerlos abiertos y operativos para la recepción en ellos de comunicaciones de sus clientes; dado que además con ello infundía a los interesados confianza legítima de que ese era un cauce correcto de comunicación. No puede, por el contrario, escudarse en un pretendido error tipográfico (cometido por ella misma) o en el cambio de la página web (que habrían impedido la recepción de los correos electrónicos de la denunciante) pues, ya decimos, una vez ofrecido dicho cauce de comunicación, era deber jurídico de la recurrente mantenerlo abierto y operativo. A partir de ello que concurra, cuanto menos la manifestación culposa de la culpabilidad de la infracción.” Con arreglo a lo expuesto, el ofrecimiento del mecanismo consistente en el enlace de baja no conlleva, en lo que al supuesto analizado se refiere, el cumplimiento “de facto” de la exigencia establecida en el segundo y tercer párrafo del citado artículo 21.2 de la LSSI, habida cuenta que la URL a la que conducían los enlaces de baja incluidos en la cabecera y pie del envío no funcionaban correctamente, impidiendo con ello que el remitente pudiera darse de baja a lo efectos de no continuar recibiendo boletines publicitarios en sus señas electrónicas. En consecuencia, de lo expuesto con anterioridad, ha quedado probado que el imputado también ha incurrido en la infracción del artículo 21.2, párrafos segundo y tercero, de la LSSI, al no ofrecer en las mencionadas comunicaciones comerciales dirigidas a la cuenta de correo electrónico del denunciante una dirección electrónica válida o una dirección de correo electrónico que el destinatario de los envíos pudiera utilizar para no continuar recibiendo publicidad por dicha vía. VII El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos) La definición de prestador del servicio se contiene en el apartado
- c)del Anexo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”, y dentro de la cual se encuadra la denunciante como remitente de la comunicación comercial que publicita productos comercializados a través del sitio web G.G.G.. De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
- c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
- d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b), se producirá una infracción de carácter grave a los efectos de la LSSI. A partir del conjunto de hechos y circunstancias constatadas en el procedimiento sancionador y vistos los fundamentos de derecho anteriores, la conclusión que se despende es que la conculcación del artículo 21 de la LSSI que se imputa a LOHER se ajusta al tipo de infracción calificada como leve en el artículo 38.4.
- d)de la LSSI, al tratarse de una comunicación comercial no autorizada por su destinatario que no incluía una dirección electrónica válida de baja al no funcionar correctamente . VIII A tenor de lo establecido en el artículo 39.1.
- c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma que dispone lo siguiente: “Artículo 40. Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
- a)La existencia de intencionalidad.
- b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
- c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
- d)La naturaleza y cuantía de los perjuicios causados.
- e)Los beneficios obtenidos por la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13
- f)Volumen de facturación a que afecte la infracción cometida
- g)La adhesión a un código de conducta o aun sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes”. En relación a los criterios de graduación de las sanciones recogidos en el citado artículo 40 de la LSSI, se estima que, si bien no ha existido intencionalidad en la conducta de la denunciada, sin embargo la falta de diligencia observada por ésta opera como agravante al no haber adoptado las cautelas y medidas necesarias, con anterioridad a la realización del envío de fecha 7 de agosto de 2014, para asegurarse tanto de que contaba con el consentimiento previo y expreso de su destinatario como de que el procedimiento de oposición incluido en la comunicación funcionaba correctamente, máxime si se tiene en cuenta que la denunciada desarrolla una actividad profesional relacionada con el sector de la informática que hace que deba ser especialmente conocedora de las exigencias recogidas en la LSSI . Paralelamente, se valoran como circunstancias atenuantes en la comisión de la infracción, los criterios relativos a la falta de constancia de que el denunciante haya sufrido perjuicios derivados de la recepción del mencionado correo comercial electrónico y ausencia de beneficios obtenidos por la denunciada con motivo de la comisión de la infracción del artículo 21 de la LSSI. Por todo lo cual, se entiende como ajustado a la gravedad de los hechos imponer a Doña C.C.C. una sanción de 1.000 € . Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Doña C.C.C., por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4
- d)de la LSSI, una multa de 1.000 € ( Mil euros) de conformidad con lo establecido en los artículos 39.1.
- c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a Doña SERVEIS, S.L. C.C.C., y a IUKANET TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es