← España

PS-00027-2016

1/17 Procedimiento Nº PS/00027/2016 RESOLUCIÓN: R/01589/2016 En el procedimiento sancionador PS/00027/2016, instruido por la Agencia Española de Protección de Datos a la entidad GRUPO YAMM COMIDA A DOMICILIO, S.L.., vista la denuncia presentada por Don C.C.C., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 22 de agosto de 2015 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por Don C.C.C., en adelante el denunciante, en la que manifiesta que GRUPO YAMM COMIDA A DOMICILIO, S.L.., conocida comercialmente como La Nevera Roja, sigue enviándole publicidad a su correo electrónico tras varias solicitudes por su parte de cese de dichos envíos publicitarios. El denunciante aporta copia de los correos electrónicos remitidos a la entidad denunciada los días 6 y 10 de agosto de 2015 junto con las respuestas ofrecidas en las mismas fechas por GRUPO YAMM COMIDA A DOMICILIO, S.L.., en lo sucesivo GRUPO YAMM o entidad denunciada, en las que esa empresa indica que han procedido a pasar su solicitud de baja de la newsletter para su tramitación en los próximos días. El denunciante aporta copia de los correos electrónicos recibidos y las cabeceras de internet de los mismos, así como de las cabeceras de internet de la respuesta dada a la solicitud del día 10 de agosto de 2015 . SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia, tienen conocimiento de los siguientes extremos: 1. De la documentación aportada por el denunciante se desprende que recibió en su cuenta de correo F.F.F. los correos electrónicos cuyas características se listan a continuación. C/ Jorge Juan, 6 28001 – Madrid Cuenta origen IP origen Fecha E.E.E. G.G.G. 13/8/2015 Hora 10:01 E.E.E. G.G.G. 16/8/2015 10:31 E.E.E. G.G.G. 22/8/2015 4:01 E.E.E. G.G.G. 27/8/2015 11:01 E.E.E. G.G.G. 30/8/2015 11:01 www.agpd.es sedeagpd.gob.es 2/17 Los mencionados correos electrónicos contenían información comercial referente a servicios y productos de La Nevera Roja. También ofrecían un mecanismo para solicitar la baja de la lista de destinatarios en forma de enlace con el texto “Darse de baja en esta newsletter.” Los correos electrónicos comerciales de fechas 22,27 y 30 de agosto de 2015 se remitieron por GRUPO YAMM transcurridos diez días hábiles desde la primera solicitud de baja del denunciante de fecha 6 de agosto de 2015, día en que esa empresa también confirmó al afectado la tramitación de su petición. 2. En los registros públicos de direcciones IP de internet consta que la dirección IP G.G.G. está asignada a una empresa estadounidense. 3. El dominio E.E.E. está registrado a nombre de DOMICILIO. GRUPO YAMM COMIDA A 4. En respuesta a la solicitud de información realizada por el inspector actuante, los representantes de GRUPO YAMM remitieron un escrito en el que manifestaron, en referencia a los envíos de los correos electrónicos en cuestión, que: 4.1. La acreditación del consentimiento de las comunicaciones comerciales se ampara en el primer pedido que realizó el titular de la dirección de correo electrónico. Adjuntan pantallazo del punto de pedido donde se acepta la recepción de comunicaciones comerciales. 4.2. El origen del dato del consentimiento viene del primer pedido del comprador (adjuntan histórico de pedidos del usuario en cuestión). Aportan la ficha con los datos correspondientes al denunciante, resaltando que la celda de suscriptor de dicho usuario no aparece marcada por estar dado de baja de las newsletter. Se observa que en dicha ficha no consta la fecha de la baja. 4.3. Aportan copia de los términos y condiciones de uso del servicio, indicando que cuando un usuario hace un pedido está aceptando los términos y condiciones de uso de la web “ E.E.E.” 4.4. Presentan información relativa a las comunicaciones mantenidas con el usuario con fechas 6 y 10 de agosto de 2015, vía correo electrónico, referentes a la tramitación de las solicitudes de baja de la newsletter efectuadas por el denunciante con esas mismas fechas. En la contestación de fecha 6 de agosto de 2015 se indica: ”Hemos procedido a pasar la solicitud de baja en nuestra Newsleter, la cual se tramitará en los próximos días” En la contestación de fecha 10 de agosto de 2015, realizada en respuesta a la comunicación del afectado indicando que continuaba recibiendo publicidad de la nevera roja y reiterando su solicitud de oposición a dichos envíos, se señalaba: “Lamentamos las molestias. Hemos procedido a pasar la solicitud de baja al departamento para que la revise a la mayor brevedad posible.” TERCERO: Con fecha 27 de enero de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GRUPO YAMM COMIDA A DOMICILIO, S.L.. por la presunta infracción del artículo 2.11 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 38.4.

  1. d)de dicha norma, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1.
  2. c)de la LSSI. CUARTO: Notificado el citado Acuerdo de inicio, la representación legal de GRUPO YAMM presentó alegaciones solicitando el archivo del procedimiento con arreglo a lo dispuesto en los artículos 39 bis y 40 de la LSSI en atención a los siguientes argumentos: - La incidencia técnica vino producida por un proceso de migración técnica de los ficheros, consecuencia a su vez, de un proceso de absorción de empresas. La traslación de herramientas tecnológicas y sistemas locales provocó errores temporales que se trataron de solventar mediante el envío manual de confirmaciones de baja. - El incidente ha servido para revisar el sistema de tratamiento de datos, pasando de efectuarse de forma manual a forma automática poniendo a disposición de los usuarios un link automático en la plataforma web. Solo en los casos excepcionales en los que el usuario usa otro canal el control se realiza manualmente, aunque el control es muy exhaustivo. - Hasta la fecha la entidad no había sido denunciada ni sancionada en lo que se refiere a la LOPD y LSSI. Se trata de un acontecimiento aislado acaecido en una situación excepcional de transición, que, además, se solucionó inmediatamente. - No procede acordar la apertura del procedimiento, ya que la infracción ha sido calificada como leve, la entidad no ha sido sancionada previamente por la AEPD, se han adoptado las medidas oportunas para solventar las deficiencias que hubiera podido tener el sistema y concurren las a),
  3. b)c),
  4. d)y
  5. e)del artículo 40 de la LSSI. . - De conformidad con los artículos 127, 139 y 131 de la LRJ-PAC la continuación del procedimiento vulneraría los principios de legalidad, tipicidad y proporcionalidad que rigen cualquier procedimiento sancionador. QUINTO: Con fecha 9 de febrero de 2016, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, en el que se acordó practicar las siguientes pruebas: - Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante GRUPO YAMM, el Informe de actuaciones previas de Inspección que forman parte del expediente E/06874/2015, las alegaciones al acuerdo de inicio PS/00027/2016 presentadas por GRUPO YAMM - C/ Jorge Juan, 6 28001 – Madrid Solicitar a GRUPO YAMM la aportación de documentación acreditativa de los siguientes extremos: Fecha exacta de la fecha exacta de la baja en sus ficheros de la cuenta de correo F.F.F.; Fecha en la que se produjo la www.agpd.es sedeagpd.gob.es 4/17 absorción de empresas y período en que se inició el proceso de migración técnica de los ficheros alegado, con expresión de la denominación social de la empresas compradora y vendedora. SEXTO: Con fecha 19 de febrero de 2016 se registra de entrada contestación de GRUPO YAMM: la siguiente - La fecha exacta que el usuario pidió darse de baja de las comunicaciones fue el 06/08/2015 y la fecha de eliminación de su base de datos fue el 10/08/2015. Adjuntan pantallazo de sus sistemas indicando que se trata de la “conversación con nuestro equipo de Atención al Cliente.” Se procedió a la baja en las semanas siguientes, figurando en la actualidad como no suscrito. - Indican que la compra se realizó en febrero de 2015, con una migración de sistemas que comenzó en abril de 2015 (página web, aplicación móvil, sistemas de gestión) y finalizó con las herramientas de marketing y comunicación entre octubre y noviembre de 2015. SÉPTIMO: Con fecha 19 de mayo de 2016 se formuló propuesta de resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionase a GRUPO YAMM COMIDA A DOMICILIO, S.L.. con multa de 1.400 € (Mil cuatrocientos euros) por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  6. d)de dicha norma, de conformidad con lo previsto en los artículos 39.1.
  7. c)y 40 de la LSSI. En dicha propuesta se concedía a la citada empresa un plazo de quince días hábiles para alegar cuanto considerase en su defensa, de acuerdo con el artículo 19 del Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora aprobado por el Real Decreto 1398/1993, de 4 de agosto. Con fecha 25 de mayo de 2016 consta como propuesta de resolución. notificada la mencionada HECHOS PROBADOS PRIMERO: Con fechas 22 de agosto y 30 de noviembre de 2015 Don C.C.C. denunció al GRUPO YAMM COMIDA A DOMICILIO, S.L.. , en adelante GRUPO YAMM, por enviarle comunicaciones comerciales con ofertas de comida a domicilio de “La nevera Roja” después de haberle confirmado el inicio de las gestiones para tramitar sus dos solicitudes de baja de la newsletter de la empresa. (folios 1 al 90 y 93 al 105). SEGUNDO: En el histórico de pedidos del denunciante, aportado por GRUPO YAMM con fecha 11 de diciembre de 2015, figura como fecha del primer pedido el día 12 de octubre de 2014 y como fecha del último pedido el día 28 de mayo de 2015. (folio 115) TERCERO: Con fechas 6 y 10 de agosto de 2015 C/ Jorge Juan, 6 28001 – Madrid el denunciante remitió desde la www.agpd.es sedeagpd.gob.es 5/17 cuenta F.F.F. a las cuentas de correo electrónico D.D.D. y A.A.A., respectivamente, sendas solicitudes de baja para no recibir la newsletter de E.E.E.. (folios 7, 82 a 88, 114, 118, 161) 4CUARTO: La primera solicitud de baja fue contestada el 6 de agosto de 2015 por GRUPO YAMM indicando “Hemos procedido a pasar la solicitud de baja en nuestra Newsletter, la cual se tramitará en los próximos días. No obstante, nos guastaría saber si esto se debe a que has tenido algún incidente en la Web. Lamentamos tu decisión. Un saludo” (folios 83, 118) QUINTO: La segunda solicitud de baja, en la que el denunciante comunicaba que continuaba recibiendo publicidad de “La Nevera Roja”, fue contestada el 10 de agosto de 2015 por GRUPO YAMM indicando “Lamentamos las molestias. Hemos procedido a pasar la solicitud de baja al departamento para que la revise a la mayor brevedad posible. Un saludo” (folios 82, 84, 85 118) SEXTO: Consta que con fechas 22, 27 y 30 de agosto de 2015 el denunciante recibió en la cuenta F.F.F. un total de tres comunicaciones comerciales con información publicitaria referente a los servicios y productos de “La Nevera Roja” desde el correo electrónico E.E.E.. Los tres envíos comerciales citados ofrecían un enlace de baja y tenían la dirección IP de origen G.G.G. (folios 5, 66, 93 al 105) SÉPTIMO: El dominio E.E.E. está registrado a nombre de GRUPO YAMM COMIDA A DOMICILIO. (folio 140) OCTAVO: La ficha de cliente del denunciante aportada por GRUPO YAMM con fecha 11 de diciembre de 2015 no tenía marcada la celda de suscriptor de la newsletter de la empresa (folios 114 y 115) FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
  8. d)e
  9. i)y 38.4 d),
  10. g)y
  11. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI, también en la redacción dada por la mencionada Ley de Telecomunicaciones, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación del consentimiento expreso o solicitud previa, salvo que exista una relación contractual anterior y el sujeto no haya manifestado su voluntad en contra. Así, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
  12. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
  13. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
  14. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. Por otro lado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
  15. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
  16. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros representen una actividad económica, los siguientes: (…) y siempre que 4º El envío de comunicaciones comerciales. ” (…)”. A su vez, el apartado
  17. d)del citado Anexo define como “Destinatario del servicio” o ”destinatario” a la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
  18. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV En el presente supuesto, de la valoración conjunta de los elementos fácticos obrantes en el procedimiento, se evidencia que el denunciante recibió en su cuenta de correo electrónico F.F.F. con fechas 22, 27 y 30 de agosto de 2015 un total de tres comunicaciones comerciales no deseadas remitidas desde la dirección E.E.E. . Estos envíos, con ofertas del servicio de comida a domicilio de “La Nevera Roja”, se llevaron a cabo por GRUPO YAMM no sólo después de que dicha entidad hubiera recibido los días 6 y 10 de agosto de 2015 las solicitudes de baja que el denunciante le remitió , con esas mismas fechas, para no continuar recibiendo la newsletter de la entidad, sino que, además, se produjeron cuando la entidad denunciada ya había procedido a contestar ambas peticiones confirmando su próxima tramitación. (folio 118) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 Los tres correos anteriormente reseñados se enviaron transcurridos diez días hábiles desde el día 6 de agosto de 2015, fecha en que la entidad denunciada recibió y contestó la primera de las dos solicitudes de baja reseñadas, plazo que conforme a lo dispuesto en el artículo 19.2 de la LSSI se viene aplicando por la AEPD por analogía con lo dispuesto en el artículo 35 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, al no fijarse en el artículo 21.2 de la LSSI plazo alguno para que el prestador de servicios de la sociedad de la información atienda el derecho de oposición manifestado por el destinatario de los envíos al tratamiento de sus señas electrónicas con fines publicitarios. De lo que se colige que cuando la entidad denunciada, titular del dominio E.E.E., remitió las tres comunicaciones electrónicas comerciales objeto de análisis ya conocía la voluntad del destinatario afectado de que su cuenta de correo electrónico no se utilizase para enviar publicidad de sus servicios. Por lo tanto, se estima que los tres correos electrónicos comerciales objeto de imputación carecían del consentimiento previo y expreso de su destinatario para su envío, por lo que su remisión por parte de la empresa denunciada vulnera la prohibición contenida en el artículo 21.1 de la LSSI de enviar comunicaciones comerciales por correo electrónico que no hayan sido autorizadas previamente o expresamente solicitadas por el destinatario de las mismas. Dado que GRUPO YAMM ha alegado que los envíos se debieron a una incidencia técnica producida en el marco del proceso de migración técnica de los ficheros que se originó, a su vez, a raíz de un proceso de absorción de empresas, resulta oportuno traer a colación en relación con esta cuestión lo señalado por la Audiencia Nacional en la Sentencia de fecha 19 de enero de 2015, Rec. 178/2013, : “La concurrencia de un supuesto error informático como justificante de la remisión indebida de correos electrónicos no puede ser admitida por esta Sala y ellos pues son muchas las sentencias en las que se han insistido en que los errores informáticos no son suficientes para eliminar la antijuridicidad de las conductas sancionadas. Así en las sentencias dictadas en los recursos 110/2013 ó 368/2012. La existencia de un supuesto error informático, que también alega la parte recurrente en su escrito de demanda, no es suficiente para entender justificada la conducta de la recurrente y ello pues los referidos errores informáticos generan responsabilidad en quien los padece cuando producen daños a los titulares de otros bienes jurídicos, como ,en el caso presente, es el derecho a no recibir comunicaciones no deseadas (así se ha dicho por esta Sala en multitud de sentencias de entre las que cabe citar las correspondientes a los recursos 110/2013 ó 368/2012.)” Tampoco se entendió por la Audiencia Nacional en su Sentencia de fecha 27 de marzo de 2015, Rec. 72/2014, que no existiera responsabilidad en la conducta infractora imputada por la existencia de un fallo del sistema de bloqueo en un caso referido a la LOPD, y que, a los efectos pretendidos por la denunciada, resulta de aplicación a este supuesto. En dicha Sentencia se señalaba: “Una vez constatado que la parte demandante realizó la conducta infractora que aparece descrita en la resolución recurrida, en el curso de este proceso no se ha puesto de manifiesto la concurrencia de circunstancias que permitan excluir la culpabilidad de la misma, limitándose la parte atora a alegar que se debió a un fallo del sistema de bloqueo de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 Es sabido que se puede incurrir en responsabilidad por la infracción e que estamos examinando tanto de manera intencionada o dolosa como por descuido, negligencia o aún a título de simple inobservancia- art. 130.1 de la Ley 30/1992, de 26 de noviembre-. Y procede ahora recordar que, como señala el Tribunal Supremo en la Sentencia de 23 de enero de 1998, “…aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa. Ninguna de las circunstancias concurrentes en el caso que nos ocupa permite excluir este elemento subjetivo de la infracción. Debemos insistir en que la culpabilidad de la parte actora no puede considerarse excluida ni atenuada por el hecho de que le tratamiento de los datos del denunciante pudiese deberse a la existencia de un fallo del sistema de bloqueo de datos personales.” En este orden de ideas, se aprecia, por tanto, imputada a título de culpa. la existencia de la infracción A la luz de lo expuesto, la denunciada ha incumplido la prohibición de remitir comunicaciones comerciales no autorizadas o solicitadas establecidas en el artículo 21.1 de la LSSI, ya que estamos ante envíos publicitarios no consentidos por su destinatario. V El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 de la LSSI especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos), considerándose como tal, según definición contenida en el apartado
  19. c)del Anexo de la citada norma a la “ persona física o jurídica que proporciona un servicio de la sociedad de la información”. De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  20. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
  21. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 En consecuencia, a la vista de los hechos que han resultado acreditados en la tramitación del procedimiento sancionador, la conclusión que se despende de los hechos y fundamentos de derecho anteriores es que la infracción del artículo 21.1 de la LSSI que se imputa a la denunciada ha de calificarse como infracción leve a lo previsto en el artículo 38.4.
  22. d)de la vigente LSSI, puesto que la remisión de tres comunicaciones comerciales no autorizadas a la cuenta de correo electrónico del denunciante no puede calificarse como envío insistente o sistemático por parte de la entidad responsable de los reseñados envíos. Todo lo cual lleva a considerar la existencia del elemento subjetivo de culpabilidad en la conducta de la denunciada en el ilícito administrativo imputado, ya que la misma responde a una acción típica, antijurídica, culpable y punible que constituye, tal y como se ha razonado, vulneración al artículo 21.1 de la LSSI por parte de la denunciada. VI Con arreglo a lo descrito hasta ahora, debe rechazarse el alegato postulado por la entidad denunciada relativo a que la continuación del procedimiento vulnera lo dispuesto en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJ-PAC), los cuales disponen respecto de los principios de legalidad y tipicidad lo siguiente: “Artículo 127. Principio de legalidad. 1. La potestad sancionadora de las Administraciones públicas, reconocida por la Constitución, se ejercerá cuando haya sido expresamente reconocida por una norma con rango de Ley, con aplicación del procedimiento previsto para su ejercicio y de acuerdo con lo establecido en este título y, cuando se trate de entidades locales, de conformidad con lo dispuesto en el título XI de la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen local. 2. El ejercicio de la potestad sancionadora corresponde a los órganos administrativos que la tengan expresamente atribuida, por disposición de rango legal o reglamentario. 3. Las disposiciones de este Título no son de aplicación al ejercicio por las Administraciones públicas de su potestad disciplinaria respecto del personal a su servicio y de quienes estén vinculados a ellas por una relación contractual. (…) Artículo 129. Principio de tipicidad. 1. Sólo constituyen infracciones administrativas las vulneraciones del Ordenamiento Jurídico previstas como tales infracciones por una Ley, sin perjuicio de lo dispuesto para la administración local en el título XI de la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local. 2. Únicamente por la comisión de infracciones administrativas podrán imponerse sanciones que, en todo caso, estarán delimitadas por la Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 3. Las disposiciones reglamentarias de desarrollo podrán introducir especificaciones o graduaciones al cuadro de las infracciones o sanciones establecidas legalmente que, sin constituir nuevas infracciones o sanciones, ni alterar la naturaleza o límites de las que la Ley contempla, contribuyan a la más correcta identificación de las conductas o a la más precisa determinación de las sanciones correspondientes. 4. Las normas definidoras de infracciones y sanciones no serán susceptibles de aplicación analógica.” Ya en el primer Fundamento de Derecho se ha indicado que la potestad sancionadora se ejerce conforme a lo previsto en el artículo 43.1 de la LSSI, norma con rango de ley que establece que corresponderá “ a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3.c),
  23. d)e
  24. i)y 38.4.d),
  25. g)y
  26. h)de esta Ley” . A su vez, el expediente se ha tramitado según el procedimiento recogido en los artículos 120 y 127 al 128 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre , de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, y aplicando, supletoriamente, la LRJ-PAC y el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993. Asimismo, a través de las actuaciones practicadas y las consideraciones efectuadas ha quedado justificado que la entidad denunciada vulneró la prohibición de remitir comunicaciones comerciales no autorizadas recogida en el artículo 21.1 de la LSSI, ya que los tres correos electrónicos comerciales estudiados se remitieron sin mediar el consentimiento previo y expreso del denunciante para ello conforme se ha razonado, conducta que se subsume en la infracción leve descrita en el artículo 38.4.
  27. d)de la LSSI. Es decir, la infracción y la sanción a imponer por la comisión de la misma están específicamente señaladas en el régimen de infracciones y sanciones contenido en la LSSI. Respecto de esta cuestión en la Sentencia de la Audiencia Nacional de fecha 17 de octubre de 2007, Recurso 23/2006, se indicaba: “Por tanto, concurre la tipicidad cuya infracción se denuncia en el escrito de demanda, pues hay predeterminación normativa, que desempeña la función de garantía mediante la cual se tiene una predicción razonable de la conducta ilícita y de las consecuencias jurídicas que lleva aparejada la comisión de dicha conducta, dicho de otra forma, la tipicidad es suficiente si consta en la norma una predeterminación inteligible de la infracción, de la sanción y de la correlación entre una y otra.” De todo lo anterior se desprende que no se ha producido la vulneración de los reseñados principios, resultando, por ello, conforme a derecho la tramitación del procedimiento sancionador y su continuación al concurrir suficientes elementos fácticos y jurídicos que así lo justifican. VII Defiende también GRUPO YAMM que procede el archivo del procedimiento con arreglo a lo dispuesto en los artículos 39 bis y 40 de la LSSI, ello en atención a las circunstancias en que se ha producido la infracción y puesto que es la primera vez que la entidad ha sido denunciada, se trata de un hecho aislado producido en una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 situación excepcional de transición, han sido solventadas las deficiencias informáticas que pudieran existir con anterioridad y concurren la práctica totalidad de las circunstancias del artículo 40 de la LSSI. En cuanto a los preceptos reseñados por la referida entidad, el artículo 39 bis de la LSSI, bajo la rúbrica de “Moderación de sanciones”, establece: “1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  28. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
  29. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  30. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  31. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  32. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  33. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  34. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” A su vez, el artículo 40 de la LSSI, bajo la rúbrica “Graduación de la cuantía de las sanciones” establece: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  35. a)La existencia de intencionalidad.
  36. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  37. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  38. d)La naturaleza y cuantía de los perjuicios causados.
  39. e)Los beneficios obtenidos por la infracción.
  40. f)Volumen de facturación a que afecte la infracción cometida. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17
  41. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” Sin embargo, esta Agencia rechaza las razones esgrimidas por GRUPO YAMM para archivar las actuaciones practicadas con sustento en los siguientes argumentos: En primer lugar, de la literalidad del artículo 39 bis 2 se evidencia que la previsión contenida en el mismo de sustituir la incoación de un procedimiento sancionador por la figura del apercibimiento al infractor es potestativa del órgano sancionador, correspondiendo su ponderación a dicho órgano atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado 1 del mismo precepto , siempre y cuando también se cumplan los presupuestos
  42. a)y
  43. b)citados en el propio artículo. Es decir, la aplicación del artículo 39 bis 2 de la LSSI resulta excepcional, correspondiendo al órgano sancionador ponderar la concurrencia de los requisitos fijados en el mismo así como su aplicación. En este supuesto, precisamente atendida la naturaleza de los hechos objeto de imputación se considera pertinente tramitar un procedimiento sancionador en lugar de un apercibimiento, habida cuenta que los tres correos electrónicos comerciales objeto de imputación se remitieron a pesar de que el denunciante se había opuesto con anterioridad a la remisión de dichos envíos a recibir ese tipo de comunicaciones comerciales en sus señas electrónicas, circunstancia que, además, se reitera conocía perfectamente esa entidad al haber acusado recibo de las mismas y confirmado la realización de las gestiones pertinentes para su tramitación. En segundo lugar, en cuanto a que la infracción cometida responde a una situación excepcional de transición conviene señalar que la entidad imputada no ha aportado ningún medio de prueba documental o suficiente en derecho que acredite el proceso de absorción de empresas alegado, la fecha de la compra alegada (febrero de 2015), identificación de las empresas absorbida y absorbente implicadas en dicho proceso, al igual que no ha justificado fehacientemente que el proceso de migración de sistemas a la empresa compradora se llevara a cabo entre abril y noviembre de 2015 como se ha señalado . En tercer lugar, se considera que esa entidad no ha justificado que la situación se solucionase de forma inmediata en sus sistemas. Por el contrario, constan en el expediente las siguientes manifestaciones de esa empresa referidas a la fecha exacta de la baja efectiva en sus ficheros de la cuenta de correo del denunciante “Se procedió a ello en las semanas siguientes y actualmente figura como no suscrito a las comunicaciones comerciales”, las cuales se efectuaron con fecha 11 de diciembre de 2015, al contestar el requerimiento de información que le fue efectuado durante la fase de actuaciones previas de inspección, y con fecha17 de febrero de 2016, al responder la práctica de prueba que le fue requerida durante el período de práctica de pruebas del procedimiento (folios 114 y 161) . Por lo tanto, a la vista de las fechas de los envíos analizados la solicitud de la baja recibida por GRUPO YAMM con fecha 6 de agosto se tramitó con posterioridad al 30 de agosto de 2015, fecha de remisión del último envío denunciado, sin que el hecho de que a fecha 11 de diciembre de 2015 la ficha correspondiente a los datos del usuario tuviera la celda de suscriptor no marcada suponga una regularización diligente. En todo caso, la adopción por esa empresa de medidas tendentes a revisar y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 solventar las deficiencias del sistema para hacer efectivo el derecho de oposición manifestado por los destinatarios de las comunicaciones comerciales remitidas por medios de comunicación electrónica, debe encuadrarse en la obligación que incumbe como prestador de servicios de la sociedad de la información y, también como responsable del tratamiento efectuado en sus ficheros respecto de los datos de los afectados, entre los que se encontraba la cuenta de correo electrónico del denunciante (folio 116), de hacer efectivo su derecho a no recibir comunicaciones comerciales no deseadas por vías de comunicación electrónica o similares una vez que éstos hayan manifestado su voluntad en tal sentido, circunstancia que ya se ha razonado ocurrió en este supuesto por dos ocasiones. En cuarto lugar, en el caso analizado no se aprecia que la presencia de varios de los criterios de graduación de las sanciones enunciados en el artículo 40 de la LSSI sea “significativa” o de tal relevancia como para justificar la sustitución contemplada en el artículo 39 bis 2 de la LSSI, máxime cuando esta figura debe aplicarse en forma excepcional y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas en función de las circunstancias del caso concreto, situación que no concurre en este supuesto teniendo en cuenta las circunstancias expuestas en los tres puntos anteriores. Sentado lo anterior, se estima adecuado continuar la tramitación del procedimiento sancionador con la imposición de una sanción comprendida en el rango de lo establecido en el artículo 39.1.
  44. c)de la LSSI, la cual deberá graduarse de conformidad con los criterios de graduación de las sanciones recogidos en el transcrito artículo 40 de la LSSI y lo dispuesto en el artículo 131 de la LRJ-PAC, precepto este último que en relación con el principio de proporcionalidad establece que: “3. En la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
  45. a)La existencia de intencionalidad o reiteración.
  46. b)La naturaleza de los perjuicios causados.
  47. c)La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme.” De esta forma, se considera que en este supuesto actúan como agravantes los criterios
  48. a)y
  49. b)del mencionado artículo 40 de la LSSI. En relación con los criterios de graduación de las sanciones recogidos en el transcrito artículo 40 de la LSSI, y en cumplimiento del principio de proporcionalidad dispuesto en el artículo 131 de la LRJ-PAC, se considera que en este supuesto actúan como agravantes los criterios
  50. a)y
  51. b)del mencionado artículo 40 de la LSSI. En cuanto al criterio a), se ha producido una falta en la diligencia que le resultaba exigible al no adoptar las cautelas que resultaban necesarias para hacer un seguimiento de la gestión de la tramitación de la baja solicitada por dos veces por el afectado y comprobar, con anterioridad a la remisión de los envíos comerciales objeto de estudio, que se habían efectuado las modificaciones necesarias en los ficheros y herramientas de marketing de la entidad para hacer efectiva la misma en evitación de nuevos envíos de la newsletter de la entidad a las señas electrónicas del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 denunciante, falta de rigor que de haberse adoptado hubiera evitado el incumplimiento de la prohibición recogida en el artículo 21.1 de la LSSI. Respecto del criterio
  52. b)se tiene en cuenta que en el plazo de 9 días comprendido entre el 22 y el 30 de agosto de 2015 se remitieron al denunciante un total de tres correos electrónicos comerciales no autorizados, ello no obstante que el denunciante había reiterado con fecha 10 de agosto de 2015 su voluntad, ya manifestada con fecha 6 de agosto de 2015, de no recibir este tipo de envíos comerciales en sus señas electrónicas. Paralelamente, se valoran como atenuantes los criterios d),
  53. e)y
  54. f)recogidos en el citado artículo 40 de la LSSI, y ello ante la falta de constancia tanto de que el denunciante haya sufrido perjuicios derivados de la comisión de la infracción imputada, como de que la entidad denunciada haya obtenido beneficios o algún impacto en su volumen de facturación con motivo de la comisión de la infracción del artículo 21.1 de la LSSI. Por lo tanto, con arreglo a los criterios de graduación recogidos en el transcrito artículo 40 de la LSSI se estima adecuado a la gravedad de los hechos analizados la imposición de una sanción de 1.400 € a GRUPO YAMM COMIDA A DOMICILIO, S.L.. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad GRUPO YAMM COMIDA A DOMICILIO, S.L.., por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  55. d)de la LSSI, una multa de 1.400 € (Mil cuatrocientos euros), de conformidad con lo establecido en los artículos 39.a.
  56. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a DOMICILIO, S.L.. y a Don C.C.C. . GRUPO YAMM COMIDA A TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.