1/7 Procedimiento Nº: PS/00055/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00055/2021, instruido por la Agencia Española de Protección de Datos, a la entidad, ANYTIME FITNESS IBERIA, S.L., con CIF.: B65801847, (en adelante, “la entidad reclamada”), en virtud de la reclamación presentada por D. A.A.A., (en adelante, “la reclamante”), y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 10/09/20, tiene entrada en esta Agencia, denuncia presentada por la reclamante, en la que indicaba, entre otras, lo siguiente: “Tras haber enviado a la compañía solicitud de supresión de mis datos y, consiguientemente, el cese en el envío de publicidad por cualquier vía, se atendió mi derecho dándome respuesta e indicándome que se habían procedido a suprimir mis datos. No obstante, he seguido recibiendo SMS promocionales”. Al escrito de denuncia acompaña la siguiente documentación: - Mensaje enviado por el reclamante, el 22/07/20, a la entidad reclamada donde les indica: “Les ruego que, aparte de ejercitar mi derecho de supresión, se abstengan de realizar comunicaciones comerciales por cualquier vía”. - Contestación de la entidad, el día 28/07/20, en el que responde: “Hola, Queríamos hacerle saber que nuestros equipos ahora han procesado su solicitud de privacidad para eliminar su información, incluida la eliminación de todas las comunicaciones de marketing y relacionadas. Si tiene alguna pregunta no dude en comunicarse con nosotros. The Privacy team Anytime Fitness, LLC”. - 2 SMS enviados al teléfono móvil del reclamante, los días 03/08/20 y 25/08/20, con los siguientes mensajes: “Estas vacaciones nos quedamos CONTIGO. Ven y entrena con AF Mira—Sol con esta promoción especial. Plazas limitadas. http:[/sít.im/ Llng” y “SALUD AL ALCANCE DE TOD©S CON AF MIRA—SOL. 40 plazas limitadas no te quedes sin la tuya. “Promo” valida hasta el 18/09 http: [/sít.ím/Pc16l—i6”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 06/10/20 y 19/10/20 se dirigen sendos requerimientos informativos a la entidad reclamada. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el requerimiento enviado a la entidad reclamada, el día 06/10/20, a través del servicio de notificaciones NOTIFIC@, fue rechazado en destino el día 17/10/20. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Según certificado de la Sociedad Estatal Correos y Telégrafos, el requerimiento enviado a la entidad reclamada, el día 19/10/20, a través del servicio de SICER, fue notificado en destino el día 23/10/20, siendo el receptor: B.B.B.- ***NIF.1. TERCERO: Con fecha 26/11/20, tiene entrada en esta Agencia, una segunda denuncia del reclamante, en la que indicaba, entre otras, lo siguiente: “que, tras la presentación de la correspondiente reclamación a esta Agencia se han seguido recibiendo SMS de la entidad reclamada”. Al escrito de denuncia se acompaña copia de 6 SMS recibidos en el teléfono móvil del reclamante y enviados desde la entidad reclamada, entre los días 28/09/20 y 28/10/20, con mensajes publicitarios idénticos a los recibidos en el mes de agosto del 2020. CUARTO: Con fecha 05/02/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la denuncia presentada por el reclamante, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LPDGDD), al no haber recibido contestación alguna, por parte de la entidad reclamada, al requerimiento de información enviado desde esta Agencia. QUINTO: A la vista de los hechos denunciados y de las evidencias observadas en la página web, la Directora de la Agencia Española de Protección de Datos, con fecha 15/02/21, acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos por infracción del artículo 17 del RGPD, respecto de la falta de diligencia a la hora de eliminar los datos personales del reclamante de sus bases de datos, con una multa inicial de 10.000 euros y por infracción del artículo 21 de la LSSI, por el envío de SMS publicitarios al reclamante sin el consentimiento expreso de éste, con una sanción inicial de 5.000 euros. SEXTO: Notificado el acuerdo de inicio a la entidad reclamada el 26/02/21, no se ha recibió en esta Agencia, ningún tipo de alegaciones a la incoación de expediente, en el plazo concedido al efecto. HECHOS PROBADOS 1.- Según se manifiesta en la reclamación, tras haber enviado a la entidad reclamada solicitud de supresión de los datos y el cese en el envío de publicidad por cualquier vía, se atendió el derecho dando respuesta afirmativa. No obstante, el reclamante alega haber seguido recibiendo SMS promocionales de la entidad reclamada después de haber ejercitado sus derechos de supresión de datos. 2.- A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, esta Agencia envió varios requerimientos informativos a la entidad reclamada que nunca fueron respondidos. Tampoco hubo respuesta a la incoación del expediente sancionador, por parte de la entidad, dentro del plazo concedido al efecto. FUNDAMENTOS DE DERECHO I.- Competencia: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 - Sobre el tratamiento de los datos personales: Es competente para resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), - Sobre el envío de comunicaciones comerciales sin el consentimiento del interesado: De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), es competente para resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos. II El artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, de 2 de octubre de 2015, en adelante LPACAP, dispone que: “El acuerdo de iniciación deberá contener al menos: (…)
- f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” En el presente caso, se han observado tales prescripciones, ya que en el acuerdo de inicio se advertía de lo dispuesto en el artículo 64.2.
- f)de la LPACAP, se concretaba la presunta infracción cometida junto con su correspondiente tipificación, se determinaba el importe de la sanción con arreglo a los criterios de graduación tenidos en cuenta en función de las evidencias obtenidas a esa fecha, informándose también de las reducciones previstas sobre el importe fijado en virtud de lo dispuesto en el artículo 85 de la LPACAP. En consideración a lo expuesto y de conformidad con lo establecido en el artículo 64.2.
- f)de la LPACAP, el acuerdo de inicio del PS/00060/2018 es considerado Propuesta de Resolución, toda vez que contenía un pronunciamiento preciso acerca de la responsabilidad imputada y, tras su notificación en la forma descrita en el antecedente de hecho cuarto, el reclamado no ha formulado alegaciones al mismo en el plazo concedido a tales efectos. III - Sobre el tratamiento de datos personales: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 En el presente caso, se denuncia el tratamiento de datos personales con la remisión de comunicaciones comerciales, a través de SMS, después de haber solicitado la supresión de sus datos personales de la base de datos de la entidad reclamada y haber recibido respuesta de la entidad confirmando dicha supresión. El Artículo 17.1. del RGPD, sobre el derecho de supresión («el derecho al olvido»), establece que: 1.El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo; 4.5.2016 L 119/43 Diario Oficial de la Unión Europea ES
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artí culo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2; (…)” De conformidad con las evidencias de las que se dispone en este momento, y sin perjuicio de lo que resulte de la instrucción, los hechos expuestos podrían suponer la vulneración del artículo 17.1 del RGPD, toda vez que la entidad no actuó diligentemente, al no eliminar los datos personales de la reclamante de sus bases de datos. Por su parte, el artículo 72.1.
- k)de la LOPDGDD, considera muy grave, a efectos de prescripción, “El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento”. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
- b)del RGPD. De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción de acuerdo con los siguientes criterios agravantes que establece el artículo 83.2 del RGPD: - La duración de la infracción, teniendo en cuenta el alcance o propósito de la operación de tratamiento de que se trate, así como, los perjuicios causados al interesado, (apartado a). - Los hechos objeto de la reclamación son imputables a una falta de diligencia de la parte de la entidad reclamada, (apartado b). - Se encuentran afectados identificadores personales básicos, datos personales, (apartado g). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Por su parte, el artículo 76.2 de la LOPDGDD, establece que, de acuerdo a lo previsto en el artículo 83.2.
- k)del RGPD, se tendrá en cuenta, como factores agravantes de la sanción, los siguientes: - El carácter continuado de la infracción, (apartado a). - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales, (apartado b). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 17 del RGPD, permite fijar una sanción de 10.000 euros, (diez mil euros), por la falta de diligencia debida en la actuación de la entidad reclamada, al no eliminar los datos personales de la reclamante de sus bases de datos. - IV Sobre el envío de comunicaciones comerciales o publicitarias sin el consentimiento: En el presente caso, el reclamante denuncia que ha recibido varios SMS con un mensajes comerciales o publicitarios después de haber solicitado a la entidad reclamada que eliminara sus datos personales de sus bases de datos y de no volvieran a enviarles comunicaciones comerciales y haber recibido respuesta afirmativa desde la entidad indicándole que no volvería a enviarle publicidad. Los hechos expuestos, consistentes en la remisión de comunicaciones comerciales no consentidas al reclamante, podrían constituir infracción, por parte del reclamada, de lo establecido en el artículo 21 de la LSSI, al establecer que: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” La citada infracción se encuentra tipificada como leve en el art. 38.4.
- d)de dicha norma, que califica como tal, “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. A tenor de lo establecido en el artículo 39.1.
- c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 €, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma. Tras las evidencias obtenidas, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de la LSSI: - La existencia de intencionalidad, expresión que ha de interpretarse como equivalente a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia Nacional de 12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad denunciada la determinación de un sistema de obtención del consentimiento informado que se adecue al mandato de la LSSI. - Plazo de tiempo durante el que ha venido cometiendo la infracción, (apartado b). Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada una sanción de 5.000 euros (cinco mil euros), por la infracción del artículo 21 de la LSSI, respecto al envío de comunicaciones comerciales a través del correo electrónico sin el consentimiento del afectado. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: IMPONER, a la entidad, ANYTIME FITNESS IBERIA, S.L., con CIF.: B65801847, una sanción de 10.000 euros (diez mil euros), por infracción del artículo 17 del RGPD, respecto de la falta de diligencia a la hora de eliminar los datos personales del reclamante de sus bases de datos y una sanción de 5.000 euros (cinco mil euros), por la infracción del artículo 21 de la LSSI, por el envío de SMS publicitarios al reclamante sin el consentimiento expreso de éste. Con arreglo a lo anterior, la sanción total que corresponde imponer a la entidad reclamada es de 15.000 euros, (quince mil euros). SEGUNDO: NOTIFICAR la presente resolución a la entidad, ANYTIME FITNESS IBERIA, S.L y al reclamante sobre el resultado de la reclamación. Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es