1/14 Expediente Nº: EXP202213577 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 28 de abril de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GAFAS EN RED DE ÓPTICAS, S.L. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 4 de agosto de 2023 se emitió la propuesta de resolución que a continuación se transcribe: << Procedimiento Nº: EXP202213577 (PS/096/2023) PROPUESTA DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 25/11/22, C.C.C. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirigía contra la entidad GAFAS EN RED DE ÓPTICAS, S.L. con CIF.: B73833758, (en adelante, la parte reclamada), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) y la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). Presenta reclamación por la recepción de correos electrónicos comerciales en su dirección electrónica de correo, tras haber solicitado la oposición. Al escrito de reclamación aporta la siguiente documentación: 1º.- Fechado el 02/09/22, copia del correo electrónico enviado por el reclamante a la dirección de correo servicio-clientes@gafas.es , donde se puede leer: “Por tercera vez, vuelvo a clikar "Cancelar suscripción". Espero que en esta ocasión sea la definitiva. En caso contrario tendré que denunciar en la AEPD”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 2º.- Fechado el 04/09/22, copia del Correo electrónico enviado desde la dirección “gafas.es” servicio-clientes@gafas.es, a la dirección de correo electrónico del reclamante, donde se puede leer, entre otras, lo siguiente: “Hola, C.C.C. Nos gustaría tu opinión respecto a nuestro servicio al cliente. Por eso, te invito a contestar una sencilla pregunta haciendo click en el siguiente enlace: ¿Cómo calificaría el soporte que recibió? Bueno, estoy satisfecho/a Malo, no estoy satisfecho/a Te recuerdo tu solicitud: D.D.D.) 2 sept 2022, 13:51 CEST “Buenos días, C.C.C., Todos sus datos han sido dados de baja. No recibirá nuevos emails ni llamadas por parte de gafas.es. Un cordial saludo”. 3º.- Fechado el 04/11/22, copia del Correo electrónico enviado desde la dirección Reclamaciones Protección de Datos reclamaciones.pd@autocontrol.es, a la dirección de correo del reclamante con el asunto: Traslado alegaciones 00002156 y donde se puede leer, entre otras: “En relación con tu solicitud con número de referencia 00002156, con fecha 03/11/2022 hemos recibido la respuesta de la empresa a la misma, lo que te notificamos por este medio para tu conocimiento y análisis. A partir de la recepción de la presente notificación dispones de un plazo de 10 días hábiles para confirmarnos, respondiendo a este correo, si aceptas la solución propuesta por la empresa. Por el contrario, si no estás de acuerdo con las alegaciones de la empresa, necesitaríamos que nos indicaras los motivos por los que no estás conforme para que podamos trasladárselos y tratar de que lleguéis a un acuerdo. Por último, te informamos de que, en caso de no facilitarnos dicha información en el plazo mencionado, se considerará que abandonas esta solicitud de mediación así como la conclusión del procedimiento en curso”. 4º.- Fechado el 04/11/22, copia del Correo electrónico enviado desde la dirección de correo del reclamante a la dirección de correo, reclamaciones.pd@autocontrol.es, como respuesta al anterior correo y donde se puede leer, entre otras: “Estimados/as Sres/as., Agradezco su comunicación y en cuanto a la respuesta y solución que envía la empresa Gafas en red Ópticas S.L. tengo que manifestar que queda claro el ineficiente tratamiento de datos que exige la actual regulación por los siguientes motivos: - Indican sobre los "errores" detectados y corregidos que "ha quedado corregido desde el pasado 10 de octubre". Esta afirmación es manifiestamente falsa ya que desde esa fecha, 10 de Octubre, he recibido SEIS mails que adjunto a este mensaje. - Indican que tuvieron conocimiento de mi reclamación el 14 de Octubre (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 5º.- Fechado el 08/11/22, copia del Correo electrónico enviado desde la dirección <<Reclamaciones Protección de Datos>> reclamaciones.pd@autocontrol.es, a la dirección de correo del reclamante con el asunto: “Traslado alegaciones 00002156” y donde se puede leer, entre otras: Estimado C.C.C.: En relación con tu solicitud con número de referencia 00002156, con fecha 08/11/2022 hemos recibido la respuesta de la empresa a la misma, lo que te notificamos por este medio para tu conocimiento y análisis. "Buenos días: Ante todo, rogamos transmitan a C.C.C. nuestras disculpas. Efectivamente se le han enviado los correos que aporta y lamentamos constatar que incluso ha recibido una última comunicación el pasado día 4 de noviembre. Ya nos era conocido que el señor C.C.C. estaba entre los afectados por el fallo informático por el cual algunas personas que se habían dado de baja siguieron recibiendo correos hasta el 10 de octubre. Hecha la revisión del sistema y corregido el fallo, francamente se dio por solucionado y así parece haber sido en general, pues no ha habido reiteración de queja de ningún afectado, con excepción del señor C.C.C.. Se ha trasladado el caso de nuevo a nuestro Departamento Informático en Alemania, sin que hasta ahora se haya podido determinar la razón por la que el señor C.C.C., al contrario que los demás afectados, sí ha seguido recibiendo esos correos. No se han encontrado indicios de que el mismo fallo técnico se haya reproducido posteriormente, tampoco parece poder atribuirse a un fallo humano porque en revisión manual, caso por caso, se constató que su registro estaba dado de baja. Con la información de que se dispone en estos momentos, la hipótesis más verosímil es que el registro del señor C.C.C. se comprobara manualmente poco antes de que el fallo quedara definitivamente resuelto y que desafortunadamente en esa breve franja temporal volviera a resultar afectado, quedando como suscriptor activo. Para garantizar que no vuelva a ocurrir por ningún concepto, se ha procedido finalmente a eliminar el registro completamente, no solo darlo de baja como había solicitado el interesado. Sirvan las capturas que se presentan a continuación como prueba de la eliminación de cualquier registro asociado a la dirección de correo (…). 6º.- Fechado el 10/11/22, copia del Correo electrónico enviado desde la dirección de correo del reclamante a la dirección de correo, reclamaciones.pd@autocontrol.es, donde se puede leer: Estimados/as Sres/as, Desgraciadamente tengo que volver a contactarles. Mis datos no se han borrado de la base de datos de mailing de la empresa y sigo recibiendo email como el que adjunto (…). A dicho correo se adjunta fichero: “¡Bajamos los precios por los Black days!.pdf” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 7º.- Fechado el 24/11/22, copia del Correo electrónico enviado desde la dirección G.G.G. ***EMAIL.1 , el día 24/11/22 a la dirección de correo del reclamante, donde se puede leer el siguiente mensaje: “Pide cita antes del domingo! ¡Solo durante esta semana te damos 40€ de descuento en nuestro Doble Pack de progresivas! ¡Paga solo 129€ en vez de 169€! ¡Quiero reservar esta oferta! *Presenta el código: BLACK40 en la óptica para ahorrarte los 40€ Además te incluimos el seguro de un año contra daños en lentes y/o montura, la revisión visual y la garantía de satisfacción ¡Todavía hay más! Ven con un amigo/a o familiar a la óptica y ambos os llevaréis 20€ de descuento extra sobre cualquiera de nuestros productos Una oferta de gafas.es, compañía de Gafas en Red de Ópticas S.L Escultor Gregorio Hernández, 6, 30110, Murcia. Si desea darse de baja de nuestros emails por favor haga clic en el siguiente enlace: Cancelar suscripción SEGUNDO: Con fecha 23/12/22, de conformidad con lo estipulado en el artículo 65.4 de la LOPDGDD, por parte de esta Agencia, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que se exponía en el escrito de reclamación. - Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el escrito de solicitud enviado a la parte reclamada, el día 23/12/22, a través del servicio de notificaciones electrónicas “NOTIFIC@”, fue recepcionado en destino el día 30/12/22, siendo el receptor: A.A.A.. TERCERO: Con fecha 25/02/23, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. CUARTO: Con fecha 28/04/23, por parte de la Directoria de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador a la entidad reclamada, al apreciar indicios razonables de vulneración de lo establecido en el artículo 21 de la LSSI, con una sanción inicial de 5.000 euros (cinco mil euros). QUINTO: Con fecha 18/05/23, la entidad reclamada presente escrito de alegaciones en esta Agencia, en el cual, entre otras, manifiesta lo siguiente: El pasado jueves 11 de mayo hemos recibido notificación de Acuerdo de Inicio de Procedimiento Sancionador relativo al Expediente Nº 202213577, abierto por la reclamación interpuesta por don C.C.C. en noviembre de
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 Dicha reclamación nos fue trasladada por la AEPD mediante notificación electrónica en diciembre de 2022, tal como se indica correctamente ahora en el punto SEGUNDO de su relación de los Hechos. En el punto CUARTO por el contrario se indica: No consta en esta Agencia escrito de contestación a la solicitud de información realizada a la entidad reclamada con fecha 23/12/
- Lo que leemos con gran sorpresa puesto que nuestra empresa elaboró el informe requerido (véase en Adjunto 1) y lo presentó a través de sede electrónica el 27 de enero de 2023, como muestra (en Adjunto 2) el Justificante de Presentación en el Registro Electrónico, con número de registro REGAGE23e
- Como Organismo destinatario se seleccionó la Abogacía del Estado en la Agencia de Protección de Datos, que a falta de otra indicación más concreta pareció lo más adecuado para que nuestra respuesta llegara correctamente a la AEPD. Por tanto, Gafas en Red de Ópticas SLU solicita: • Que se tenga por presentado en tiempo y forma el Escrito de respuesta firmado digitalmente el 27 de enero de 2023 y presentado el mismo día a través de sede electrónica, • Que, en consecuencia, se tenga por cumplido el requerimiento de la AEPD de fecha 23 de diciembre de 2022 y se suspenda el Acuerdo de Inicio de Procedimiento Sancionador que nos ha sido notificado el jueves 11 de mayo de
- Se acompaña la siguiente documentación: Adjunto
- Escrito de respuesta a la AEPD firmado digitalmente el 27 de enero de
- Adjunto
- Justificante de presentación en Registro Electrónico el 27 de enero de
- Al escrito de alegaciones se acompaña copia del documento presentado el día 27/01/2023 (15:57:22) con número de registro: REGAGE23e00005613727, dirigido a: EA0009658 - Abogacía del Estado en la Agencia de Protección de Datos y con el asunto: “Adjuntamos la respuesta al requerimiento del expediente N.º: EXP202213577” “
- Gafas en Red de Ópticas SLU, gafas.es, es la filial española de la empresa alemana SuperVista AG, con sede en Siemensstraße 2, 15711 Königs Wusterhausen, Alemania. Los datos de los clientes y usuarios de gafas.es, siempre obtenidos con su expreso consentimiento, se incorporan a los ficheros automatizados de nuestra empresa matriz, SuperVista AG, que es la responsable de los ficheros de datos y de su tratamiento.
- El reclamante, que era antiguo cliente de nuestra empresa por haber adquirido unas gafas, estaba suscrito a nuestro boletín de novedades (newsletter) y lo venía recibiendo con regularidad en su dirección de correo. El 2 de septiembre de 2022 escribió a nuestro Servicio de Atención al Cliente que no deseaba recibir más newsletters y que había clicado dos veces en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 opción “cancelar suscripción” sin éxito. No se tenía ninguna constancia de que hubiese fallo en ese botón, así que se procedió a darle de baja y se le confirmó contestando a su correo.
- En las siguientes semanas, algún otro usuario coincidió en la queja de que no habían cesado las comunicaciones comerciales tras haber clicado en la opción de baja o haberla solicitado por correo. Esto motivó que el equipo encargado revisara el sistema usado para enviar esas comunicaciones. Se encontró un fallo en la clasificación de las comunicaciones de modo que en ciertos casos las comerciales (como la newsletter) eran identificadas erróneamente como transaccionales (activadas por el propio interesado, como la respuesta a una petición de información hecha por el interesado por correo o a través de la web). Identificado este fallo como el que motivaba la recepción indeseada de newsletter, se corrigió y se dio por solucionado el 10 de octubre.
- El 14 de octubre, a través de Autocontrol, tuvimos conocimiento de la queja del señor C.C.C. por haber recibido otras newsletters tras su baja. Y, efectivamente, con la documentación que remitieron el 4 de noviembre se pudo constatar que lamentablemente el reclamante había recibido esos correos, incluso en fecha posterior al 10 de octubre. Se estudió el caso, sin que se pudiera encontrar realmente una explicación o un fallo que hubiera podido motivarlo, aunque sí una posible razón verosímil (posible coincidencia temporal de la revisión de ese email y el momento de corregir el fallo en octubre). No se tenía constancia de ningún otro caso similar, por lo que se consideró un hecho aislado y, para asegurar que no se repitiera, se procedió a borrar el correo del señor C.C.C. de la base de datos que se maneja para envío de newsletter (aunque el interesado había pedido solo la baja y no la eliminación de datos). El 8 de noviembre se dio respuesta a través de Autocontrol, dando la explicación que se había hallado, pidiendo disculpas al señor C.C.C. y comunicando el borrado de su dirección email de la lista de suscriptores del boletín.
- Posteriormente se ha sabido que ese borrado preventivo no impidió el que el señor C.C.C. recibiera más newsletters, porque lo que lo provocaba —al igual que en caso de algunos otros clientes que lo comunicaron después— era otro problema de fondo, que se explica a continuación: • Hasta agosto de 2022, nuestra empresa gestionaba los envíos de newsletter a través de la misma plataforma CRM donde tiene alojados los datos, Hubspot. Ocasionalmente se realizaban envíos concretos mediante otras herramientas (Newsletter2go, Sendiblue y Sengrid). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 • Ante el crecimiento del volumen de los envíos, desde el 10 de agosto de 2022 se comenzó a utilizar otra plataforma (Ongage) para hacer llegar a los suscriptores el boletín con novedades, ofertas y promociones. • Antes de comenzar con Ongage, al clicar el botón de baja el propio usuario (o al hacerse desde nuestras oficinas centrales a petición del interesado) la baja se ejecutaba automáticamente en la plataforma CRM, la suscripción quedaba cancelada y cesaban los envíos. Así debía ser también al realizar los envíos con Ongage: el enlace para darse de baja debía pasar desde Ongage y ejecutarse a la vez en la plataforma Hubspot. Lamentablemente, por un fallo de comunicación entre ambas herramientas, en determinados casos al ordenar la baja en Ongage se ejecutaba solo en esa plataforma de envíos, pero no en Hubspot, por lo que en los ficheros centrales el usuario seguía figurando como suscrito y, como tal, volvía a cargarse en las listas de receptores de newsletter.
- Esto ha coincidido con el proceso de migración desde la plataforma Hubspot a una nueva más moderna, Odoo, que SuperVista AG —nuestra empresa matriz y responsable del tratamiento— viene usando ya desde hace algo más de un año en Alemania, Polonia y Reino Unido y va extendiendo progresivamente a sus otras filiales europeas. En España se realizó el cambio a Odoo el 1 de enero. Al cambiar de plataforma, se ha comprobado que en ella quede también cancelada la suscripción de los usuarios que lo habían solicitado en la anterior, como es el caso del señor C.C.C.. Como medida adicional y para descartar que algo similar pudiera pasar en el futuro, desde el cambio a Odoo cualquier petición de baja se ejecuta directamente por duplicado tanto en Odoo como en Ongage. Todo lo cual se hace constar a fin de mostrar que nuestra empresa ha procurado en todo momento cumplir el deseo del señor C.C.C. de no recibir más comunicaciones comerciales, y que si en su caso, y en el de algunos otros pocos usuarios, no fue posible ello se debió en definitiva a ciertos fallos de comunicación entre las herramientas informáticas cuyo uso compaginado coincidió en ese periodo. Al abandonarse la plataforma donde anteriormente estaba alojada nuestra base de datos y sustituirse por la nueva, Odoo, desde primeros de enero de 2023, y haberse implementado controles adicionales, no es previsible que se vuelva a dar una incidencia como la que ha provocado repetidas molestias al señor C.C.C., por las cuales Gafas en Red de Ópticas SLU reitera sus más sinceras disculpas. Asimismo, se comunica que pueden enviar aviso de puesta a disposición de notificaciones a la dirección de correo admin@gafas.es De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 HECHOS PROBADOS Primero: El reclamante manifiesta en su escrito de reclamación que sigue recibiendo correos electrónicos comerciales de la entidad reclamada, después incluso de haber solicitado que no volviera a producirse. Al escrito de reclamación aporta, entre otras, la siguiente documentación: 1º.- Con fecha 02/09/22, copia del correo electrónico enviado por el reclamante a la entidad reclamada, solicitando, según él, por tercera vez, que no volvieran a enviarle más correos electrónicos publicitarios. 2º.- Con fecha 04/09/22, copia del Correo electrónico enviado desde la entidad reclamada manifestando que no volvería a recibir más correos electrónicos publicitarios. 3º.- Con fecha 04/11/22, copia del Correo electrónico enviado desde la entidad AUTOCONTROL al reclamante adjuntando la respuesta dada por la entidad reclamada donde ésta manifiesta su disposición a no enviar más correos electrónicos publicitarios al reclamante. 4º.- Con fecha 10/11/22, copia del Correo electrónico enviado por el reclamante a la entidad AUTOCONTROL, manifestando que sigue recibiendo correos electrónicos publicitarios de la entidad reclamada 5º.- Con fecha 24/11/22, copia del Correo electrónico enviado desde la entidad reclamada a la dirección de correo electrónico del reclamante contendiendo mensajes publicitarios o promocionales. FUNDAMENTOS DE DERECHO ICompetencia Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). II.Contestación a las alegaciones presentadas por la entidad reclamada Con carácter previo procede contestar las alegaciones presentadas por la entidad reclamada a la incoación del expediente: En primer lugar manifiesta que, con fecha 27/01/23 y número de registro de entrada en la AGE: REGAGE23e00005613727, presentó escrito de contestación a la solicitud hecha por parte de esta Agencia cuando se le envió la reclamación para que procediese a su análisis e informase sobre los hechos, pero que, según el escrito de incoación del expediente, dicho escrito no consta presentado en esta Agencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 Pues bien, respecto a este tema, manifestar que el escrito presentado por la entidad reclamada a través del Registro Electrónico de la Sede electrónica (Punto de Acceso General.- https://sede.administracion.gob.es/), iba dirigido a, “EA0009658 - Abogacía del Estado en la Agencia de Protección de Datos” y no a “ I00000121- Agencia Española de Protección de Datos”, motivo por el cual no consta recibido en esta Agencia con fecha 27/01/
- También se puede comprobar como en el escrito de contestación no se indica a qué Organismo va dirigido dicho escrito, siendo imposible a la Abogacía del Estado de Protección de Datos reenviarle al departamento correspondiente, pues solamente se manifiesta en el encabezado lo siguiente: “Gafas en Red de Ópticas SLU Escultor Gregorio Hernández 6 30110 Cabezo de Torres- MURCIA Tlf: 968 977 955 E-mail: admin@gafas.es Web: www.gafas.es N/Ref.: EXP202213577 Asunto: Respuesta a la notificación de “Traslado de reclamación y solicitud de Información A.A.A., con domicilio a efecto de notificaciones en ***DIRECCION.1, en su función de ***PUESTO.1 de la empresa Gafas en Red de Ópticas SLU, con CIF B73833758, y actuando en su representación, comparece en respuesta al requerimiento y expone: (…)” Tampoco existe ninguna referencia al Organismo al que va dirigido en la hoja de registro, cuando se solicita cumplimentar el formulario, pues solamente se indica lo siguiente: “Asunto: Respuesta expediente N.º: EXP202213577 Adjuntamos la respuesta al requerimiento del expediente N.º: EXP
- Solicita: Se tenga en cuenta para su tramitación. Recordemos que, en el “Justificante de Presentación” del escrito, se indica expresamente que: “El presente justificante tiene validez a efectos de presentación de la documentación en este Registro Electrónico y no prejuzga la admisión del escrito para su tramitación (…)”. Por tanto, es evidente la imposibilidad de que dicho escrito fuera recepcionado correctamente en esta Agencia (subdirección General de Inspección.- I00000121), pues, en un principio iba dirigido a la Abogacía del Estado de la Agencia Española de Protección de Datos (EA0009658) y en segundo lugar, no existía, ni en el escrito de contestación a la solicitud, ni en el apartado “Asunto” del formulario de registro, referencia alguna al Organismo real que gestionaba el expediente EXP202213577 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 (Agencia Española de Protección de Datos.- Subdirección General de Inspección), por lo que resultó imposible su reenvío desde la Abogacía del Estado. No obstante lo anterior, procede tomar en consideración, en este punto del procedimiento sancionador, a las cuestiones planteadas en dicho escrito, pues en el mismo, la entidad reclamada, reconoce el error técnico de haber enviado correos electrónicos publicitarios al reclamante después de que éste manifestase su deseo a no recibirlos y después de que la propia entidad confirmase que esto no volvería a ocurrir indicando además que, se habían tomado las medidas necesarias para corregirlo. La empresa asume la responsabilidad de rectificar el error y se compromete a implementar medidas preventivas y proporcionar la capacitación necesaria para evitar que situaciones similares ocurran en el futuro. IV.Tipificación de la posible infracción cometida El reclamante indica en su escrito de reclamación que sigue recibiendo correos electrónicos publicitarios de la entidad después de oponerse, en varias ocasiones, a que sus datos fueran tratados para el envío de comunicaciones comerciales y de haber recibido contestación favorable de la entidad. Por su parte, la entidad reclamada manifestó que todo ello fue debido a un error técnico informático y que se habían tomado las medidas necesarias para corregirlo, asumiendo la responsabilidad de implementar medidas preventivas para evitar que situaciones similares ocurran en el futuro. En este sentido, el artículo 21 de la LSSI, dispone lo siguiente: “
- Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas.
- Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 Por tanto, de conformidad con las evidencias de las que se dispone en este momento, y sin perjuicio de lo que resulte de la instrucción, los hechos expuestos podrían suponer la vulneración del artículo 21 de la LSSI, por parte de la entidad reclamada al enviar correos electrónicos publicitarios tras oponerse, el reclamante, a recibir comunicaciones electrónicas de este tipo. La citada infracción se encuentra tipificada como “leve” en el art. 38.4.d) de dicha norma, que califica como tal, “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. A tenor de lo establecido en el artículo 39.1.c) de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 €. De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes que establece el artículo 40 de la LSSI: - Apartado b): Plazo de tiempo durante el que se haya venido cometiendo la infracción, considerando que el reclamado solicitó no volver a recibir más correos publicitarios el 02/09/22 y constar que ha vuelto a recibir correos de este tipo, siendo el último de ellos, el 24/11/
- A la vista de todo lo expuesto se procede a emitir la siguiente, PROPUESTA DE RESOLUCIÓN PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad GAFAS EN RED DE ÓPTICAS, S.L. con CIF.: B73833758,, por infracción del artículo 21 de la LSSI, tipificada como “leve” en el art. 38.4.d) de dicha norma, con una sanción de 5.000 euros (cinco mil euros), al volver a enviar comunicaciones comerciales al reclamante, después de que éste hubiera solicitado que no volvieran a enviarle más comunicaciones comerciales y que la entidad manifestara que esto no volvería a ocurrir. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000 euros (cuatro mil euros) y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. R.R.R.. EL INSTRUCTOR DEL PROCEDIMIENTO. ANEXO Relación de documentos obrantes en el Procedimiento PS/0096/2023, se notifica la relación de documentos obrantes en el procedimiento a fin de que pueda obtener las copias de los que estime convenientes:
- Denuncia y documentación
- Acuerdo de inicio del procedimiento sancionador.
- Alegaciones al acuerdo de inicio y documentos adjuntos. >> SEGUNDO: En fecha 23 de agosto de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 4000 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “
- Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda.
- Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción.
- En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202213577, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a GAFAS EN RED DE ÓPTICAS, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-171022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es