PS-00102-2016

1/17 Procedimiento Nº PS/00102/2016 RESOLUCIÓN: R/01943/2016 En el procedimiento sancionador PS/00102/2016, instruido por la Agencia Española de Protección de Datos a la entidad KREDITECH SPAIN, S.L., vista la denuncia presentada por Don A.A.A. , y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 24 de noviembre de 2015 tiene entrada en esta Agencia un escrito de Don A.A.A., (en lo sucesivo el denunciante), poniendo de manifiesto que continúa recibiendo comunicaciones comerciales de la mercantil KREDITECH SPAIN, S.L., (en lo sucesivo la denunciada o KREDITECH), a pesar de que la Agencia Española de Protección de Datos ya sancionó a dicha entidad en la resolución R/02662/2015, correspondiente al procedimiento sancionador PS/00215/2015, por enviarle publicidad tras haber ejercido ante la misma el derecho de cancelación de sus datos. El denunciante adjunta copia un correo electrónico comercial noviembre de 2015 junto con sus cabeceras de Internet. de fecha 16 de SEGUNDO: A la vista de los antecedentes obrantes en esta Agencia Española de Protección de Datos, (en adelante AEPD), y de la documentación presentada por el denunciante se desprenden los siguientes hechos: 2.1 En esta Agencia consta la tramitación de los siguientes expedientes a la empresa KREDITO24 SPAIN S.L., en la actualidad KREDITECH SPAIN, S.L. : - Con fecha 19 de septiembre de 2014, el Director de la Agencia resolvió ESTIMAR la reclamación formulada por el denunciante en la Tutela de Derechos TD/00810/2014 instando a la empresa KREDITO24 SPAIN S.L. para que en el plazo de los diez días hábiles siguientes a la notificación de dicha resolución remitiese al reclamante certificación en la que se hiciera constar que había atendido el derecho de cancelación ejercido por éste, en este caso el denunciante, debiendo comunicar las actuaciones realizadas a la AEPD en idéntico plazo. - Con fecha 10 de octubre de 2014, KREDITO24 SPAIN S.L. recurrió la resolución acordada en la TD/000810/2014 por entender que la misma quedaría desvirtuada por el correo electrónico remitido con fecha 24 de marzo de 2014 a la dirección C.C.C., el cual contestaba la solicitud de cancelación efectuada vía burofax el 17 de marzo de 2014 por el afectado. Atendido que dicho correo, en el que comunicaban al denunciante que procedían al bloqueo de sus datos personales, no les constaba como devuelto presuponían su correcta recepción en fecha anterior a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 - - reclamación. Con fecha 30 de octubre de 2014 el Director de la AEPD resolvió DESESTIMAR el Recurso de Reposición nº RR/00741/2014 interpuesto por KREDITO 24 SPAIN S.L. contra la resolución dictada el 19 de septiembre de 2014 en el expediente TD/00810/2014, instando a dicha empresa a dar una respuesta expresa a la solicitud del derecho de cancelación. En dicha resolución se significaba que el medio del correo electrónico elegido para contestar al ejercicio de cancelación solicitado por el reclamante no permitía acreditar la efectiva recepción de la contestación por el afectado, exigencia legal para que se entienda atendido el derecho de cancelación como respuesta obligada del responsable del fichero, máxime cuando el propio reclamante manifestaba no haber recibido la respuesta legalmente exigible al ejercicio de su derecho.. Con fecha 30 de octubre de 2015 la Directora de la Agencia Española de Protección de Datos resolvió el procedimiento sancionador nº PS/00215/2015 mediante R/02662/2015 imponiendo a la entidad KREDITECH SPAIN, S.L. una sanción de 2.600 € como responsable de una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.

1. d)de dicha norma por enviar comunicaciones comerciales al denunciante después de que éste hubiese solicitado la cancelación de sus datos personales. En el antecedente Cuarto de dicha resolución constaba que la denunciada alegó que reconocía “ que debido a un error humano la dirección de correo electrónico del denunciante permaneció habilitada para el envío de comunicaciones electrónicas a pesar de estar marcados los datos personales del titular de la cuenta de correo electrónico como cancelados desde el 24/03/2014 tras su solicitud en tal sentido.” 2.2 De la documentación adjuntada a la denuncia de fecha 24 de noviembre de 2015 se evidencia que: Con fecha 16 de noviembre de 2015 el denunciante recibió en su cuenta de correo electrónico C.C.C. una comunicación comercial enviada desde la dirección de correo electrónico B.B.B. que bajo el asunto “Déjate sorprender” promocionaba las ofertas correspondientes a la campaña del Black Friday. El mensaje iba dirigido, según consta en el cuerpo del mensaje a “ A.A.A.”. TERCERO : Con fecha 29 de febrero de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a KREDITECH SPAIN, S.L. por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 21 de dicha norma, pudiendo ser sancionada con multa de hasta 30.000 , de acuerdo con el artículo 39.1.c de la LSSI. CUARTO: Notificado el citado Acuerdo de inicio, KREDITECH SPAIN, S.L. presentó alegaciones solicitando el archivo del procedimiento con fundamento, en síntesis, en los siguientes argumentos: - C/ Jorge Juan, 6 28001 – Madrid En relación con el denunciante señalan que con posterioridad a la fecha de confirmación de la cancelación de datos, en concreto el 23 de junio de 2015, inició un a solicitud de préstamo en la página web de Zaimo.es (¡Error! www.agpd.es sedeagpd.gob.es 3/17 Referencia de hipervínculo no válida.), titularidad de KREDITECH, que quedó inacabada. Además, la entidad ha venido recibiendo numerosos correos del denunciante desde julio de 2015 en la cuenta D.D.D., cuya copia aporta, en los que solicita, entre otras peticiones, que KREDITECH participe en el mecenazgo de sus obras artísticas, para lo que proporciona una cuenta bancaria y su curriculum artístico. Circunstancias que cuestionan que el denunciante en lugar de pretender la efectiva tutela de sus derechos lo que persigue es un beneficio económico, no pudiendo afirmarse que haya sufrido perjuicios al haber recibido una comunicación comercial de KREDITECH cuando ha seguido comunicándose con la empresa tanto antes como después de la fecha de la comunicación denunciada. - Respecto de los procedimientos implementados, alegan que en el momento de la recogida de los datos la entidad contaba y cuenta con un procedimiento de registro que se activa al solicitar un préstamo a través de su página web ¡Error! Referencia de hipervínculo no válida. , para lo que facilitan, entre otros datos, su dirección de correo electrónico. Sólo reciben comunicaciones comerciales los clientes que expresan su consentimiento expreso marcando la casilla correspondiente en el proceso de registro, tratándose de un consentimiento plenamente informado en el que se ofrece el envío de un correo a la cuenta info E.E.E. y la remisión de una carta al domicilio de KREDITECH como procedimientos para oponerse a la recepción de dichos envíos, además de facilitar en el propio texto de las comunicaciones un enlace para oponerse a su recepción o poder enviar un correo a la dirección que aparece en el texto. - Se defiende la ausencia de culpa en su conducta, entendiendo que al haber existido un error humano aislado e involuntario que no pudo evitarse no hay intencionalidad ni culpa, por lo que no puede imputársele infracción alguna a la LSSI. Tampoco cabe exigirle una conducta diferente a la observada, ya que la situación no se origina en una mala implementación de los requisitos contemplados en el artículo 21.1 de la LSSI, habiendo quedado probado en este caso que con anterioridad a la realización de las comunicaciones comerciales, la entidad obró con toda la diligencia y el deber de cuidado que le eran exigibles, habiendo, además, adoptado medidas para evitar que esa situación se repita, como la cancelación manual de todos los datos del denunciante, con excepción de los documentos pertinentes a la denuncia. La existencia de un error puntual no desacredita el deber de cuidado presente en los procedimientos establecidos por la empresa para cumplir la LSSI, siendo que la diligencia sólo se refiere al cuidado desplegado para que el suceso supuestamente infractor no ocurra. Aducen que las dos únicas denuncias por infracción a la LSSI ante la AEPD provengan del mismo sujeto abona la eficacia de los procedimientos establecidos y la diligencia y empeño mostrados por la empresa para garantizar el control por los interesados de la recepción de comunicaciones comerciales. Se reafirman en que del hecho objetivo consistente en el envío de comunicaciones comerciales tras la cancelación de los datos del denunciante no se desprende, sin más, la responsabilidad de la denunciada en los términos de dolo o culpa exigidos por el artículo 130.1 de la LRJ-PAC y la jurisprudencia, añadiendo que aunque la prudencia exigible sea mayor debido a que la empresa opere a través de Internet y está habituada a la remisión de envíos publicitarios por vía electrónica la AEPD no ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 acreditado, como establece la jurisprudencia para sancionar, que la empresa obrara de forma menos diligente que la exigible. - Subsidiariamente, de acuerdo con el principio de proporcionalidad en las sanciones recogido en el artículo 131 de la LRJ-PAC entiende que la concurrencia, como atenuantes, de los supuestos a),
2. b)
3. c)y
4. d)contemplados en el artículo 40 de la LSSI conlleva la imposición de la sanción correspondiente a las infracciones leves en su grado mínimo, debido a la completa inexistencia de intencionalidad en incumplir los preceptos de la LSSI, no habiéndose generado ningún tipo de beneficios ni de facturación a la denunciada a raíz de la comisión de la infracción, si se ha producido. QUINTO: En fecha 30 de marzo de 2016 se inicia por la Instructora del procedimiento la apertura de un período de práctica de pruebas, en el que se ACUERDA practicar las siguientes pruebas: - Dar por reproducidos a efectos probatorios: la denuncia interpuesta por el denunciante y su documentación, documentos pertenecientes a expedientes tramitados con anterioridad por la Agencia a KREDITECH SPAIN, S.L., correspondientes a la resolución de la TD/00810/2014, recurso a la misma, resolución del recurso RR/00741/2014 y resolución del PS/00215/2015, las alegaciones al acuerdo de inicio PS/00102/2016 presentadas por KREDITECH SPAIN, S.L. y la documentación que a ellas acompaña, copia de la contestación de esa empresa de 11 de marzo de 2015 al requerimiento de información del E/07010/2014, con registro de entrada de 16 de marzo de 2015 y copia de las alegaciones de esa empresa de fecha 26 de mayo de 2015 al acuerdo de inicio del PS00215/2015, con registro de entrada de 9 de junio de 2015. - Solicitar a KREDITECH SPAIN, S.L acreditación de que el día 23 de junio de 2015 el denunciante inició una solicitud de préstamo en la página web de Zaimo.es, con justificación de los datos exactos facilitados por éste así como del motivo por el que dicha solicitud quedó inacabada. Asimismo, se remitirá copia íntegra legible de la política de privacidad y de las Condiciones de Uso de dicha página asociados al préstamo en cuestión. - Solicitar al denunciante indicación de si con fecha 23 de junio de 2015 inició una solicitud de préstamo en la página web de Zaimo.es que quedó inacabada, en cuyo caso se requiere especificación de los datos exactos facilitados por su parte a la empresa titular de la página web citada, así como envío de cualquier documentación asociada a esa solicitud. SEXTO: Con fecha 15 de abril de 2016 se registra de entrada escrito de KREDITECH contestando las pruebas cuya práctica le fue requerida en el siguiente sentido: - C/ Jorge Juan, 6 28001 – Madrid La empresa cuenta con un sistema interno de registro denominado LPA mediante el cual hacer seguimiento de las solicitudes de préstamos realizadas por los usuarios que visitan la página web www. F.F.F., en el que figura, según la captura de pantalla aportada, que el denunciante inició una solicitud de préstamo en la citada página web el día 23/06/2015 a las 11:34:24 horas de 675 €, solicitando su devolución en seis cuotas www.agpd.es sedeagpd.gob.es 5/17 mensuales. Informan que después de seleccionadas la cantidad y las cuotas el usuario debe clicar en el botón naranja con el texto sobreimpreso “Solicitar”. En el segundo paso se e deben cumplimentar los primeros datos personales requeridos para el análisis de la solicitud de préstamo, que una vez facilitados y, siempre que el usuario haya aceptado la Política de Privacidad, dan lugar al almacenamiento de los datos por el sistema. La casilla mediante la que se otorga el consentimiento para procesar los datos personales es una casilla no premarcada. De los ocho pasos requeridos para completar el proceso de solicitud de préstamo el denunciante completó los tres primeros pasos, pudiendo abandonarse el proceso de solicitud de préstamos en cualquier momento sin justificar motivo alguno para ello. Se aporta relación de los datos del denunciante que constan en el sistema de registro interno en conexión con la solicitud de préstamo iniciada el 23/06/2015. - Se aporta copia impresa de la Política de Privacidad en vigor desde el 2 de junio de 2015 hasta la fecha. Las condiciones de uso de la página www. F.F.F. se muestran en el link denominado “Legal”, del que se aporta una transcripción de su contenido. SÉPTIMO: Con fecha 5 de julio de 2016 se formuló propuesta de resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionase a KREDITECH SPAIN, S.L. con multa de 5.000 € (Cinco mil euros) por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
5. d)de dicha norma, de conformidad con los artículos 39.1.
6. c)y 40 de la citada Ley. Dicha propuesta de resolución consta como notificada con fecha 5 de julio de 2016. HECHOS PROBADOS PRIMERO: Con fecha 24 de noviembre de 2015 se registra de entrada en esta Agencia denuncia de Don A.A.A., (en lo sucesivo el denunciante), contra la entidad KREDITECH SPAIN, S.L. por continuar remitiéndole correos electrónicos comerciales después de dictarse por la AEPD resolución nº R/02662/2015 en el procedimiento sancionador PS/00215/2015, instruido a dicha empresa por seguir enviándole publicidad tras haber ejercido el derecho de cancelación de sus datos personales ante la misma. (folio 1). SEGUNDO: Con fecha 15 de enero de 2015 la entidad KREDITO24 SPAIN, S.L. cambió su denominación social por KREDITECH SPAIN, S.L. (folio 31) TERCERO: En el recurso de reposición interpuesto el 10 de octubre de 2014 por KREDITO24 SPAIN, S.L. (actualmente KREDITECH SPAIN, S.L.) contra la resolución nº R/02066/2014 acordada por el Director de la AEPD, con fecha 19 de septiembre de 2014, en el expediente nº TD/00810/2014, dicha entidad reconoce: (folios 10 al 13) - Que con fecha 17 de marzo de 2014 KREDITO24 SPAIN, S.L. recibió un burofax del denunciante solicitando la cancelación de sus datos personales. (folio 10) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 - Que una vez recibida dicha petición, con fecha 24 de marzo de 2014 enviaron un correo electrónico al denunciante indicándole que “procederemos al bloqueo de sus datos personales, consistente en la identificación y reserva de los mismos con el fin de impedir su tratamiento excepto para su puesta a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento y sólo durante el plazo de prescripción de dichas responsabilidades.” Se adjuntaba copia del citado envío dirigido a la cuenta de correo electrónico C.C.C. del denunciante. (folio 13) CUARTO: Con fecha 30 de octubre de 2015 la Directora de la AEPD dictó resolución nº R/02662/2015 en el procedimiento sancionador nº PS/00215/2015, en virtud de la cual se imponía a la entidad KREDITECH SPAIN, S.L. una sanción de 2.600 € como responsable de una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
7. d)de dicha norma. En la mencionada resolución, notificada con fecha 2 de noviembre de 2015, consta que dicha empresa remitió de un total de siete comunicaciones comerciales a la cuenta de correo electrónico del denunciante C.C.C. después de que éste hubiese solicitado, con fecha 17 de marzo de 2014, la cancelación de sus datos personales, en concreto con fechas 14/11/2014, 25/11/2014, 18/12/2014, 30/12/2014, 29/01/2015, 13/02/2015 y 24/02/2015. (folios 28 al 38 bis) QUINTO: En el escrito de alegaciones formulado el 26 de mayo de 2015 por KREDITECH SPAIN, S.L. al acuerdo de inicio del procedimiento sancionador PS/00215/2015, se señalaba que: (folios 104 y 105) “1.11 (…) el 17 de marzo de 2014, Kreditech recibió un burofax remitido por el Denunciante mediante el que, entre otros extremos, solicitaba la cancelación de sus datos personales. A la vista de tal burofax, Kreditech procedió, con fecha 24 de marzo de 2014 a cancelar los datos Personales del Denunciante, remitiéndole un correo electrónico en el que se confirmaba efectivamente “el bloque de sus datos personales, (…) Como consecuencia de dicha cancelación, la dirección de correo electrónico del Denunciante (entre otros datos) paso a ser no utilizable por Kreditech para el envío de comunicaciones comerciales (entre otros tratamientos), haciéndose efectivo, en consecuencia, el control del Denunciante sobre sus datos personales, incluyendo a la recepción de comunicaciones comerciales en su correo electrónico. 1.12 A pesar de ello, un error humano puntual permitió que el Denunciante recibiera comunicaciones comerciales con posterioridad a dicha cancelación. Este error, consistente en que, de forma temporal, la cuenta de correo electrónico del titular permaneció habilitada para el envío de comunicaciones comerciales a pesar de estar sus datos cancelados, responde a una confusión humana respecto a una de las operaciones internas que se llevan a cabo durante el proceso de cancelación que provocó que, en este caso particular, la cuenta de correo electrónico nos e bloquease de forma automática para evitar el envío de comunicaciones comerciales , como ocurre habitualmente.” SEXTO: Con fecha 16 de noviembre de 2015 el denunciante recibió en su cuenta de correo electrónico C.C.C. una comunicación comercial procedente de la dirección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 correo electrónico B.B.B. con el asunto “Déjate sorprender”, la cual estaba dirigida a A.A.A. y promocionaba la campaña de ofertas del “Black Friday” a celebrar el 27 de noviembre. (folios 2 y 3) FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
8. d)e
9. i)y 38.4 d),
10. g)y
11. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. La LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
12. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
13. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
14. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. El concepto de comunicación comercial, de acuerdo con la definición recogida en el Anexo f), párrafo primero de la LSSI, engloba todas las formas de comunicaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. Por otro lado, la LSSI en su Anexo
15. a)define “Servicio de la Sociedad de la Información” como “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios”. Añade el referido apartado que el envío de comunicaciones comerciales es un servicio de la sociedad de la información, siempre que represente una actividad económica. Según el apartado
16. d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
17. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV En el presente procedimiento sancionador consta acreditado, según se evidencia del conjunto de elementos fácticos y documentación obrante en el mismo, que con fecha 16 de noviembre de 2015 KREDITECH remitió una comunicación comercial a la dirección de correo electrónico correo electrónico C.C.C.. Dicho envío se llevó a cabo por la denunciada no sólo con posterioridad a haber recibido con fecha 17 de marzo de 2014 la solicitud de cancelación del denunciante de sus datos personales, lo que incluye la dirección C.C.C. del afectado, que según KREDITECH fue contestada al mismo el 24 de marzo de 2014 confirmándole el bloqueo de sus datos personales con esa fecha, sino incluso después de haberse notificado el día 2 de noviembre de 2015 a esa empresa la resolución dictada por la Directora de la AEPD el 30 de octubre de 2015 en el expediente PS/00215/2015 por hechos semejantes a los que ahora nos ocupan, conforme se desprende de los Hechos 3) y 4) del Antecedente Séptimo de este acto. A tenor de lo expuesto, se trataba de un envío publicitario por vía electrónica no consentido previa y expresamente por su destinatario, quien había manifestado con anterioridad a la citada entidad su voluntad de que se cancelasen sus datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 carácter personal, lo que suponía el bloqueo de los mismos e impedía, consecuentemente, su utilización con fines publicitarios, circunstancia, por otra parte, perfectamente conocida por dicha entidad conforme se desprende del contenido del correo electrónico aportado por KREDITECH de fecha 24 de marzo de 2014, en el que señalan al denunciante que, en contestación a su solicitud de cancelación de datos personales han procedido a bloquear los mismos con el fin de impedir su tratamiento excepto en los supuestos que detallan, (folio 13), ninguno de los cuales hace referencia al uso comercial y/o publicitario de los datos personales supuestamente bloqueados, entre los que se encontraba la dirección de correo electrónico del denunciante. Es decir, cuando la denunciada remitió la comunicación comercial objeto de denuncia ya conocía la voluntad del denunciante de que sus señas electrónicas no se utilizaran para enviarle correos electrónicos comerciales, motivo por el cual se estima que el envío del 16 de noviembre de 2015 carecía del consentimiento previo y expreso de su destinatario. En este mismo sentido se pronunciaba la Audiencia Nacional en un caso similar en su sentencia de fecha 18 de octubre de 2013, Rec. nº 162/2012, al señalar: “En el supuesto que nos ocupa, ha quedado acreditado que la entidad recurrente remitió más de 47 e-mails publicitarios a la denunciante desde octubre hasta diciembre de 2010, con posterioridad a la solicitud y confirmación de la cancelación de los datos de la denunciante, por lo que ha de considerarse infringido el citado precepto, al no contar con el consentimiento de la destinaria. Por otro lado, aunque en este supuesto hubiese existido una relación comercial previa con la destinataria, ésta no le habilita a remitir publicidad comercial cuando el cliente ha manifestado, como es el caso que nos ocupa, su expreso deseo de no recibirla, pues la excepción prevista en el apartado segundo del citado art. 21 de la Ley 34/2002, de 11 de julio, establece expresamente la posibilidad de ofrecer al destinatario “la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija”. Más en el presente supuesto en que se había procedido a la cancelación de los datos de la denunciante. Carece de relevancia, por tanto, el sistema que para los envíos publicitarios tuviera establecido la entidad recurrente, pues no se trata tanto de cuestionar el tratamiento indebido de datos sino de impedir el envío de publicidad no consentida, para lo cual la empresa dispuso de tiempo suficiente para articular los mecanismos correctores necesarios para evitar que se siguiera mandando publicidad comercial a la denunciante” Llegados a este punto, el hecho de que el denunciante pudiera haber iniciado una solicitud de préstamo en la página web www. F.F.F. titularidad de esa empresa el día 23 de junio de 2015, es decir, con posterioridad a la fecha de la confirmación de la cancelación de los datos y de la remisión de las comunicaciones comerciales objeto de estudio en el PS/00215/2015, no modifica la responsabilidad de KREDITECH en la conducta antijurídica estudiada en este expediente. Afirmación que se sustenta tanto en que la propia denunciada ha reconocido que el denunciante únicamente realizó tres de los ochos pasos necesarios para completar el proceso de solicitud de préstamo (folios 49, 135 al 138), por lo que al no finalizar el proceso no se estableció una relación contractual entre ambas partes que hubiera podido sustentar la remisión de nuevas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 comunicaciones comerciales electrónicas siempre que se cumplieran los requisitos contenidos en el artículo 21.2 de la LSS , como en que las capturas de pantalla aportadas no acreditan: a ) que el denunciante cumplimentara realmente los datos personales que aparecen reflejados, (domicilio, correo electrónico y DNI sin letra), los cuales ya eran conocidos por esa mercantil, y entre los que no constan los correspondientes al nombre y apellidos del supuesto usuario;
18. b)que el denunciante aceptara la política de privacidad del citado sitio web ni marcara la casilla que aparece junto a la leyenda “Me gustaría recibir información sobre ofertas” (folios 141 al 149) En conclusión, KREDITECH ha vulnerado la prohibición de remitir comunicaciones comerciales vía electrónica que no hayan sido previamente solicitadas o expresamente autorizadas establecida en el artículo 21.1 de la LSSI, toda vez que el envío comercial analizado, de fecha 16 de noviembre de 2015, fue remitido a la dirección de correo electrónico del denunciante por esa sociedad con posterioridad a que éste hubiese manifestado a dicha empresa su voluntad de que sus datos personales fueran cancelados y que la denunciada confirmase al afectado la cancelación de los mismos con fecha 24 de marzo de 2014. V En este supuesto, la representación legal de la denunciada defiende la inexistencia de culpa en la conducta de KREDITECH dada la ausencia de intencionalidad de esa empresa en vulnerar el artículo 21 de la LSS y la inexistencia de un comportamiento negligente sobre el que edificar la culpa, puesto que los hechos objeto de estudio se debieron a un error humano puntual que dio lugar a que se produjera una confusión en los procesos internos, originando que la dirección de correo electrónico del denunciante permaneciese habilitada de forma aislada durante un tiempo para el envío de comunicaciones comerciales. Frente a dicha afirmación resulta conveniente indicar que la concurrencia de un supuesto error humano como justificante de la remisión indebida del correo electrónico comercial objeto de análisis debe ser rechazada por no constituir un motivo de entidad suficiente para eliminar la antijuridicidad en la conducta de KREDITECH objeto de reproche , máxime cuando este tipo de errores generan daños a los titulares de otros bienes jurídicos, como en este caso en que el denunciante ha visto conculcado por esa entidad su derecho a no recibir comunicaciones comerciales no deseadas en sus señas electrónicas, todo ello sin que la denunciada haya descrito, por otra parte la naturaleza exacta del error humano alegado. En relación con esta cuestión resulta oportuno traer a colación lo señalado por la Audiencia Nacional en su Sentencia de fecha 27 de marzo de 2015, Rec. 72/2014, que rechazó que no existiera responsabilidad en la conducta analizada en un supuesto de infracción a la LOPD referido a un fallo del sistema de bloqueo, ya que el razonamiento empleado para ello resulta aplicable para rechazar la falta de culpabilidad pretendida por KREDITECH. En dicha Sentencia se indicaba que : “Una vez constatado que la parte demandante realizó la conducta infractora que aparece descrita en la resolución recurrida, en el curso de este proceso no se ha puesto de manifiesto la concurrencia de circunstancias que permitan excluir la culpabilidad de la misma, limitándose la parte actora a alegar que se debió a un fallo del sistema de bloqueo de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 Es sabido que se puede incurrir en responsabilidad por la infracción e que estamos examinando tanto de manera intencionada o dolosa como por descuido, negligencia o aún a título de simple inobservancia- art. 130.1 de la Ley 30/1992, de 26 de noviembre-. Y procede ahora recordar que, como señala el Tribunal Supremo en la Sentencia de 23 de enero de 1998, “…aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa. Ninguna de las circunstancias concurrentes en el caso que nos ocupa permite excluir este elemento subjetivo de la infracción. Debemos insistir en que la culpabilidad de la parte actora no puede considerarse excluida ni atenuada por el hecho de que le tratamiento de los datos del denunciante pudiese deberse a la existencia de un fallo del sistema de bloqueo de datos personales.” No cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJ-PAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. En esta línea, en la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece en cuanto a la aplicación del principio de culpabilidad que “Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 base al mero resultado, es decir al principio de responsabilidad objetiva. En este orden de ideas, si bien en el presente caso no puede acreditarse una conducta dolosa por parte de la entidad denunciada, sin embargo, si se aprecia la existencia de responsabilidad en la comisión de la infracción imputada a título de culpa. De esta forma, KREDITECH no ha justificado que con anterioridad a la realización del envío no consentido analizado actuase con la diligencia y el deber de cuidado que, en razón de su profesionalidad, le eran exigibles para asegurarse, en tanto que empresa habituada al envío de comunicaciones comerciales por medios de comunicación electrónica y que, además, opera habitualmente en Internet, que dichos correos electrónicos publicitarios cumplían con las exigencias derivadas del artículo 21.1 de la LSSI, de tal modo que respondieran a una solicitud previa o estuvieran expresamente autorizados por el destinatario de los mismos. En este caso concreto, tal y como se ha probado en el expediente, KREDITECH remitió al denunciante el correo electrónico comercial objeto de estudio a pesar de que con fecha 17 de marzo de 2014 había recibido la solicitud del denunciante de cancelación de sus datos personales, lo que incluía su dirección de correo electrónico, y de que con fecha 24 de marzo de 2014 KREDITECH había procedido, según ha alegado, a hacer efectivo tal derecho en sus ficheros, a lo que hay que añadir que con fecha 2 de noviembre de 2015 ya había recibido la resolución sancionadora acordada por la Directora de la AEPD el 30 de octubre de 2015 en el PS/00215/2015. No obstante lo cual, volvió a mostrar un comportamiento negligente enviando una nueva comunicación comercial a las señas electrónicas del denunciante con fecha 16 de noviembre de 2015. De hecho, no fue hasta después de tal remisión que a fin de evitar que esa situación volviese a repitiese procedió a la cancelación manual de todos los datos del denunciante, con excepción de los documentos pertinentes a la denuncia, acción que podría haber realizado con anterioridad a dicho envío si en paralelo al marcado automático del bloqueo de los datos hubiese tenido la cautela de revisar la efectividad del mismo en todos los procesos internos asociados al envío de este tipo de comunicaciones por medios electrónicos. Aunque la entidad denunciada alega que con anterioridad a la realización del envío obró con toda la diligencia y el deber de cuidado que le eran exigibles, a los efectos que nos ocupan resulta irrelevante que en el momento de la recogida de los datos esa empresa informase de la posible remisión de comunicaciones comerciales electrónicas y habilitase un mecanismo para que sólo se remitiesen las comunicaciones expresamente consentidas (casilla de aceptación sin marcar), puesto que dichas medidas afectarían a la diligencia mostrada para obtener el consentimiento previo y expreso de los afectados a recibir ese tipo de envíos, cuestión que no se dilucida en este procedimiento. Siguiendo esta línea, KREDITECH no ha justificado la implementación de las medidas de control necesarias para asegurarse del correcto y efectivo funcionamiento de los mecanismos o procesos internos instaurados para gestionar las bajas de las comunicaciones comerciales producidas a consecuencia del ejercicio del derecho de cancelación de datos personales, al igual que no ha probado contar con protocolos de actuación para detectar rápidamente las posibles anomalías existentes en el funcionamiento de la operativa de bajas asociada al cese de los correos electrónicos comerciales o, en su caso, verificar la sincronización de dichos procesos internos automatizados en orden a evitar situaciones como la analizada. En todo caso, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 recuerda que la cancelación de los datos personales del denunciante respondía al cumplimiento de la obligación que le correspondía como responsable del fichero de dar cumplimiento a lo previsto en el artículo 16 de la LOPD cuando el titular de los datos ejerce tal derecho, tal y como ocurrió en el caso analizado En consecuencia, la AEPD considera que esa mercantil no mostró la diligencia y el deber legal de cuidado que le eran exigibles en orden a hacer efectiva la solicitud de cancelación de datos del denunciante comprobando la correcta materialización del bloqueo de las señas electrónicas del denunciante que indica haber llevado a cabo el 24 de marzo de 2014, como tampoco adoptó medida correctora alguna en ese sentido después de recibir la citada resolución sancionadora el 2 de noviembre de 2015. Estas circunstancias evidencian que esa empresa no desplegó el cuidado necesario que le era exigible para evitar infringir el artículo 21.1 de la LSSI, lo que lleva a considerar la existencia del elemento de culpabilidad en la conducta de KREDITECH en el ilícito administrativo imputado, resultando irrelevante que haya sido el denunciante quien haya formulado la denuncia habida cuenta que tanto las actuaciones previas de inspección como el procedimiento sancionador se inician siempre de oficio por el Director/a de la AEPD, conforme se dispone en los artículos 122 y 126 del Reglamento de Desarrollo de la LOPD, de 13 de diciembre, aprobado por Real Decreto 1720/2007, de 21 de diciembre. . Por todo lo cual, la AEPD considera que a la entidad imputada le era exigible otra conducta diferente de la que observó en orden a velar por el cumplimiento de los derechos de los destinatarios de tales mensajes recogidos en la LSSI, causa por la que debió actuar con más prudencia para justificar la legalidad de su conducta. Además, a la vista de que en el PS/00215/2015 también se alegó un error humano, esta Agencia entiende que en cuanto al denunciante no estamos ante un error puntual aislado, sino ante una situación que podría haberse evitado si se hubieran comprobado el correcto funcionamiento de los procesos internos asociados al bloqueo de sus datos, en tanto que su cuenta de correo electrónico venía utilizándose para remitir comunicaciones comerciales por medios electrónicos. Por otra parte, esa empresa no ha aportado las cabeceras de Internet de los correos electrónicos que indica haber recibido del denunciante solicitando préstamos y mecenazgo, de tal modo que la documentación aportada no prueba, por si misma, que fueran enviados efectivamente por el denunciante a esa empresa. Sin perjuicio de que aunque pudiera probarse el origen de esos envíos, esa empresa debería, en todo caso, justificar el modo en que tal conducta ha podido contribuir a crear una situación confusa, en especial estando acreditada la solicitud de cancelación de sus datos ante la misma con anterioridad al envío de la comunicación comercial estudiada y habiéndose formulado por el afectado dos denuncias por incumplimiento del artículo 21.1 de la LSSI ante esta Agencia. VI El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 de la LSSI especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos), considerándose como tal, según definición contenida en el apartado
19. c)del Anexo de la citada norma a la “ persona física o jurídica que proporciona un servicio de la sociedad de la información”. De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
20. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
21. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, a la vista de los hechos que han resultado acreditados en la tramitación del presente procedimiento sancionador, la conclusión que se despende de los hechos y fundamentos de derecho anteriores es que el presente supuesto se ajusta al tipo de infracción calificada como leve en el artículo 38.4.
22. d)de la LSSI, puesto que la remisión de una única comunicación comercial no consentida en forma expresa y previa por el denunciante a su cuenta de correo electrónico, en concreto con fecha 16 de noviembre de 2015, no puede calificarse como de envío sistemático o insistente. Todo lo cual lleva a considerar la existencia de la infracción imputada a título de culpa, ya que la misma responde a una acción típica, antijurídica, culpable y punible que constituye, tal y como se ha razonado, vulneración al artículo 21.1 de la LSSI por parte de la denunciada. VII A tenor de lo establecido en el artículo 39.1.
23. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma que dispone: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
24. a)La existencia de intencionalidad.
25. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
26. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
27. d)La naturaleza y cuantía de los perjuicios causados.
28. e)Los beneficios obtenidos por la infracción.
29. f)Volumen de facturación a que afecte la infracción cometida”. En aplicación los criterios de graduación de las sanciones recogidos en el citado artículo 40 de la LSSI, se estima que en este supuesto opera como agravante el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 hecho de que la entidad imputada envió siete correos electrónicos comerciales a una persona que previamente había solicitado el cese en los envíos comerciales En aplicación los criterios de graduación de las sanciones recogidos en el citado artículo 40 de la LSSI, se estima que en este supuesto operan como agravantes las circunstancias comprendidas en los criterios a),
30. b)y
31. c)de dicho precepto. En concreto, si bien no puede hablase de intencionalidad en la conducta descrita, sin embargo si se ha producido una evidente falta de diligencia al no haber arbitrado medidas de control respecto del sistema de bloqueo de datos implantado que evitasen la remisión de nuevas comunicaciones comerciales a la cuenta del denunciante no sólo después de haber recibido su solicitud de cancelación de datos y confirmado la tramitación de la misma, sino incluso después de haber sido sancionada el 30 de octubre de 2015 con multa de 2.600 € por hechos semejantes a los que nos ocupan a raíz de la instrucción del procedimiento sancionador PS/00215/2015, no obstante lo cual se ha repetido la misma situación que la descrita en el citado expediente al utilizarse las señas electrónicas del afectado para remitirle una nueva comunicación comercial no autorizada, hecho acaecido con posterioridad a que KREDITECH recibiese el día 2 de noviembre de 2015 la notificación de la resolución acordada en el mencionado procedimiento sancionador. No puede obviarse que el envío analizado de 16 de noviembre de 2015 se produce transcurrido más de un año y siete meses después de supuestamente bloquear la cuenta de correo electrónico del afectado con fecha 24 de marzo de 2014 y de reincidir en la situación irregular. Así, concurre la circunstancia de reincidencia derivada de la comisión de una infracción de la misma naturaleza que dio lugar a la resolución R/02662/2015 acordada por esta Agencia en el procedimiento sancionador antes reseñado, la cual es firme en vía administrativa. Paralelamente, se valoran como circunstancias atenuantes los criterios d),
32. e)y
33. f)ante la falta de constancia de que la remisión del envío no autorizado haya ocasionado perjuicios relevantes al denunciante o generado algún tipo de beneficio o facturación a la empresa denunciada como remitente del mismo. Por lo tanto, al haber quedado acreditado el elemento subjetivo de culpabilidad por parte de KREDITECH en la comisión de la infracción imputada se estima adecuada a la gravedad de los hechos cometidos imponer a la misma una sanción de 5.000 euros con arreglo a lo previsto en los artículos 39.1.
34. c)y 40 de la LSSI. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad KREDITECH SPAIN, S.L., por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
35. d)de la LSSI, una multa de 5.000 € (Cinco mil euros), de conformidad con lo establecido en los artículos 39.1.
36. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a KREDITECH SPAIN, S.L., y a Don A.A.A. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es