← España

PS-00110-2024

1/16  Procedimiento Nº: EXP202316737 (PS/00110/2024) RESOLUCION DEL PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 24/10/23, D. A.A.A. (la parte reclamante), presenta escrito de reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad NUDE PROJECT, S.L. con CIF.: B01945328, (la parte reclamada), por la presunta vulneración de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). La parte reclamante manifiesta que el día 23/09/23 acudió a una tienda de la entidad reclamada para realizar una compra y que, al solicitar el correspondiente ticket de compra, le indicaron que no cabía entregar el mismo de forma física, debiendo aportar su dirección de correo electrónico o su número de teléfono, viéndose obligado a aportar dichos datos para recibir el correspondiente comprobante de compra. Señala además que, al aportar dichos datos en una Tablet del establecimiento, en ningún momento apareció mensaje o formulario alguno donde pudiera oponerse a la recepción de publicidad. Pese a ello, ha recibido en su correo electrónico hasta tres correos electrónicos de publicidad de la entidad reclamada, todo ello sin haberlo autorizado. Junto al escrito de reclamación, se acompaña la siguiente documentación: - Fechados el 23/09/23, el 28/09/23 y 01/10/23, copia de los correos electrónicos enviados desde la dirección NUDE PROJECT <help@nude—project.com> recibidos por el reclamante, conteniendo mensajes y fotografías publicitarias, como, por ejemplo: o o o o o o o o o C/ Jorge Juan, 6 28001 – Madrid NUDE PROJECT© Thank you for your purchase! ¡Visit Our store. Order summary … NUDE PROJECT© NEW IN T-SHIRTS HOODIES BOTTOMS By Artists, For Artists… So, let's play who's who... you choose. Also, we have some last units of new Playboy garments. Have a look. JACK HAB LOW… PLAYBOY CARDIGAN PLAYMATE SHIRT PLAYBOY CHINO PANTS SHOP THE LOOK DRAKE… CHESS KNITTED POLO POOL DENIM PANTS CHAMPAGNE PROBLEMS HAT NAVY SHOP THE LOOK RIHAN NA… WOMEN RACING JACKET BIG HEART WHITE BABY BUNNY BOWLING BAG WHITE/NAVY SHOP THE LOOK LIL NAS X… FUTURE MILF HOOD BLACK MILF TEE PINK PLAYBOY STRASS CHOKER SHOP THE LOOK TYLER THE CREATOR… Grandma found love in Milano and it ain't no man… She fell in love with the new basics 23' hoodies + polos + crewnecks Now live SHOP THE LOOK… www.aepd.es sedeagpd.gob.es 2/16 En cada uno de los correos electrónicos recibidos, existe el siguiente mensaje, en idioma inglés: ¿Ya no quieres recibir estos correos electrónicos? Darse de baja. PROYECTO NUDE CIPujadas. 81 Barcelona. Barcelona 08005) SEGUNDO: Con fecha 22/11/23, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, (LOPDGDD), por parte de esta Agencia, se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que se exponía en el escrito de reclamación. El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), mediante notificación electrónica, produciéndose el acceso al contenido de la notificación el 01/12/23 según consta en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 24/01/24, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 12/03/24, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad NUDE PROJECT, S.L., con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 21 de la LSSI, tipificada como “leve” en el art. 38.4.

  1. d)de la misma norma. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, atendidas las evidencias existentes en el momento de la apertura ascendería a un total de 20.000 euros (veinte mil euros). QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones el 27/03/24, en el cual se manifiesta lo siguiente: “Primera.- En primer lugar debemos indicar que la relación de hechos no refleja la realidad de lo sucedido. Esta parte cuenta con el asesoramiento en materia de privacidad, protección de datos personales y comercio electrónico, por lo que conoce la obligación prevista en el antedicho artículo de recabar el consentimiento expreso, o que hubieran sido solicitadas por parte del destinatario de las mismas, para permitir el envío de comunicaciones publicitarias por correo electrónico o medios equivalentes. La sociedad que represento ha podido comprobar que efectivamente el denunciante realizó una compra en la tienda de la empresa sita en La Roca Village el día 23 de septiembre de 2.023 a las 17 horas. No obstante, esta entidad debe indicar que se recabó el consentimiento de sus clientes para poder enviarles comunicaciones comerciales, y a mayor abundamiento, existen una serie de medidas implementadas por defecto para evitar enviar comunicaciones a aquellos clientes que no lo hayan solicitado o no se haya recabado su consentimiento de forma expresa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 En el momento en el que se produce el pago, la persona de caja le informa de que, en atención al compromiso de eliminación del papel, el ticket se entrega preferentemente de forma telemática por correo electrónico. Sin embargo, no es cierto ni que no se diera la opción de entregar el ticket físico, ni tampoco que en la Tablet del establecimiento no apareciera un mensaje o formulario para oponerse a la recepción de publicidad. Se acompaña como DOCUMENTO Nº 2 una captura de la pantalla de la Tablet en la que se puede apreciar en el apartado “opciones del cliente” una primera pestaña denominada “acepta publicidad”, que como se puede observar se encuentra desmarcada por defecto. En ese momento se les pregunta expresamente a todos los clientes si desean aceptar el envío de publicidad antes de abrir dicha pestaña, lo que ocurrió en este caso. Es decir, El denunciante aceptó expresamente el envío de publicidad, puesto que estaba interesado en recibir información de otros productos de la marca que serían posteriormente comercializados. Se incorpora como DOCUMENTO Nº 3 una captura de la compra final en la que se puede observar la suscripción del cliente a dicha publicidad por correo electrónico a remitir a la dirección ***EMAIL.1 Si se observa la captura de pantalla del Documento n.º 2 se pueden extraer distintas conclusiones: En primer lugar, podemos observar como la casilla para comunicaciones comerciales mediante correo electrónico ha sido marcada porque el usuario aceptó esa opción durante la compra. De la misma manera, se puede observar cómo no se prestó el consentimiento para recibir comunicaciones mediante SMS, que puede encuadrarse como otro medio de comunicación electrónico equivalente a los correos electrónicos, según el artículo 21 de la LSSI. A este respecto, y siguiendo las indicaciones del cliente, todas las comunicaciones comerciales fueron enviadas a través de correo electrónico, del que si se contaba con el consentimiento del cliente. Adicionalmente, se puede observar cómo se indicó que las notificaciones se recibirían en inglés. Nude Project, S.L. nunca remite publicidad a personas que no hayan dado su conformidad expresa a dicho envío mediante su suscripción. Una vez que D. A.A.A. había procedido a suscribirse, es cierto que Nude Project, S.L. remitió los correos electrónicos que se detallan en el acuerdo de iniciación del expediente sancionador. Sin embargo, debemos reseñar que el cliente era plenamente consciente de que podía eliminar la suscripción puesto que así consta en cada correo electrónico que se remite. De hecho el denunciante elimina la suscripción el día 20 de diciembre de 2.023 a las 8:57 horas, simplemente pinchando en el enlace que recibe en los correos electrónicos bajo la palabra “unsuscribe”. Se aporta el justificante de dicha eliminación como DOCUMENTO Nº 4. Es por ello por lo que sorprende que si no deseaba recibir correos, bien pudo haber C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 eliminado la suscripción al recibir el primero el mismo día de la compra 23 de septiembre o el segundo a los pocos días (28 de septiembre). Hacemos hincapié en que desde el momento en que eliminó la suscripción, Nude Project, S.L. no ha remitido ninguna otra comunicación de índole comercial. En definitiva, consideramos que Nude Project, S.L. ha actuado de forma correcta, cumpliendo los mandatos de su cliente, tanto de envío de comunicaciones comerciales, como de eliminación de la suscripción; y todo ello en estricto cumplimiento de lo establecido en la legislación vigente. Segundo.- En cualquier caso y de forma subsidiaria entendemos que la actuación de Nude Project, S.L. estará amparada por el apartado segundo del artículo 21 de la Ley 34/2002 de Servicios de la Sociedad de la Información y de Comercio Electrónico. Dicha norma establece que: 1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Hemos subrayado el apartado segundo de dicho artículo puesto que establece que no resulta de aplicación el apartado primero (prohibición de envío de comunicaciones publicitarias), cuando se den los siguientes requisitos: - Exista una relación contractual previa. - El prestador hubiera obtenido de forma lícita los datos de contacto del cliente. - El prestador utilizara dichos datos para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa similares a los que fueron objeto de contratación. La actuación de Nude Project, S.L. se encuentra amparada por el apartado segundo del artículo antes citado porque: 1) El denunciante D. A.A.A. contrató con Nude Project, S.L. la adquisición de un producto (sudadera varsity) el día 23 de septiembre de 2.023. 2) Nude Project, S.L. obtuvo lícitamente los datos del cliente al ser este quien se los proporcionó de forma voluntaria, ordenando la remisión del ticket de compra por correo electrónico. 3) Nude Project, S.L. envió comunicaciones comerciales a su cliente, ahora denunciante, a través de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 correos electrónicos en los que se informaba sobre productos similares al adquirido por D. A.A.A.. 4) Nude Project, S.L. dio la oportunidad al cliente de eliminar la suscripción en cada correo que envió, simplemente con pinchar un enlace. 5) Nude Project, S.L. no remitió ni un solo correo electrónico al denunciante después de que este manifestara su deseo de no recibir más comunicaciones comerciales. Tercero.- El envío del ticket de compra por correo electrónico se encuentra amparado por el Real Decreto 1619/2012 de 30 de noviembre por el que se aprueba el Reglamento por el que se regulan las obligaciones de facturación. Concretamente el artículo 8 detalla que las facturas podrán expedirse por cualquier medio, en papel o en formato electrónico, mientras que el artículo 9 avala la factura que sea expedida y recibida en formato electrónico. Cuarto.- En materia sancionadora, el Tribunal Constitucional ha establecido como uno de los pilares básicos para la interpretación del derecho Administrativo sancionador que los principios y garantías básicas presentes en el ámbito del derecho penal son aplicables, con ciertos matices, en el ejercicio de cualquier potestad sancionadora de la Administración Pública (así por ejemplo en las Sentencias del Tribunal Constitucional 76/1990, 120/1994, 154/1994, 23/1995, 97/1995, 147/1995, 45/1997de 26 de abril, entre otras muchas). El artículo 25.1 de la Constitución establece que nadie puede ser condenado o sancionado por acciones u omisiones que en el momento de producirse no constituyan delito, falta o infracción administrativa según la legislación vigente en aquel momento. El Tribunal Constitucional, ha sostenido que el principio de tipicidad consiste en la necesidad de predeterminación normativa de las conductas infractoras y de las sanciones correspondientes, ( SSTC 61/1990, 116/1993, 151/1997, 124/2000113/2002, 129/2003, 297/2005, 129/2006 etc). En el mismo sentido el artículo 27 de la Ley 40/2.015 de Régimen Jurídico del Sector Público define el principio de tipicidad en los mismos términos en cuanto a que sólo pueden constituir infracciones administrativas las vulneraciones del ordenamiento jurídico previstas como tales infracciones por una Ley. En el presente caso se inicia expediente sancionador y se propone una sanción frente a Nude Project, S.L. por haber supuestamente infringido el artículo 38.4.
  2. d)de la Ley 34/2002 de Servicios de la Sociedad de la Información y de Comercio Electrónico, que califica como infracción leve “el envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave” Dado que como hemos visto, la actuación de Nude Project, S.L. se encuentra amparada por el apartado segundo del artículo 21, la imposición de una sanción supondría una vulneración del principio de tipicidad que rige en todo procedimiento administrativo sancionador. En las Sentencias de la Audiencia Nacional (5 febrero 2019 EDJ 2019/543106, 25 marzo 2016 EDJ 2016/66100, 4 FEBRERO 2010 EDJ 2010/12007, 23 mayo 2007 EDJ 2007/76092) de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 que tenemos conocimiento y que han recaído sobre supuestos similares, solamente son convalidadas las sanciones en aquellos casos en los que los afectados recibieron correos electrónicos, con posterioridad a manifestar expresamente su oposición a recibirlos. En el presente caso, la situación es completamente distinta. El denunciante no solo dio su autorización expresa a recibir comunicaciones comerciales, sino que bien pudo haber contestado a la primera comunicación recibida indicando que no deseaba recibir más. Pudiendo hacerlo de varias formas: - Pinchando en el lugar indicado del correo electrónico “unsuscribe”. - Contestando al correo electrónico recibido - Enviando un mensaje a atención al cliente. En el apartado “sobre nosotros” de la página web www.nude-project.com consta un formulario directo para remitir cualquier duda o consideración. Consta también un correo electrónico directo para remitirlo, en concreto, help@nude-project.com Indicándolo personalmente en cualquiera de las tiendas físicas de la empresa. No nos encontramos por tanto en los supuestos regulados en las Sentencias en las que se ha convalidado la sanción impuesta por la AEPD. Quinto.- Nos oponemos asimismo a la graduación de la sanción que obra en el acuerdo de iniciación del expediente sancionador, el cual aplica la agravante de existencia de intencionalidad, cuando a nuestro entender no resulta de aplicación, y además sin tomar en consideración el resto de las circunstancias previstas en el artículo 40 de la Ley 34/2002 de Servicios de la Sociedad de la Información y de Comercio Electrónico. Se justifica la existencia de intencionalidad en que se enviaron comunicaciones comerciales tras obtener del cliente su correo electrónico con objeto de enviarle el ticket de compra y no existir la posibilidad de rechazar el envío de comunicaciones comerciales cuando se proporciona el e-mail. La aplicación de dicha circunstancia resulta absolutamente errónea puesto que como se ha acreditado: 1) El cliente permitió expresamente el envío de comunicaciones comerciales, modificándose en ese momento la pestaña correspondiente de la aplicación; dado que estaba interesado expresamente en recibir comunicaciones comerciales. 2) Una vez recibido el ticket de compra, el cliente pudo perfectamente eliminar su suscripción, al igual que pudo hacerlo cuando recibió las otras dos comunicaciones. 3) El propio denunciante eliminó su suscripción el 20 de diciembre de 2.023. La Sentencia de la Audiencia Nacional de 21 de junio de 2.023 (EDJ 2023/606757) considera correcta la aplicación de esta agravante de intencionalidad en el caso de que un correo electrónico de índole comercial se remite después de que el usuario manifestó expresamente su oposición, pero no en el caso que nos ocupa. Pero es que además, lo cierto es que a la actuación de Nude Project, S.L. no resulta de aplicación ninguna otra de las circunstancias del artículo 40, concretamente: o Plazo de tiempo durante en el que se comete supuestamente la infracción, que según la propia denuncia son únicamente 8 días. o Reincidencia: Inexistente en este caso dado que Nude Project, S.L. no ha sido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 sancionado por una infracción de la misma naturaleza. o Naturaleza y cuantía de los perjuicios causados. No se ha causado en este caso ningún perjuicio. o Beneficios obtenidos por la infracción: Nude Project, S.L. no ha obtenido ningún beneficio dado que el cliente no adquirió ningún artículo posterior a su compra del día 23 de septiembre. o El volumen de facturación es inexistente. Es decir, en su caso, la sanción impuesta debería haber tenido en cuenta la totalidad de estas circunstancias, por lo que una sanción de 20.000 euros cuando el rango se encuentra entre 1 y 30.000 euros parece a todas luces excesiva. Esta incorrecta aplicación supone la vulneración de otro derecho constitucional como es el principio de proporcionalidad, que se ha consagrado como un instrumento de control a las decisiones administrativas discrecionales. Se encuentra recogido en los artículos 103.1 y 106 de la Constitución Española y en el artículo 29 de la Ley 40/2015 de Régimen Jurídico del Sector Público. En este último artículo se determina que se deberá observar la debida idoneidad y necesidad de la sanción a imponer y su adecuación a la gravedad del hecho constitutivo de la infracción sobre la base de cuatro criterios:
  3. a)Grado de culpabilidad o intencionalidad
  4. b)Continuidad o persistencia de la conducta
  5. c)Los perjuicios causados
  6. d)La reincidencia. Dado todo lo anterior entendemos que la hipotética sanción debería encontrarse en todo caso dentro en el cuarto inferior de la cantidad propuesta en la Norma. Sexto.- Como continuación del argumento anterior, invocamos la aplicación del artículo 39 ter de la Ley 24/2002 en el sentido de que entendemos que existen datos suficientes como para que, incluso en el caso de que pudiera entenderse cometida la infracción, se acuerde el archivo del procedimiento sancionador y en su lugar un apercibimiento con la adopción de medidas correctoras determinadas por el órgano competente. En este sentido indicamos que esta entidad, recabado las recomendaciones de nuestros asesores en materia de protección de datos personales, ha decido realizar las siguientes actuaciones, encaminadas a evitar que se repita un incidente como el que es objeto de notificación:  Se solicita a los antedichos asesores que se aporte información sobre las consideraciones legales sobre el consentimiento en las comunicaciones electrónicas. El escrito de alegaciones se acompaña de la siguiente documentación: - - DOCUMENTO N.º 1 – Captura de pantalla donde se muestra la opción de recibir publicidad desmarcada por defecto. DOCUMENTO N.º 2 – Captura de pantalla de la cuenta del reclamante, donde se indica que se pueden enviar las comunicaciones electrónicas debido a que ha prestado su consentimiento, su correo electrónico de contacto, y la opción de enviar comunicaciones por SMS desmarcada. DOCUMENTO N.º 3 – Primera comunicación con la opción de darse de baja. DOCUMENTO N.º 4 – Retirada del consentimiento para recibir comunicaciones comerciales realizada por el reclamante. DOCUMENTO N.º 5.- Informe con consideraciones sobre el consentimiento en las comunicaciones comerciales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 DOCUMENTO N.º 6.- Captura de pantalla de alta en el sistema. DOCUMENTO N.º 7 – Captura de pantalla con la comprobación del sistema realizada en fecha 21/03/24. SEXTO: Con fecha 30/07/24 se formuló propuesta de resolución en el sentido de que por la Directora de la AEPD se sancionase a la parte reclamada, por vulneración de lo establecido en el artículo artículo 21 de la LSSI, tipificada como “leve” en el art. 38.4.
  7. d)de la misma norma con una sanción de 20.000 euros (veinte mil euros). En el FD II de la propuesta de resolución se daba respuesta a las alegaciones presentadas a la incoación del expediente: Primero: La parte reclamante manifiesta en su escrito de reclamación que el 23/09/23, al realizar una compra en uno de los establecimientos de la entidad reclamada le indicaron que no cabía entregar el ticket físico de compra debiendo aportar su dirección de correo electrónico o su número de teléfono. Señala además que, al aportar dichos datos en una Tablet del establecimiento, en ningún momento apareció ningún mensaje o formulario por el que pudiera oponerse a la recepción de publicidad habiendo recibido en su correo electrónico hasta tres correos de publicidad de la entidad sin haberlo autorizado. Para corroborar lo anterior, acompaña copia de los tres correos electrónicos publicitarios recibidos los días 23/09/23, el 28/09/23 y el 01/10/23. Por su lado, la parte reclamada manifiesta en su escrito de alegaciones a la incoación del expediente que es cierto que el reclamante realizó una compra en una de sus tiendas el día 23/09/23 pero que en el momento de realizar el pago, el personal de caja le informó de que en atención al compromiso de eliminación del papel, el ticket se entrega preferentemente de forma telemática por correo electrónico, existiendo también la opción de entregar el ticket físico. Que el reclamante acepto recibir el ticket por correo electrónico y que al dar el mismo se le preguntó expresamente si deseaba aceptar el envío de publicidad antes de abrir dicha pestaña, lo que ocurrió en este caso y acompaña la captura de la pantalla de la Tablet donde se muestra la opción de recibir publicidad desmarcada por defecto; la captura de pantalla de la cuenta del reclamante, donde se aparece, por una parte la relación de compras realizada siendo la única de fecha 23/09/23 y por otra parte, la dirección de correo electrónico: ***EMAIL.1; y copia de la pantalla de retirada del consentimiento para recibir comunicaciones comerciales donde aparece la siguiente información: Email Baja: ***EMAIL.1 Baja Fecha Dic 20, 2023 at 8:57 pm. Pues bien, sobre el consentimiento que el usuario presta al responsable del tratamiento de sus datos para que por ejemplo, como ocurre en el presente caso, pueda enviarle comunicaciones comerciales, la Directriz 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), establece, puntos 105 a 108, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 105. El considerando 42 establece que: «Cuando el tratamiento se lleva a cabo con el consentimiento del adoptadas 22 interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento». 106. Los responsables del tratamiento tienen libertad para desarrollar métodos que permitan cumplir esta disposición adaptados a sus operaciones diarias. Al mismo tiempo, la obligación de demostrar que un responsable del tratamiento ha obtenido un consentimiento válido, no debe en sí misma provocar un tratamiento adicional de datos excesivo. Esto significa que los responsables deberían tener datos suficientes para mostrar un enlace al tratamiento (para mostrar que se obtuvo el consentimiento), pero no deberían recopilar más información. 107. Corresponde al responsable demostrar que obtuvo el consentimiento válido del interesado. El RGPD no prescribe cómo debe hacerse esto exactamente. No obstante, el responsable debe poder demostrar que, en un caso concreto, un interesado ha dado su consentimiento. La obligación de demostrar el consentimiento existirá mientras dure la actividad de tratamiento de los datos en cuestión. Una vez finalizada dicha actividad, la prueba del consentimiento no deberá conservarse más allá de lo estrictamente necesario para cumplir una obligación legal o para la formulación, el ejercicio o la defensa de reclamaciones, de conformidad con el artículo 17, apartado 3, letras
  8. b)y e). 108. Por ejemplo, el responsable debe mantener un registro de las declaraciones de consentimiento recibidas, de manera que pueda demostrar cómo se obtuvo el consentimiento y cuándo se obtuvo dicho consentimiento, y también deberá demostrarse la información que se facilitó al interesado en su momento. El responsable también deberá poder demostrar que se informó al interesado y que el flujo de trabajo del responsable cumplió todos los criterios pertinentes para un consentimiento válido. La lógica subyacente a esta obligación en el RGPD es que los responsables del tratamiento deben rendir cuentas con respecto a la obtención del consentimiento válido de los interesados y con respecto a los mecanismos de consentimiento que han adoptado. Por ejemplo, en un contexto en línea, un responsable podría conservar información sobre la sesión en la que se expresó el consentimiento, junto con documentación sobre el flujo de trabajo del consentimiento cuando dicha sesión tuvo lugar, y una copia de la información que se presentó en ese momento al interesado. No sería suficiente referirse únicamente a una configuración correcta del sitio web en cuestión. Establece el RGPD que el consentimiento debe ser “libre, específico, informado e inequívoco”. Además, debe ofrecerse control al interesado sobre el mismo y darle la posibilidad de aceptar o rechazar los términos bajo los que se presta. El artículo 7 del RGPD establece que, cuando el tratamiento se realice amparado en el consentimiento, este debe poder ser verificable debiendo el responsable ser capaz de poder demostrar que el interesado lo prestó de manera válida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 El RGPD no establece un mecanismo en concreto sobre cómo el responsable debe ser capaz de probar que ha obtenido un consentimiento válido, teniendo libertad para implementar la forma de obtención y registro que más se adapte a los procesos de la organización pero, al menos, debe poder acreditar quién otorgó el consentimiento, cuándo, cómo y para qué, así como la información que se le suministró en el momento de obtenerlo. Esa obligación subsiste en tanto que se siga realizando el tratamiento de los datos personales bajo las condiciones iniciales en que los datos fueron recabados y debe ser verificable en caso de auditoría o inspección. De ahí que resulte de interés la implementación de herramientas que ofrezcan garantías a los distintos intervinientes en el proceso de consentimiento y les permitan gestionar este en torno al tratamiento de los datos personales que se está realizando. Por tanto, para valorar si el consentimiento es otorgado de una manera válida, el responsable del tratamiento debe mantener un registro (log) de las actuaciones llevadas a cabo para obtener el consentimiento. En el presente caso, la entidad reclamada solamente presenta la captura de la pantalla de una Tablet donde se muestra la opción de recibir publicidad desmarcada por defecto; la captura de pantalla de la cuenta del reclamante, donde aparece, por una parte la relación de compras realizada y por otra parte, la dirección de correo electrónico del reclamante y la captura de una pantalla de la Tablet donde aparece la retirada del consentimiento para recibir comunicaciones comerciales pero no aporta, por ejemplo, un historial del “log” que pueda demostrar que el interesado presto el consentimiento para recibir comunicaciones comerciales de manera válida, o una pantalla donde aparezca la firma del interesado junto con el número del DNI, cumpliendo con ello, lo establecido en la normativa vigente, respecto a la obligación que tienen los responsables del tratamiento de demostrar que han obtenido el consentimiento de forma válida. En definitiva, por una parte, el reclamante, en su escrito de reclamación manifiesta haber recibido comunicaciones comerciales del reclamado sin autorización previa, incumpliendo con ello lo establecido en el artículo el artículo 21 de la LSSI, y por otra, de la documentación presentada por la reclamada en sus alegaciones a la incoación del expediente, no hay constancia que el interesado prestase un consentimiento válido para recibir comunicaciones comerciales, tal y como establece el artículo 7 del RGPD. Segundo: Por lo que respecta a la graduación de la sanción en la cual se aplica la agravante de existencia de intencionalidad manifestando que no resulta de aplicación, puesto que, según la reclamada, el cliente permitió expresamente el envío de comunicaciones comerciales, y una vez recibido el ticket de compra, el cliente pudo perfectamente eliminar su suscripción, al igual que pudo hacerlo cuando recibió las otras dos comunicaciones y así lo hizo el 20/09/23. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 Manifestar que, respecto a que el reclamante permitió expresamente el envío de comunicaciones comerciales, tal y como se ha expuesto en el apartado anterior, en relación al punto, en este caso, no existe evidencia de que de que el reclamante manifestara de forma clara el consentimiento a recibir comunicaciones comerciales tal y como establece el artículo 7 del RGPD y en relación a que el reclamante pudo eliminar su suscripción de manera fácil y directa, tanto al recibir el ticket de compra como a través de los correos recibidos, indicar que no se está tratando en este expediente la posibilidad de oposición al tratamiento de los datos personales con fines promocionales tal y como establece el apartado 2 del artículo 21 de la LSSI, si no el hecho de que antes de poder ejercer su derecho de oposición a recibir publicidad, el reclamante recibió correos electrónicos publicitarios sin que él los hubiese solicitado o expresamente permitido, artículo 21.1 LSSI, por lo que, en el caso que nos ocupa, se considera correctamente la aplicado del gravamen de existencia de intencionalidad, en el sentido de que estos hechos pudieron y debieron ser evitados, observando y cumpliendo una norma que imponía un deber de cuidado. Sigue manifestando el reclamando que “(…) la sanción impuesta debería haber tenido en cuenta la totalidad de estas circunstancias, por lo que una sanción de 20.000 euros cuando el rango se encuentra entre 1 y 30.000 euros parece a excesiva (…), vulnerando con ello el principio de proporcionalidad (…)”. Respecto a esto último, recordemos que la infracción que se imputa se encuentra tipificada como “leve” en el art. 38.4.
  9. d)de la LSSI y que el artículo 39.1.c), establece que dichas infracciones podrán sancionarse con multa de hasta con 30.000 euros y para graduar dicha sanción, el artículo 40 LSSI, establece que, dicha graduación se atenderá a los criterios:
  10. a)La existencia de intencionalidad.
  11. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  12. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  13. d)La naturaleza y cuantía de los perjuicios causados.
  14. e)Los beneficios obtenidos por la infracción.
  15. f)Volumen de facturación a que afecte la infracción cometida.
  16. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. Por otra parte, el artículo 29.3 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (RJSP), establece que, (…) en la imposición de sanciones por las Administraciones Públicas se deberá observar la debida idoneidad y necesidad de la sanción a imponer y su adecuación a la gravedad del hecho constitutivo de la infracción (…)”. En nuestro caso, se considera que procede graduar la sanción a imponer de acuerdo con la existencia de intencionalidad (apartado a), tal y como se ha expuesto anteriormente y por tanto, se considera que la cuantía de la sanción se ajusta a los criterios de proporcionalidad del artículo 29 de la LRJSP y 40 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 la LSSI, sin que la sanción inicialmente propuesta alcanzase el máximo del rango establecido para este tipo de infracciones. La notificación de la citada propuesta de resolución se realizó conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, produciéndose el acceso al contenido de la notificación el 01/08/24 según consta en el expediente. No se ha recibido respuesta alguna a este escrito de propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS Primero: Ha quedado constatado que el 23/09/23 el reclamante realizó una compra en la tienda de la reclamada sita en La Roca Village. Segundo: Consta que el reclamante recibió, en el correo electrónico ***EMAIL.1en los días 23/09/23, 28/09/23 y 01/10/23, tres correos electrónicos enviados desde la dirección NUDE PROJECT <help@nude—project.com> conteniendo mensajes y fotografías publicitarias en idioma inglés, como: - NUDE PROJECT© Thank you for your purchase! ¡Visit Our store. Order summary … NUDE PROJECT© NEW IN T-SHIRTS HOODIES BOTTOMS By Artists, For Artists… So, let's play who's who... you choose. Also, we have some last units of new Playboy garments. Have a look. JACK HAB LOW… PLAYBOY CARDIGAN PLAYMATE SHIRT PLAYBOY CHINO PANTS SHOP THE LOOK DRAKE… CHESS KNITTED POLO POOL DENIM PANTS CHAMPAGNE PROBLEMS HAT NAVY SHOP THE LOOK RIHAN NA… WOMEN RACING JACKET BIG HEART WHITE BABY BUNNY BOWLING BAG WHITE/NAVY SHOP THE LOOK LIL NAS X… FUTURE MILF HOOD BLACK MILF TEE PINK PLAYBOY STRASS CHOKER SHOP THE LOOK TYLER THE CREATOR… Grandma found love in Milano and it ain't no man… She fell in love with the new basics 23' hoodies + polos + crewnecks Now live … Tercero: Consta que la reclamada, junto a su escrito de alegaciones a la incoación de expediente ha presentado la siguiente documentación: - Captura de pantalla de la Tablet donde se muestra la opción de recibir publicidad desmarcada por defecto. - Captura de pantalla de la cuenta del reclamante, donde aparece la relación de compras realizada siendo la única de fecha 23/09/23 y por otra parte, la dirección de correo electrónico: ***EMAIL.1con la anotación “las notificaciones se realizarán en inglés”. Se puede apreciar que la opción “correo electrónico suscrito” se encuentra marcada y la opción de enviar comunicaciones por SMS desmarcada. No consta firma de autorización del reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 - Copia de la pantalla de retirada del consentimiento para recibir comunicaciones comerciales donde aparece la siguiente información, en idioma inglés: Email Unsubscribed: ***EMAIL.1Subscription details Status Unsubscribed o Method Email Link Date Dec 20, 2023, at 8:57 pm UTC. (Email Baja: ***EMAIL.1 Detalles de suscripción Estado: Baja Fecha Dic 20, 2023) FUNDAMENTOS DE DERECHO I Competencia. De acuerdo con lo establecido en el artículo 43.1 de la LSSI y lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." La Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Prohibición de comunicaciones comerciales no solicitadas o expresamente autorizadas La LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo como: “
  17. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. Por tanto, el concepto de comunicación comercial, de acuerdo con la definición anterior, engloba todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. Por otro lado, la LSSI en su Anexo
  18. a)define “Servicio de la Sociedad de la Información” como “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario que comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 Según el apartado
  19. d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” III Tipificación de la infracción cometida por el envío de comunicaciones comerciales sin que hubieran sido solicitadas o expresamente autorizadas . El hecho de que la reclamada envíe correos electrónicos publicitarios al reclamante que previamente no hubieran sido solicitados o expresamente autorizados constituye una vulneración de lo establecido en el artículo 21 de la LSSI, pues establece lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” IV Sanción La citada infracción se encuentra tipificada como “leve” en el art. 38.4.
  20. d)de dicha norma, que califica como tal, “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. A tenor de lo establecido en el artículo 39.1.
  21. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 €, mientras que, el artículo 40 de la LSSI establece los criterios para la graduación de la cuantía de las sanciones: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  22. a)La existencia de intencionalidad.
  23. b)Plazo de tiempo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 durante el que se haya venido cometiendo la infracción.
  24. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  25. d)La naturaleza y cuantía de los perjuicios causados.
  26. e)Los beneficios obtenidos por la infracción.
  27. f)Volumen de facturación a que afecte la infracción cometida.
  28. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes”. Tras las evidencias obtenidas, se considera que procede graduar la sanción a imponer de acuerdo con el criterio agravantes que establece el art. 40 LSSI: - La existencia de intencionalidad (apartado a), ya que, si el cliente desea recibir el ticket de compra debe proporcionar la dirección de correo electrónico o su número de teléfono donde se lo enviarán, pero además recibirá comunicaciones comerciales por dicho medio, aunque lo no desee, pues no existe la posibilidad de rechazar el envío de comunicaciones comerciales cuando se proporciona el e-mail o el número de teléfono. Con arreglo a dichos criterios, se estima adecuado proponer una sanción de 20.000 euros (veinte mil euros), por la infracción del artículo 21.1 de la LSSI. De acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad NUDE PROJECT, S.L. con CIF.: B01945328, por la infracción del artículo 21 de la LSSI, tipificada como “leve” en el art. 38.4.d), una sanción de 20.000 euros (veinte mil euros). SEGUNDO: NOTIFICAR la presente resolución a la entidad NUDE PROJECT, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  29. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  30. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.