PS-00144-2014

1/14 Procedimiento Nº PS/00144/2014 RESOLUCIÓN: R/02044/2014 En el procedimiento sancionador PS/00144/2014, instruido por la Agencia Española de Protección de Datos a la entidad GROUPON SPAIN, S.L.U., vista la denuncia presentada por Dña. B.B.B. , y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 03/04/2013 tiene entrada en esta Agencia un escrito de B.B.B. (en lo sucesivo la denunciante) en el que declara: Dña. “Aunque ha solicita en varias ocasiones a GROUPON SPAIN S.L. la baja de su cuenta así como la recepción de “boletines” por correo electrónico, recibe entre 2 y tres correos diarios de información.” Aporta copia de dos solicitudes de baja de su dirección de correo A.A.A., remitidas por correo electrónico al servicio de atención al cliente de Groupon España con fecha 14 de febrero de 2013 y de la contestación recibida con esa misma fecha desde el citado Servicio de Atención al Cliente en la que le informan de que antes de proceder a dar de baja sus datos, es necesario que tenga en su poder todos los cupones que adquirió con Groupon, ya que si se cancela su cuenta es imposible recuperarlos. No obstante proceden a dar de baja el envío de boletines a los que estaba suscrita en la citada dirección de correo electrónico. Así mismo, le indican que una vez descargados sus cupones envíe su solicitud de cancelación mediante fax con su D.N.I. remitido al número 902*****. Con fecha 7 de marzo de 2013, la denunciante remitió su solicitud de cancelación mediante fax acompañando copia de su documento de identidad al número de teléfono que le indicaban en el correo de 14 de febrero. Adjunta copia del fax remitido al número 902***** y del informe de O.K. de la transmisión. Por otra parte, aporta copia impresa del buzón de su correo A.A.A., donde constan en la bandeja de entrada 29 correos recibidos de Groupon en el periodo comprendido entre el 11 de marzo de 2013 y el 25 de marzo de 2013. Con fecha 11 de junio de 2013, tiene entrada en la Agencia otro escrito de la denunciante con el que remite múltiples correos recibidos en su dirección A.A.A., y remitidos desde info@............., en los meses de marzo, abril, mayo y junio de 2013. La denunciante manifiesta que los documentos que remite son una muestra ya que recibe dos o tres correos diarios desde la citada dirección de Groupon. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad GROUPON SPAIN, SLU (en lo sucesivo GROUPON), teniendo conocimiento de los siguientes extremos, conforme al informe de actuaciones de inspección E/3061/2013 que se transcribe: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 “ACTUACIONES PREVIAS Con fechas 23 de octubre y 12 de noviembre de 2013, GROUPON SPAIN S.L.U. ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. La titular de la dirección de correo electrónico A.A.A., se registró en la página web: www.goupon.es, con fecha 14 de abril de 2010, según consta en la ficha de cliente, cuya copia aportan. 2. No obstante, el acceso a las ofertas diarias de Groupon, no necesita registro, sino simplemente incluir una dirección de correo electrónico y la localidad sobre la que se quieren recibir ofertas de servicios publicadas en Groupon. 3. En el momento en que un usuario quiere realizar una compra efectiva de un cupón (que le permite disfrutar de un servicio prestado por una tercera empresa con un determinado descuento), el usuario debe proceder a su registro, aportando una serie de datos personales, necesarios para cumplir con la prestación solicitada. 4. Con fecha 14 de febrero de 2013, la denunciante procedió a solicitar, mediante un correo electrónico dirigido a Atención al Cliente, la cancelación de su cuenta y la baja en los servicios de Groupon. 5. Ante la citada solicitud, desde el servicio de Atención al Cliente informan a la solicitante de que: a. Antes de proceder a dar de baja sus datos, es necesario que descargue todos los cupones que adquirió con Groupon, ya que una vez cancelada la cuenta es imposible recuperarlos. b. Procede a cancelar en envío de comunicaciones comerciales a su dirección de correo electrónico, con las ofertas diarias de Groupon. c. Cuando haya descargado sus cupones envíe su solicitud de cancelación mediante fax con su D.N.I., según se indica en la “Política de Privacidad” de Groupon. 6. Según manifiestan, desde esa fecha no han recibido ninguna otra solicitud de cancelación de datos de la denunciante. 7. Respecto a los correos recibidos por la denunciante con posterioridad a su solicitud de baja (febrero de 2013): a. En el escrito de fecha de entrada en esta Agencia 23 de octubre de 2013, GROUPON SPAIN S.L.U. solicita que se le remitan copia de las cabeceras de los correos, con objeto de analizarlas, ya que en la consulta realizada en sus sistemas no figura el envío de ningún correo publicitario a la dirección A.A.A., con posterioridad a la fecha de baja. b. Con fecha 25 de octubre de 2013, se remite a GROUPON SPAIN S.L.U. la copia de las cabeceras de algunos de los correos aportados por la denunciante. c. Con fecha 12 de noviembre de 2013, GROUPON SPAIN S.L.U. , una vez analizadas las cabeceras de los correos, confirman que los correos recibidos por la denunciante con posterioridad a febrero de 2013, han sido remitidos por GROUPON, según les confirman desde el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 Departamento correspondiente, no obstante no les han facilitado una explicación sobre este hecho. 8. Sin embargo, con objeto de explicar la circunstancia de por qué meses después de que la denunciante solicitara la cancelación de su cuenta de Groupon mediante la remisión de correo electrónico, manifiestan que, a principios de 2013, Groupon modificó la forma en que los usuarios podían darse de alta/baja con la finalidad de recibir información por correo electrónico con las ofertas diarias realizadas por Groupon. 9. El nuevo sistema automático, consiste en que en el pie de cada correo, a través de un enlace, el usuario puede darse de baja con efecto inmediato de sus suscripciones o bien determinar qué tipo de suscripciones quieren recibir y con qué periodicidad, de esta forma el usuario puede darse de baja y dejar de recibir estos correos en cualquier momento, sin necesidad de aportar ningún dato más, a través del correspondiente enlace. 10. El procedimiento para solicitar la baja, cuando se han realizado transacciones a través de Groupon, es decir, la cancelación de la cuenta, exige por parte del usuario, la solicitud a través de un email de cancelación de datos y el envío de cierta información (DNI) que permita comprobar a la empresa que los datos del solicitante son correctos, evitando, entre otros, la comisión de posibles fraudes en relación con las compras de cupones efectuadas o canjeo de cupones previo a la baja del usuario. 11. Según manifiestan, en este caso, la denunciante procedió a solicitar la cancelación de su cuenta, sin posteriormente atender a la respuesta del departamento de Atención al Cliente de Groupon en el que se solicitaba copia de su documento de identidad y el canje de los cupones pendientes. 12. Por último, manifiestan que Groupon además ha habilitado una “Blacklist”, pudiendo cualquier usuario registrarse en la misma con la finalidad de no recibir comunicaciones comerciales en el futuro. 13. A partir del requerimiento de información recibido de la Agencia, la dirección de correo ....@...., ha sido incluido en la referida lista, con la finalidad de que no le sean enviadas comunicaciones de ningún tipo.” TERCERO: Con fecha 17/03/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GROUPON por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como grave en el artículo 38.4.

1. c)de dicha norma. CUARTO: Notificado el citado Acuerdo de inicio, GROUPON formuló las siguientes alegaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 1. Reconocimiento de la responsabilidad. No se atendió el derecho de oposición al envío de newsletter como consecuencia de un error por lo que reconoce la responsabilidad en los hechos imputados. 2. Tipificación de la infracción conforme al artículo 38.4.
2. h)de la LSSI. 3. Graduación de la sanción en atención a: - Ausencia de intencionalidad. Existencia de procedimientos que permiten al usuario de los servicios de la entidad oponerse a la recepción de comunicaciones. La denunciante no solicitó nuevamente la baja desde cualquiera de las newsletters que continuó recibiendo. - Constatada que la baja en el servicio de newsletter no se había llevado a cabo, se procedió inmediatamente a dar de baja a la denunciante - Ausencia de perjuicios ocasionados a la denunciante. - Ausencia de beneficios obtenidos. QUINTO: En fecha 21/08/2014 se emitió propuesta de resolución en el sentido de imponer a GROUPON una multa de 30.000 € por la infracción del artículo 21.1 de la LSSI, tipificada como grave en el artículo 38.3.
3. c)de dicha norma, de conformidad con los artículos 39.1c), 39 bis y 40 de la citada norma. SEXTO: Notificada la propuesta GROUPON reiteró en síntesis las alegaciones formuladas al acuerdo de inicio del procedimiento sancionador . HECHOS PROBADOS PRIMERO: En fecha 18/04/2010 la denunciante se registro en la página web de GROUPON con la dirección de correo electrónico A.A.A. (folio 93) SEGUNDO: En fecha 14/02/2013 el servicio de atención al cliente de GROUPON recibió solicitud de baja en el servicio de la denunciante remitida a través de su dirección de correo A.A.A.. Ese mismo día GROUPON le respondió informando que antes de proceder a dar de baja sus datos, era necesario que tuviera en su poder todos los cupones que adquirió con GROUPON, ya que si se cancelaba su cuenta era imposible recuperarlos. No obstante procedían a dar de baja el envío de boletines a los que estaba suscrita en la citada dirección de correo electrónico. Así mismo, le indicaban que una vez descargados sus cupones enviara su solicitud de cancelación mediante fax con su D.N.I. remitido al número 902***** (folios 5-7, 16-19, 94) TERCERO: En fecha 07/03/2013 la denunciante remitió su solicitud de cancelación mediante fax acompañando copia de su documento de identidad al número de teléfono que le indicaba GROUPON en el correo electrónico de fecha 14/02/2013. Consta en el expediente copia del fax remitido al número 902***** y del informe de O.K. de la transmisión (folios 3-4). CUARTO: En el buzón del correo electrónico de la denunciante A.A.A., constan en la bandeja de entrada 29 correos electrónicos comerciales recibidos de GROUPON en el periodo comprendido entre el 11 de marzo de 2013 y el 25 de marzo de 2013 (folio 8) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 QUINTO: Consta en el expediente copia de correos electrónicos comerciales (16 en total) remitidos por GROUPON desde info@............. y recibidos en la dirección de correo electrónico de la denunciante A.A.A., en fecha 28/03/2013, 14/04/2013, 02/05/2013, 21/05/2013, 23/05/2013, 24/05/2013, 25/05/2013, 26/05/2013, 27/05/2013, 28/05/2013, 29/05/2013, 30/05/2013 (2 correos), y 03/06/2013 (3 correos) (folios 20-69) SEXTO: Tras recibir comunicación de la Agencia el 29/10/2013 GROUPON ha incluido la dirección de correo electrónico de la denunciante A.A.A. en una ·”Backlist” habilitada para que no le sean enviadas comunicaciones de ningún tipo (folios 123-124) FUNDAMENTOS DE DERECHO I La competencia para sancionar por la comisión de las infracciones tipificadas en el artículo 38.4.
4. d)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II En primer lugar, debemos indicar que durante la tramitación del procedimiento se ha promulgado la Ley 9/2014 de 9 de mayo de Telecomunicaciones, cuya Disposición Final Segunda introduce importantes modificaciones en la Ley 34/2002 de 11 de julio de Servicios de la Sociedad de la Información y de Comercio Electrónico, las cuales, tal y como se expone más adelante, han sido tenidas en cuenta en virtud de la aplicación del principio de retroactividad de la norma sancionadora más favorable. En este sentido, el segundo párrafo del artículo 43.1 de la LSSI en su redacción conferida por la Ley 9/2014 establece que “igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3.c),
5. d)e
6. i)y 38.4.d),
7. g)y
8. h)de esta Ley”; otorgando por tanto a la Agencia Española de Protección de Datos la facultad para imponer sanciones por la comisión de la infracción del artículo 21 de la citada Ley. III A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, modificado por el Real Decreto-Ley 13/2012, de 30 de marzo, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI, también en la redacción dada por el citado Real Decreto-Ley 13/2012, de 30 de marzo, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección . Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. A su vez, el apartado
9. d)del anexo de la LSSI define al “Destinatario del servicio” o ”destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información.”. De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. La Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), modificada por la Directiva 2009/136/CE del Parlamento Europeo y del Consejo, de 25 de noviembre, introdujo en el conjunto de la Unión Europea el principio de “opt in”, es decir, la necesidad de contar con el consentimiento previo del destinatario para el envío de comunicaciones electrónicas con fines comerciales. De este modo, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
10. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
11. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. IV Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
12. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
13. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
14. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales. ” (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
15. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. V En el presente supuesto, ha quedado acreditado que en fecha 14/02/2013 la denunciante solicitó la baja en los servicios de GROUPON, así como que la entidad le respondió que desde dicha fecha se procedía a su baja en los boletines (newsletter) a los que estaba suscrita en su dirección de correo electrónico A.A.A.. GROUPON le requería para su baja el envío de una solicitud por fax al número 902***** con copia de su DNI requisito que la denunciante cumplió el 07/03/2013 (ver folios 3-7). No obstante lo anterior GROUPON remitió, entre el 11/03/2013 y el 03/06/2013, 45 correos electrónicos comerciales a la dirección de correo electrónico de la denunciante A.A.A. desde la cuenta info@............., y ello a pesar de que, como se ha indicado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 anteriormente, con fecha 14/02/2013 le había confirmado la cancelación del envío de boletines (newsletter) a dicha dirección de correo electrónico. Por lo tanto, los 45 mensajes comerciales denunciados que se remitieron desde la dirección de correo de la que es usuaria la entidad imputada a la dirección de correo electrónico del denunciante no contaban con el consentimiento previo y expreso de la misma, toda vez que se enviaron no sólo con posterioridad a que la denunciante hubiera solicitado la baja y por tanto manifestado su oposición a la recepción de nuevos envíos publicitarios, sino que su remisión se llevó a cabo una vez confirmada por dicha entidad la baja en el envío de tales comunicaciones comerciales (newsletter). Por ello, los 45 correos electrónicos comerciales enviados por GROPUPON a la dirección de correo electrónico de la denunciante con posterioridad al 14/02/2013 incumplían la prohibición de remitir comunicaciones comerciales no autorizadas o solicitadas establecida en el artículo 21.1 de la LSSI, ya que se trataba de envíos publicitarios no consentidos por su destinatario, quien había manifestado a GROUPON, al solicitar su baja, su voluntad de no continuar recibiendo publicidad por medios de comunicación electrónica, circunstancia, a su vez, perfectamente conocida la citada entidad remitente de los correos comerciales denunciados, que así había informado a la denunciante de la baja en el envío de tales comunicaciones a su dirección de correo electrónico. VI GROUPON manifiesta la ausencia de intencionalidad y de culpabilidad en su conducta, aduciendo que la remisión de comunicaciones comerciales con posterioridad a la solicitud de baja de la denunciante se debió a un error. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
16. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En este orden de ideas si bien, en el presente caso, no puede acreditarse una conducta dolosa por parte de la entidad imputada, sin embargo, si se aprecia la existencia de responsabilidad en la comisión de la infracción imputada a título de culpa, ya que GROPUPON no mostró, con anterioridad a la realización de los envíos no consentidos objeto de denuncia, la diligencia y el deber de cuidado que le eran exigibles para asegurarse, en tanto que empresa habituada al envío de comunicaciones comerciales por medios de comunicación electrónica a sus clientes, que dichos correos publicitarios cumplían con las exigencias derivadas del artículo 21.1 de la LSSI de tal modo que respondieran a una solicitud previa o estuvieran expresamente autorizados por el destinatario del mismo. De este modo, no consta que con anterioridad a los hechos que nos ocupan GROUPON hubiera adoptado alguna medida o cautela dirigida a constatar el correcto funcionamiento de la herramienta de bajas en todas sus fases, de tal modo que el proceso iniciado con la confirmación al cliente o usuario de la solicitud de baja (en este caso en el envío de newsletter) finalizase con la actualización en sus sistemas de la orden correspondiente y el cese de los correos publicitarios por medios electrónicos a los destinatarios que se habían opuesto a recibir información comercial, tal y como ocurría en el caso del denunciante. No hay que olvidar el deber de cuidado que le resultaba exigible a GROUPON a fin de constatar el correcto funcionamiento de la herramienta de gestión de bajas, y que incluye la implantación de procedimientos de control eficaces en evitación de situaciones como la que nos ocupa. Por todo lo cual, la AEPD considera que a la entidad imputada le era exigible otra conducta diferente de la que observó, habida cuenta que no adoptó todas las precauciones necesarias en orden a asegurarse que los procedimientos instaurados para tramitar las bajas funcionaban correcta y efectivamente, considerándose que el argumento de la buena fe resulta insuficiente en atención a la diligencia que le resulta exigible como empresa habituada a la remisión de envíos publicitarios por medios de comunicación electrónica, debiendo, por tanto, velar por el cumplimiento de los derechos de los destinatarios de tales mensajes recogidos en la LSSI, causa por la que debió actuar con más prudencia para justificar la legalidad de su conducta. VII Conforme al artículo 9.3 de la Constitución Española, “La Constitución garantiza (…) la irretroactividad de las disposiciones sancionadoras no favorables o restrictivas de derechos individuales”. Y en este sentido constante jurisprudencia ha mantenido el principio de retroactividad de la ley sancionadora más favorable. Destacamos así la Sentencia del Tribunal Constitucional 131/1986 de 29 de octubre que señala refiriéndose al principio de retroactividad de la ley penal más favorable “es que, además, dicho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 principio supone la aplicación íntegra de la ley más beneficiosa, incluidas aquellas de sus normas parciales que puedan resultar perjudiciales en relación con la ley anterior, que se desplaza en virtud de dicho principio, siempre que el resultado final, como es obvio, suponga beneficio para el reo, ya que en otro caso la ley nueva carecería de esa condición de más beneficiosa que justifica su aplicación retroactiva”. Y en este sentido el artículo 128.2 de la ley 30/1992, de 28 de noviembre, dispone: “Las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”, dado que, como señala el apartado 17 de su Exposición de motivos, es objeto de la misma la aplicación de "los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia". En consecuencia, en aplicación del anterior criterio jurisprudencial procede aplicar de forma retroactiva el régimen sancionador de la LSSI introducido por la modificación operada en dicha norma por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, de Telecomunicaciones, al resultar éste en su conjunto más favorable que el vigente en el momento de la comisión de los hechos objeto de imputación. De acuerdo con lo establecido en los apartados 3.
17. c)y 4.
18. d)del artículo 38 de la LSSI actualmente en vigor, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
19. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
20. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del art. 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo a diferentes destinatarios, o insistente o sistemático a un mismo destinatario, de comunicaciones comerciales no solicitadas, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción tipificable como grave a los efectos de la LSSI. No cabe apreciar la existencia de infracción leve del artículo 38.4.
21. h)por cuanto la conducta típica se concreta en el envío de comunicaciones comerciales no consentidas o solicitadas que no cumplan con el requisito de contener un procedimiento para la baja en los envíos. A la vista de los hechos que han resultado acreditados en la instrucción del procedimiento sancionador, el presente supuesto se ajusta al tipo de infracción establecido en el artículo 38.3.
22. c)de la LSSI, calificado como infracción grave, al tratarse del envío por parte de GROUPON a la denunciante de 45 comunicaciones comerciales entre el 11/03/2013 y 03/06/2013, sin cumplir los requisitos recogidos en el artículo 21.1 de la LSSI, toda vez que dichas comunicaciones no habían sido solicitadas o expresamente autorizadas por la denunciante con posterioridad a haber manifestado a dicha empresa, su voluntad de ser dado de baja en sus ficheros y no continuar recibiendo publicidad por correo electrónico, circunstancia, además conocida por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 empresa remitente de la información comercial. En conclusión, GROUPON ha vulnerado la prohibición de remitir comunicaciones comerciales no solicitadas realizadas a través de correo electrónico establecida en el artículo 21.1 de la LSSI, conducta que, en el caso analizado, encuentra su tipificación en el artículo 38.3.
23. c)de dicha norma. VIII El artículo 39.1.de la LSSI establece: “1. Por la comisión de las infracciones recogidas en el artículo anterior, se impondrán las siguientes sanciones: ...
24. b)Por la comisión de infracciones graves, multa de 30.001 hasta 150.000 euros.
25. c)Por la comisión de infracciones leves, multa de hasta 30.000 euros.” En este supuesto, y también en aplicación del principio de retroactividad de la norma más favorable recogido en el artículo 128.2 de la Ley 30/1992, de 28 de noviembre, a los efectos de acordar la propuesta de resolución procedente debe tenerse en cuenta lo previsto para la moderación de las sanciones en el artículo 39.bis añadido a raíz de la modificación operada en la LSSI, el cual dispone lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
26. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
27. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
28. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
29. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
30. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. Los criterios de graduación de las sanciones se establecen en el artículo 40 de la misma norma, cuyo tenor literal es el siguiente: “Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
31. a)La existencia de intencionalidad.
32. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14
33. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
34. d)La naturaleza y cuantía de los perjuicios causados.
35. e)Los beneficios obtenidos por la infracción.
36. f)Volumen de facturación a que afecte la infracción cometida.
37. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” A la vista de lo previsto en el apartado segundo del artículo 39.bis.1.d), habiendo reconocido GROUPON la responsabilidad en los hechos imputados, procede la imposición de una sanción en la cuantía fijada por la norma para las infracciones leves. En aplicación los criterios de graduación de las sanciones recogidos en el citado artículo 40 de la LSSI, se estima que en este supuesto opera como agravante el hecho de que la entidad imputada envió un elevado número de correos electrónicos comerciales