PS-00163-2017

1/14 Procedimiento Nº PS/00163/2017 RESOLUCIÓN: R/01491/2017 En el procedimiento sancionador PS/00163/2017, instruido por la Agencia Española de Protección de Datos vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 5 de abril de 2016 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: Estar recibiendo frecuentes mensajes de correo electrónico con contenido comercial no deseado. Los distintos dominios están registrados por Telpaol, Ltda la cual a su vez es la empresa registrante del dominio puntoclick.net, que aparece como empresa diseñadora de las páginas web de estas empresas. Se ha dirigido a Telpaol en varias ocasiones pidiendo que dejen de remitirle correos comerciales pero siguen enviándolos. En una ocasión le contestaron diciendo que se diera de baja en el enlace que hay al final de los mensajes, pero como los envíos son continuos y siempre proceden de dominios diferentes con enlaces de baja diferentes les pidió que fueran ellos quienes directamente le eliminaran de sus listas de correo, petición que no ha sido atendida. Mediante escrito con entrada de fecha 13/12/2016 remite el denunciante una nueva denuncia en que presentaba nuevos correos electrónicos, fruto de la cual se abrieron nuevas actuaciones de referencia E/01147/2017. En fecha 21/3/2016 dichas actuaciones se acumularon a las presentes. En varias aportaciones documentales, el denunciante ha proporcionado un total de 27 correos electrónicos, emitidos desde el 29/12/2015 al 4/12/2016, así como las solicitudes de cese de envíos realizadas. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practicaron diligencias de inspección, teniendo conocimiento de que: 1 Remitida solicitud de información a la Autoridad de Protección de Datos de Colombia, esta informa que la entidad Tepaol Ltda., figura en liquidación desde el 12/7/2015 e inscrita en la Cámara de Comercio con dirección en (C/...1), ***CIUDAD.2 (Colombia). Aporta el denunciante un total de 27 correos electrónicos, emitidos desde el 29/12/2015 al 4/12/2016, siendo emitidos cada uno de ellos aparentemente desde una cuenta distinta. Sin embargo, se comprueba que los distintos correos electrónicos han sido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 emitidos desde la IP ***IP.1, que está localizada en Francia, y está asignada a OVH SAS, que la utiliza para el hosting de servidores dedicados. En el Anexo 1 incorporado al expediente se adjunta tabla en que se resume la información técnica básica de los distintos correos. En el mismo se incluyen la fecha y hora de la emisión, el origen aparente del correo (From), el origen real del correo (XEnvelope-From), el asunto, la dirección a la que solicitar la baja y la dirección IP de origen. Las direcciones de correo electrónico aparente de origen son diferentes en la mayor parte de las ocasiones, incluso de diferente dominio, sin embargo las direcciones de origen real son cuentas de los dominios grucoex.com, news-email.es y agencias-depublicidad.es. 2 Respecto de los orígenes aparentes de los correos, en el registro de dominios español aparecen registrados: El dominio clasesdeyogaymeditacion.es, cuyo titular es Telpaol, ltda, registrado a través de OVH HISPANO figurando como contacto B.B.B., (atencioncliente1@.....). En el registro de dominios figuran repuestos-electrodomesticos.net, fotos‐taurinas.es, ferreterias-online.es, reparacioondeimpresora.es, clasesdeyogaymeditacion.es, camino‐desantiago.es, limpiezasysuministros.es, cursos‐online‐gratis.es, entrenadoresdefutbol.es, newslettertopmedical.es, bicicletas‐electricas.net, jubilacionpensiones.es y descarbonizarmotor.es, moda-deportiva.es, basesdedatosemail.net, alquilerposicionamientoseo.es, adhesivosypegatinas.es, jugartute.es, barrilesytoneles.info, matarplagas.es, hechosamano.info y webstorm.es figuran en todos ellos como titular Telpaol, Ltda, figurando como contacto B.B.B., (atencioncliente1@.....). La entidad Tepaol Ltda figura en las diversas consultas realizadas al registro de dominios como domiciliada en Colombia. Intentado el acceso a los servicios webs de los dominios citados, se observa que en la mayor parte de ellos aparece una página en la que se informa que el diseño ha sido realizado por Puntoclick, dando un enlace a la web puntoclick.net. 3. Respecto del origen real de los correos electrónicos, figuran registrados: 3.1 Los dominios news-email.es, agencias‐de‐publicidad.es figuran todos ellos registrados a nombre de Telpaol, Ltda, figurando como contacto B.B.B. y correo electrónico de contacto atencioncliente1@...... 3.2 El dominio grucoex.com figura registrado a nombre de Telpaol, Ltda, siendo registrado a través de OVH SAS, figurando como contacto B.B.B.. 4 Respecto a la web puntoclick.net se ha podido comprobar que: 4.1 Figura registrada a nombre de B.B.B., con dirección de Francia, apareciendo como entidad registradora OVH, SAS, teniendo como contacto administrativo y técnico Telpaol, Ltda. A través del acceso a dicha web se comprueba que ofrece dos oficinas de contacto, Punto Click en España, (C/...2) Alicante, correo electrónico de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 contacto ....@puntoclick.net, y Punto Click en Colombia, ofreciendo una dirección en ***CIUDAD.2. 4.2 Entre los servicios ofertados aparecen los de mail marketing para empresas. Se ha podido comprobar que: La web basesdedatosemail.net es otra de las producidas por puntoclick.net. En ella se oferta a la venta una base de datos de 450.000 empresas y 1.440.000 direcciones de correo electrónico únicas. Esta web también aparece registrada por Telpaol, ltda. 4.3 Para el pago se facilita la cuenta bancaria ***CTA.1. 5. Solicitada información a OHV HISPANO relativa a la titularidad de los dominios Repuestoselectrodomesticos.net, Grucoex.com, Ferreteriasonline.es. News-email.es, jubilacion-pensiones.es, Puntomailing.com, Puntoclick.info, basesdedatosemail.net, descarbonizarmotor.es, Puntoclick.net informa que todos ellos son de titularidad de: Nombre: A.A.A. Apellidos: A.A.A. Empresa: Telpaol, ltda Dirección: (C/...1) Código Postal: ***CP.1 Ciudad: ***CIUDAD.1 País: Colombia Teléfono: +***TEL.1 Email: atencioncliente1@..... TVA: ****1 5.1 Se observa que los pagos han sido realizados mediante tarjeta de crédito a través de Internet, la mayoría realizados desde la IP ***IP.1, si bien constan pagos realizados por el registro de los dominios puntoclick.net y puntoclick.info desde las IP’s ***IP.2, ***IP.3 y ***IP.4, todas ellas asignadas a TELEFONICA DE ESPAÑA S.A.U. 6. Solicitada información a LA CAIXA respecto de la cuenta ***CTA.1 informa la entidad que como titular de dicha cuenta aparece D. B.B.B. con DNI ***DNI.1 y domicilio en (C/...3) Alicante, teléfono ***TEL.2. El titular de la cuenta dispone del servicio de banca electrónica, constando el último acceso en fecha 25/9/2016. 7. Solicitada información a ORANGE ESPAGNE, S.A.U. respecto al titular de la línea ***TEL.2 la entidad informa que dicha línea figura activa y asignada a C.C.C.. 8. En fecha 15/6/2016 se remitió correo electrónico a la dirección atencioncliente1@..... solicitando información. El mismo día fue respondido dicho correo electrónico informando los datos de la entidad: Tepaol Ltda., con dirección en (C/...1), ***CIUDAD.2 (Colombia). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 9. Solicitada información a Organització Difasa S.A., que aparece como empresa beneficiaria de la web adhesivosypegatinas.es aporta copia de dos facturas emitidas en fecha 16/3/2016 y 1/7/2016 y el que aparecen emitidas a dicha entidad por Tepaol, Ltda., con NIF B****1, con web www.webstorm.es teléfono de contacto ***TEL.3 y la cuenta de domiciliación de pagos en la Caixa, coincidente con la anteriormente citada. 10. Con fecha 26/9/2016 se remitió correo electrónico solicitando información a la dirección ....@puntoclick.net recibiendo respuesta en esa misma fecha informando los datos de la entidad: Tepaol Ltda., con dirección en (C/...1), ***CIUDAD.2 (Colombia) y que no tienen delegación en España. 11. En fecha 13/1/2017 fue remitido requerimiento de información a B.B.B. en C/ (C/...3) Alicante. El servicio de Correos realizó dos intentos de entrega en fechas 19 y 24/1/2017, dejando aviso en el buzón. En fecha 2/2/2016 fue devuelta la carta por no haber sido retirada de la oficina de Correos. 11.1 En fecha 9/2/2017 el Ayuntamiento de Alicante informa que B.B.B. se encuentra empadronado en dicha localidad, con domicilio en (C/...4) Alicante. 11.2 En fecha 10/2/2017 fue remitido requerimiento de información a B.B.B. en (C/...4) Alicante. Dicho requerimiento fue recogido en fecha 13/2/2017 por ***NOMBRE.1 A.A.A., (nótese la coincidencia de apellidos) sin embargo no ha sido respondido hasta la fecha. 11.3 En fecha 16/2/2017 fue remitido requerimiento de información a B.B.B. en C/ (C/...3) Alicante. El servicio de Correos realizó intento de entrega en fechas 23 y 28/2/2017, dejando aviso en el buzón, resultando devuelta la carta en fecha 9/3/2017por no ser retirada de la oficina de Correos. 12. Mediante diligencia de fecha 17/2/2017 se realizaron diversas consultas a través de Internet según las cuales el domicilio de Tepaol, Ltda en España está ubicado en (C/...2) (Alicante). 12.1 Mediante escrito de fecha 23/2/2016 se remitió requerimiento de información a Tepaol, Ltda en el domicilio (C/...2) (Alicante). La carta ha resultado devuelta por el servicio de Correos como “Desconocido”. TERCERO: Con fecha 31/03/2017 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a B.B.B. con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 21, de la LSSI, tipificada como grave en el artículo 38.3

1. c)de la citada Ley. CUARTO: En el Acuerdo de Inicio de 31/03/2017 se hacía constar lo siguiente (…) 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por el denunciante y su documentación; los documentos obtenidos y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
2. b)de la ley 39/2015, de 1 de octubre y art. 127 letra
3. b)del RLOPD, la sanción que pudiera corresponde sería de 30.001 euros, sin perjuicio de lo que resulte de la instrucción.(…) QUINTO: En fechas de 4/04/2017 y 11/04/2017, se intentó a través de la Sociedad Estatal de Correos y Telégrafos, la notificación del citado Acuerdo de Iniciación, en el domicilio que consta en el Padrón Municipal de Habitantes del Municipio de Alicante a nombre del denunciado, sito en (C/...4) Alicante, que es también la dirección dónde se ha recogido la comunicación envida durante las Actuaciones Previas de Inspección en fecha de 13/02/2017. • En fecha de 20 de abril de 2017 el anuncio del Acuerdo de Inicio se publicó en el B.O.E núm. 94; Supl. N. Pág. 1. • SEXTO: En fecha de 17/04/2017 tiene entrada en esta Agencia un escrito de ampliación de denuncia en el que se aportan nuevas comunicaciones comerciales enviadas por correo electrónico al denunciante desde el dominio alquilerposicionamientoseo.es en fechas de 30/12/2016, 15/01/2017, 03/02/2017, 17/02/2017 y 30/03/2017. SEPTIMO: En fecha de 26/05/2017, por el Instructor del Procedimiento se incorporó como prueba documental el escrito del denunciante de fecha 17/04/2017 y la documentación adjunta. OCTAVO: Tal como se advertía en el citado acuerdo de inicio, de conformidad con los artículos 64.2.
4. f)y 85 de la ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP en adelante), de no efectuar alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. NOVENO: De las actuaciones practicadas en el presente procedimiento han quedado acreditados los siguientes HECHOS PROBADOS UNO.- Entre las fechas de 29/12/2015 y 30/03/2017 el denunciante recibe en su cuenta de correo electrónico un total de 32 comunicaciones comerciales remitidos desde distintos dominios con la IP origen: IP ***IP.1, y asignada a la compañía OVH SAS, reservada para el hosting de servidores dedicados. En fechas de 12/01/2016 y 11/03/2016 el denunciante envió solicitudes de baja a la dirección establecida al efecto en las comunicaciones recibidas. DOS.- Del análisis de la información técnica de las cabeceras de los correos se ha verificado que la informacion que muestra el origen aparente del correo ( From) y el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 origen real del correo ( X-Envelope-From) son distintas, siendo de cuentas cuyos dominios han sido registrado por Telpaol Ltda., figurando como contacto B.B.B.. TRES.- Intentado el acceso a los servicios webs de los dominios citados, se observa que en la mayor parte de ellos aparece una página en la que se informa que el diseño ha sido realizado por Puntoclick, dando un enlace a la web puntoclick.net. CUATRO.-En relación a a la web puntoclick.net se verificado que figura registrada a nombre de B.B.B., apareciendo como entidad registradora OVH, SAS, teniendo como contacto administrativo y técnico Telpaol, Ltda. CINCO.- Entre los servicios ofertados aparecen los de mail marketing para empresas. Se ha podido comprobar que la web basesdedatosemail.net es otra de las producidas por puntoclick.net. En ella se oferta a la venta una base de datos de 450.000 empresas y 1.440.000 direcciones de correo electrónico únicas. Esta web también aparece registrada por Telpaol, ltda y para el pago se facilita la cuenta bancaria ***CTA.1 cuyo titular es B.B.B.. SEIS.- Solicitada información a OHV HISPANO relativa a la titularidad de los dominios Repuestoselectrodomesticos.net, Grucoex.com, Ferreteriasonline.es. News-email.es, jubilacion-pensiones.es, Puntomailing.com, Puntoclick.info, basesdedatosemail.net, descarbonizarmotor.es, Puntoclick.net informa que todos ellos son de titularidad de B.B.B., figurando como email de contacto la dirección atencioncliente1@..... SIETE.- En fechas de 15/06/2016 y 26/09/2016 se remitieron correos electrónicos a las direcciones atencionalcliente1@hotmail.com y ....@puntoclick.net solicitando información por parte del inspector actuante, siendo respondidos e informando de los datos de la entidad: Tepaol Ltda., con domicilio en (C/...1), ***CIUDAD.2 (Colombia). OCHO.- Solicitada información a la Autoridad de Protección de Datos de Colombia, esta informa que la entidad Tepaol Ltda., figura en liquidación desde el 12/7/2015 e inscrita en la Cámara de Comercio con dirección en (C/...1), ***CIUDAD.2 (Colombia), esta dirección coincide con la que informan las direcciones de correo titularidad que aporta el denunciando como contacto. FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
5. d)e
6. i)y 38.4 d),
7. g)y
8. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 II Dispone el artículo 41.4 de la ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Públicas (…)En los procedimientos iniciados de oficio, a los solos efectos de su iniciación, las Administraciones Públicas podrán recabar, mediante consulta a las bases de datos del Instituto Nacional de Estadística, los datos sobre el domicilio del interesado recogidos en el Padrón Municipal, remitidos por las Entidades Locales en aplicación de lo previsto en la Ley 7/1985, de 2 de abril, reguladora de las Bases del Régimen Local. (…) Dispone el artículo 44 de la ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Públicas, bajo la rúbrica “Notificacion Infructuosa” lo siguiente (…) Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o bien, intentada ésta, no se hubiese podido practicar, la notificación se hará por medio de un anuncio publicado en el «Boletín Oficial del Estado (…) Dispone el artículo 64.2
9. f)de la ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Públicas, lo siguiente (…) en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.(…). En el presente caso se enviaron las notificaciones a la dirección que figura en el Padrón Municipal de Habitantes, dónde consta que tiene el domicilio el denunciado y dónde se recogió la notificación de fecha 13/02/2017 practicada durante las actuaciones previas de inspección. De acuerdo con lo expuesto en los antecedentes Quinto, Sexto y Octavo, debe tenerse en cuenta el Acuerdo de Inicio fue considerado Propuesta de Resolución, procediendo elevar a la Directora de la Agencia Española de Protección de Datos las actuaciones para su resolución. III Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. La LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
10. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
11. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. IV Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
12. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. El concepto de comunicación comercial, de acuerdo con la definición recogida en el Anexo f), párrafo primero de la LSSI, engloba todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. Por otro lado, la LSSI en su Anexo
13. a)define “Servicio de la Sociedad de la Información” como “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios”. Añade el referido apartado que el envío de comunicaciones comerciales es un servicio de la sociedad de la información, siempre que represente una actividad económica. Según el apartado
14. d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
15. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV En el presente caso se imputa a B.B.B., la infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), según el cual 1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.”, en la medida en que el denunciante niega haber prestado su autorización previa y expresa, y cualquier tipo de relación previa y manifiesta haber solicitado el cese de envíos y a pesar de ello se ha acreditado la recepción de correos electrónicos comerciales hasta la fecha de 30/03/2017 remitidos desde cuentas de correo cuyos dominios y servicios ofrecidos en los mismos, están directamente vinculados con B.B.B. siendo responsable de los mismos. Por ello ha de entenderse probada la conducta tipificada como grave en el artículo 38.3 c), que considera como tal, envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 V El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos) La definición de prestador del servicio se contiene en el apartado
16. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. En este caso ha de considerarse como tal a B.B.B. al resultar probada su relación con los envíos de correo electrónico comerciales recibidos por el denunciante. VI De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
17. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
18. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b), se producirá una infracción de carácter grave a los efectos de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 El presente supuesto se ajusta al tipo de infracción establecido en el artículo 38.3
19. c)de la LSSI, calificado como infracción grave, al tratarse de 37 comunicaciones comerciales al mismo destinatario, existiendo la previa oposición en dos ocasiones y produciéndose los envíos, en un periodo de tiempo que comienza, al menos en fecha de 29/12/2015 y se tiene constancia de la continuidad de la conducta típica y antijurídica al menos hasta la fecha de 30/03/2017, incluso iniciado el procedimiento sancionador. VII Según establece el art. 39.1, apartados
20. b)y c), de la LSSI, las infracciones graves podrán ser sancionadas con multa de 30.001 hasta 150.000 € y las leves, con multa de hasta 30.000 €, fijando los criterios para su graduación los artículos 39 bis y 40 de la misma norma Señala el Artículo 40 de la LSSI bajo la rúbrica “Graduación de la cuantía de las sanciones” lo siguiente: La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
21. a)La existencia de intencionalidad.
22. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
23. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
24. d)La naturaleza y cuantía de los perjuicios causados.
25. e)Los beneficios obtenidos por la infracción.
26. f)Volumen de facturación a que afecte la infracción cometida.
27. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. Tras las evidencias obtenidas en la fase de investigaciones previas, y durante la instrucción del procedimiento, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 40 de la LSSI: Los previstos en los apartado
28. a)la existencia de intencionalidad, las comunicaciones comerciales son enviadas por el emisor voluntariamente sin que conste que se haya atendido las reiteradas solicitudes de baja del denunciante, ni tampoco haber obtenido la autorización previa y expresa o se de alguna circunstancia que permita la dispensa de dicha autorización; y en el apartado
29. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción, se acredita la realización de envíos desde el día 29/12/2015 hasta el día 30/03/2017; de acuerdo con los criterios citados procede determinar el importe de la sanción en la cuantía de 30.001 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad B.B.B., por una infracción del artículo 21.1 de la LSSI, tipificada como grave en el artículo 38.3
30. c)de la LSSI, una multa de 30.001 € ( treinta mil un euro), de conformidad con lo establecido en el artículo 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
31. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es