PS-00176-2016

1/18 Procedimiento Nº PS/00176/2016 RESOLUCIÓN: R/02119/2016 En el procedimiento sancionador PS/00176/2016, instruido por la Agencia Española de Protección de Datos a la entidad AUTOPRIN, S.A., vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 30 de noviembre de 2015, tuvo entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por Don A.A.A., en adelante el denunciante, en la que manifiesta lo siguiente: 1. El 14 de febrero de 2015 recibió un correo electrónico con información comercial de AUTOPRIN, S.A., en adelante AUTOPRIN, un concesionario de Opel en Gijón. 2. El 15 de febrero de 2015 informó al gerente de la entidad, que consta en Internet ( B.B.B.), que no deseaba seguir recibiendo comunicaciones comerciales y solicitó el borrado de sus datos de sus ficheros. 3. Como el 19 de abril de 2015 vuelve a recibir información comercial no deseada, el 29 de abril reitera su solicitud remitiéndola al gerente y a la dirección de origen de las comunicaciones comerciales. En este envío adjunta también la solicitud previa. 4. El 17 de noviembre de 2015 vuelve a recibir una nueva comunicación comercial. El denunciante adjunta captura de pantalla de los mensajes publicitarios recibidos los días 15 de febrero, 19 de abril y 17 y 18 de noviembre de 2015 y copia de las solicitudes de baja remitidas. Como respuesta a la solicitud de subsanación remitida por esta Agencia, con fecha de 30 de diciembre de 2015, tiene entrada en esta Agencia un escrito del denunciante en el que aporta las cabeceras completas de los correos electrónicos recibidos el 19 de abril y 17 de noviembre de 2015, así como de los correos enviados por él mismo solicitando el cese de los envíos y la baja de sus datos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia han tenido conocimiento de los siguientes extremos: 1. El denunciante ha acreditado la recepción con fechas 19 de abril de 2015 y 17 de noviembre de 2015 en su cuenta de correo G.G.G. de dos correos electrónicos remitidos desde la cuenta comercial@ B.B.B., con dirección IP de origen I.I.I.. Los correos electrónicos contenían información comercial referente a servicios y productos de la marca de automóviles OPEL. 2. La dirección IP I.I.I. es una de las direcciones que el prestador de servicios de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 alojamiento y comunicaciones CDS EMEA LTD, con sede en el Reino Unido, utiliza para prestar servicios a sus clientes. 3. El dominio B.B.B. está registrado a nombre de AUTOPRIN. 4. En respuesta a las solicitudes de información realizadas desde la Subdirección General de Inspección de Datos, los representantes de AUTOPRIN remiten un escrito y dos correos electrónicos en los que manifiestan, en referencia al envío de los correos electrónicos en cuestión, lo siguiente: 4.1. El denunciante adquirió un vehículo en el concesionario el 27 de febrero de 2009. Como prueba de la venta se aporta impresión parcial del listado de ventas de vehículos. 4.2. En aquel momento no se solicitaba la dirección de correo electrónico de los clientes. Dicho dato se obtuvo el 3 de octubre de 2013. La entidad aporta copia de una factura por unos servicios de mecánica en cuyo dorso consta la información prevista en el artículo 5 de la LOPD y la hoja de recepción del vehículo en la que figura la dirección de correo electrónico G.G.G.. 4.3. Los correos disponen de un enlace de baja. Aportan copia de un correo electrónico de otra concesión recibido en su concesionario. 4.4. La entidad reconoce que el denunciante se dirigió en dos ocasiones al departamento comercial para solicitar la baja de sus datos y que dicha petición fue trasladada al servicio postventa. La entidad manifiesta que tras la segunda petición, con fecha 29 de abril de 2015, se dio de baja el vehículo en el departamento postventa con el fin de que no volviera a recibir comunicaciones comerciales. Aporta impresión de pantalla de los sistemas de información de la entidad en los que el registro del denunciante tiene una marca en la casilla “E-mail no disponible” y de una lista de movimientos asociados al registro del denunciante en el que el último de ellos, del 29 de abril de 2015, figura como baja. En el sistema consta asimismo una pestaña denominada “LOPD” en la que los datos del denunciante aparecen marcados de forma que no puedan ser tratados por ni cedidos a ninguna empresa del grupo. 4.5. En relación a los envíos realizados con posteridad al 29 de abril de 2015, la entidad manifiesta que se tratan de campañas de ámbito nacional en las que “… el procedimiento a seguir es cargar la relación de clientes en una plataforma desde la cual se envían a los mensajes a los clientes personalizados con los datos de cada concesionario, pero con un mensaje único a nivel nacional.”. (…) Indica que se realizaron tres acciones de este tipo en 2015, una en febrero, otra en octubre y otra doble en noviembre, cargando la entidad en la plataforma en cada ocasión la lista de clientes que debían de recibir la acción publicitaria, añadiendo que: “En el mes de Octubre se realizó una nueva acción informativa referente al equipo de Rally, por lo que se volcó una nueva relación de clientes, y por la información que nos ha enviado el cliente afectado, no recibió este nuevo correo. En la circulación de Noviembre, no tengo una explicación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 porqué ha vuelto a aparecer el mencionado cliente en la relación, más allá de que por error debimos volcar la relación de clientes utilizada en el mes de Febrero, pensando que era la que habíamos obtenido en el mes de Octubre, ya que el cliente estaba catalogado como cliente que no quería recibir información comercial y dado de baja en las acciones de postventa.” 4.6. Se trata del primer caso que de este tipo que les ocurre, habiendo tomado nota para mejorar el proceso interno. TERCERO: Con fecha 14 de abril de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a AUTOPRIN, S.A., por la presunta infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 38.4.

1. d)de dicha norma, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1.
2. c)de la LSSI. CUARTO: Notificado el citado Acuerdo de inicio, AUTOPRIN, S.A., presentó alegaciones en las que señaló lo siguiente: los hechos que sustentan el acuerdo de inicio en modo alguno pueden constituir infracción de lo dispuesto en el artículo 21.1 de la LSSI. El denunciante autorizó expresamente el envío de comunicaciones publicitarias por correo electrónico, ya que adquirió un vehículo previamente y fue informado de lo establecido en el artículo 5 de la LOPD. El denunciante solicitó la baja en dos ocasiones dirigiéndose, en primer lugar, a la dirección B.B.B. y, posteriormente, a la dirección comercial@ B.B.B., en lugar de darse de baja en el enlace que existe en todos los correos que se envían. No obstante, se le dio de baja, en vez de hacerlo de forma automática tuvo que pasar por varios departamentos. Desde que se dio de baja recibió un único correo, el día 17 de noviembre de 2015, desde la dirección IP con sede en Reino Unido, por lo que se produjo un error de la marca y no del concesionario, ya que se trata de campañas nacionales, que siguen el procedimiento de cargar la relación de clientes a principios de cada año. Queda de manifiesto que se trata de un error aislado y puntual. Insisten en que es un mero error involuntario imputable a la marca cuya concesión explota, y también imputable al denunciante que no solicitó la baja del servicio por el cauce establecido en el propio correo electrónico recibido. No ha habido voluntariedad, ni mala fe ni ánimo de enriquecerse; tampoco se ha causado ningún perjuicio o daño al denunciante. A pesar de no aceptar la infracción imputada, en caso de imponerse una sanción por los hechos denunciados, ésta deberá ser simbólica. QUINTO: En fecha 10 de mayo de 2016, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, en el que se acordó practicar las siguientes pruebas: 1. Dar por reproducidos a efectos probatorios la denuncia interpuesta por Don A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante AUTOPRIN, S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/07799/2015. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 2. Dar por reproducidas, a efectos probatorios, las alegaciones al acuerdo de inicio PS/00176/2016 presentadas por AUTOPRIN, S.A., y la documentación que a ellas acompaña. 3. Igualmente, a efectos probatorios, se incorpora documento de “política de privacidad de la página web http://opel.autoprim.com vigente a fecha de hoy. 4. Solicitar a AUTOPRIN, S.A., que contestase a las siguientes cuestiones y aportase la documentación que a continuación se cita: 4.1 Acreditación de que en el momento de recoger el correo electrónico del denunciante con motivo de los servicios de mecánica que dieron lugar al “Informe del estado visual del vehículo” de fecha 03/10/2013 se ofreció al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, consistente en la inclusión de una dirección electrónica válida. 4.2 Especificación de la fecha exacta en que se registró la baja del denunciante en sus sistemas, y que no aparece en la documentación adjuntada al correo electrónico de fecha 16 /03/2015 remitido por el representante legal de esa empresa durante las actuaciones previas de inspección. 4.3 Remisión de la política de privacidad vigente en esa entidad con fechas 15 de febrero y 29 de abril de 2015 4.4 Aclaración tanto del origen de los datos correspondientes a los clientes de esa empresa utilizados por la marca para las campañas de ámbito nacional, así como acreditación de si es la empresa concesionaria o la marca nacional la que las carga en la plataforma de envío. 4.5 Procedimiento seguido por AUTOPRIM, S.A. para comunicar las bajas a la marca a efecto de que los clientes del concesionario no reciban comunicaciones comerciales no deseadas en sus cuentas de correo. Se solicita justificación de que se comunicó la baja del denunciante a la marca nacional. Asimismo, con esa misma fecha se acordó solicitar al denunciante las causas por las que no utilizó el enlace de baja ofrecido por AUTOPRIM e indicacióndel momento en que facilitó su correo electrónico a esa empresa, con aclaración de si le ofrecieron un modo sencillo y gratuito de darse de baja. SEXTO: La entidad AUTOPRIN informó en relación con la solicitud de pruebas lo siguiente: 1. Con motivo de un trabajo de mecánica en el vehículo del denunciante, de fecha 3 de octubre de 2013, se informó al denunciante de la posibilidad de oponerse al tratamiento de sus datos con fines promocionales. 2. Acompañan documento en el que consta como fecha en que se registró la baja del denunciante en el sistema el día 29 de abril de 2015. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 3. La política de privacidad vigente en febrero y abril de 2015 es la misma que aparece en la actualidad en la página web http://opel. B.B.B.. 4. El procedimiento para comunicar las bajas a la marca es automática, quedando registrado en el sistema en cuanto se recibe la petición del cliente mediante el enlace de baja habilitado en la parte inferior de todos los correos promocionales. En este caso no fue automático ya que el denunciante no envió la solicitud de baja por el cauce correcto y habilitado al efecto. 5. Las campañas de ámbito nacional se envían desde una IP con sede en Reino Unido. Por su parte el denunciante informó que no se dio de baja utilizando el sistema ofrecido por AUTOPRIN porque no vio el enlace. Para encontrarlo hay que ver todo el anuncio, algo en lo que no estaba interesado. Al abrir ese enlace, las instrucciones de cómo proceder están en inglés. No recuerda el momento en que facilitó el correo pero fue en 2009 o 2010; tampoco recuerda si le ofrecieron un modo sencillo y gratuito de darse de baja. SÉPTIMO: Con fecha 10 de agosto de 2016 se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionase a AUTOPRIN, S.A., con multa de 1.000 € (Mil euros) por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
3. d)de dicha norma, de conformidad con lo previsto en los artículos 39.1.
4. c)y 40 de la LSSI. Dicha propuesta consta como notificada 16 de agosto de 2016. a la mencionada sociedad con fecha HECHOS PROBADOS PRIMERO: Con fecha 14 de febrero de 2015, Don A.A.A. recibió un correo electrónico con información comercial de AUTOPRIN, concesionario de la marca Opel en Gijón. (folio 6) SEGUNDO: En fecha 15 de febrero de 2015, Don A.A.A. remitió a la dirección de correo electrónico B.B.B. solicitud de cancelación de sus datos personales de contacto de los ficheros de AUTOPRIN, incluido teléfono y correo electrónico, dado que no deseaba seguir recibiendo comunicaciones comerciales y solicitó el borrado de sus datos de sus ficheros (folios 5, 6 y 19 ) TERCERO: El día 29 de abril de 2015, el denunciante reitera su solicitud de borrado desde su cuenta de correo electrónico G.G.G. enviándola a la cuenta B.B.B. del gerente de AUTOPRIM y a la dirección de origen de las comunicaciones comerciales E.E.E.. En este envío adjunta también la solicitud previa. (folios 7 y 21) CUARTO: En fecha 17 de noviembre de 2015, el denunciante recibe una nueva comunicación comercial en su cuenta de correo G.G.G. de un correo electrónico remitido desde la cuenta comercial@ B.B.B., con dirección IP de origen I.I.I. y con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 enlace de baja. (folio 10 y 22) QUINTO: La dirección IP I.I.I. es una de las direcciones que el prestador de servicios de alojamiento y comunicaciones CDS EMEA LTD, con sede en el Reino Unido, utiliza para prestar servicios a sus clientes. (folios 26 y 27). SEXTO: El dominio B.B.B. está registrado a nombre de AUTOPRIN (folios 28 a 31). SÉPTIMO: El denunciante adquirió un vehículo en AUTOPRIN el 27 de febrero de 2009 (folio 63) OCTAVO: AUTOPRIN obtuvo el dato del correo electrónico del denunciante con fecha 3 de octubre de 2013, se a raíz de la prestación de unos servicios de mecánica que requirieron la cumplimentación del “resguardo de depósito” del vehículo del cliente en el Taller de esa sociedad. (folios 56 al 58) NOVENO: Con fecha 29 de abril de 2015, se dio de baja el vehículo del denunciante en el departamento postventa con el fin de que no volviera a recibir comunicaciones comerciales (folio 63). FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
5. d)e
6. i)y 38.4 d),
7. g)y
8. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, señala C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI, también en la redacción dada por la mencionada Ley de Telecomunicaciones, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación del consentimiento expreso o solicitud previa, salvo que exista una relación contractual anterior y el sujeto no haya manifestado su voluntad en contra. Así, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
9. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
10. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
11. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. Por otro lado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 segundo del Anexo
12. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
13. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros representen una actividad económica, los siguientes: (…) y siempre que 4º El envío de comunicaciones comerciales. ” (…)”. A su vez, el apartado
14. d)del citado Anexo define como “Destinatario del servicio” o “destinatario” a la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
15. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV Con anterioridad al análisis de fondo del asunto debe ponerse de manifiesto que cuando se recibió en esta Agencia, con fecha 30 de noviembre de 2015, la denuncia la posible infracción al artículo 21.1 de la LSSI cometida por AUTOPRIN los hechos contenidos en la misma referidos al envío del correo electrónico comercial no deseado de fecha 19 de abril de 2015 estaban ya prescritos de conformidad con lo dispuesto en el artículo 45 de dicha norma, toda vez que al tratarse de una infracción leve ya habían transcurridos más de seis meses desde su remisión. Fijado lo anterior, en el presente supuesto, de la valoración conjunta de los elementos fácticos obrantes en el procedimiento, se evidencia que el denunciante recibió en su cuenta de correo electrónico F.F.F., con fecha 17 de noviembre de 2015, una comunicación comercial no deseada remitida desde la dirección D.D.D.. En el presente supuesto ha quedado probado que la citada comunicación comercial, con asunto de referencia “Madrid se viste de Opel - Motosport”, fue remitida después de que AUTOPRIN hubiera recibido la solicitud de oposición del denunciante de fecha 29 de abril de 2015 al tratamiento de sus datos personales, entre ellos sus señas electrónicas, y hubiera dado de baja el vehículo del afectado en el Departamento de Postventa para impedir cualquier acción comercial. Afirmaciones que encuentran su apoyo en el escrito recibido en esta Agencia el 17 de marzo de 2016, que contestaba al requerimiento de información efectuado durante las actuaciones previas de inspección por la AEPD (folio 51) y, posteriormente, se confirmaba en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 escrito de alegaciones al acuerdo de inicio al indicarse por la denunciada que ”Desde que se cursó la baja del servicio, el denunciante recibió un único correo promocional, con fecha 17 de noviembre de 2015” (folio 77), a lo que hay que añadir que en los sistemas de AUTOPRIN consta como fecha de baja del servicio el 29 de abril de 2015 (folios 63 y 113), Es decir, a partir del momento en que esa empresa tuvo conocimiento de la voluntad del denunciante de no recibir comunicaciones comerciales por correo electrónico, la excepción al consentimiento que pudiera derivar de la condición de cliente de mismo recogida en el artículo 21.2 de la LSSI, quedaba sin efecto, de tal modo que AUTOPRIM no podía continuar enviándole correos electrónicos comerciales. A tenor de lo expuesto, el envío realizado con fecha 17 de noviembre de 2015 se trataba de un envío publicitario por vía electrónica recibido después de haber transcurrido 10 días hábiles desde que el denunciante manifestase su voluntad de no recibir más correos comerciales, lo que conllevaba la exclusión del tratamiento publicitario de la cuenta de correo electrónico del denunciante, circunstancia, por otra parte, perfectamente conocida por dicha entidad conforme se desprende del contenido de los escritos anteriormente reseñados. En este mismo sentido se pronunciaba la Audiencia Nacional en un caso similar en su sentencia de fecha 18 de octubre de 2013, Rec. nº 162/2012, al señalar: “En el supuesto que nos ocupa, ha quedado acreditado que la entidad recurrente remitió más de 47 e-mails publicitarios a la denunciante desde octubre hasta diciembre de 2010, con posterioridad a la solicitud y confirmación de la cancelación de los datos de la denunciante, por lo que ha de considerarse infringido el citado precepto, al no contar con el consentimiento de la destinaria. Por otro lado, aunque en este supuesto hubiese existido una relación comercial previa con la destinataria, ésta no le habilita a remitir publicidad comercial cuando el cliente ha manifestado, como es el caso que nos ocupa, su expreso deseo de no recibirla, pues la excepción prevista en el apartado segundo del citado art. 21 de la Ley 34/2002, de 11 de julio, establece expresamente la posibilidad de ofrecer al destinatario “la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija”. Más en el presente supuesto en que se había procedido a la cancelación de los datos de la denunciante. Carece de relevancia, por tanto, el sistema que para los envíos publicitarios tuviera establecido la entidad recurrente, pues no se trata tanto de cuestionar el tratamiento indebido de datos sino de impedir el envío de publicidad no consentida, para lo cual la empresa dispuso de tiempo suficiente para articular los mecanismos correctores necesarios para evitar que se siguiera mandando publicidad comercial a la denunciante” Aunque AUTOPRIM aduce que el envío del correo electrónico analizado no puede ser imputable a dicha empresa, sino a la marca cuya concesión explota, que es la responsable directa de los envíos de los mensajes enmarcados en campañas de ámbito nacional, entre los que se encontraría el envío analizado, lo cierto es que AUTOPRIM es quien proporciona a la marca (OPEL) las cuentas de correo electrónico del concesionario a cargar en la plataforma desde la que se realizan los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 envíos con un mensaje único a nivel nacional, a la par que es la responsable de no haber excluido de la relación de clientes volcada el correo electrónico del denunciante para la acción comercial efectuada en noviembre de 2015. Además, el envío denunciado aparece asociado a una cuenta de correo electrónico de cuyo dominio AUTOPRIN es titular En conclusión, se estima que la remisión del correo electrónico comercial objeto de imputación carecía del consentimiento de su destinatario para su envío, por lo que su envío por parte de AUTOPRIN vulnera la prohibición contenida en el artículo 21.1 de la LSSI de remitir comunicaciones comerciales por correo electrónico que no hayan sido autorizadas previamente o expresamente solicitadas por el destinatario de las mismas. Además, la excepción al consentimiento recogida en el artículo 21.2 referida a la relación contractual existente entre ambas partes no resulta de aplicación al presente supuesto, en el que consta probado tanto que el destinatario había manifestado expresamente su negativa a AUTOPRIM a la recepción de comunicaciones comerciales electrónicas, como que dicha entidad resulta responsable de la remisión de la comunicación electrónica comercial objeto de análisis cuando ya conocía la voluntad del destinatario afectado de que su cuenta de correo electrónico no se utilizase con tal finalidad. V Alega la entidad imputada que la culpa de no cancelar los datos del denunciante tras su solicitud se debe, en parte, a que no ha utilizado el medio ofrecido en cada correo enviado; esto es la opción incluida al pie de cada una de las comunicaciones comerciales para que los destinarios de los envíos puedan oponerse al uso de sus datos con esa finalidad o, en su caso, revocar el consentimiento que inicialmente hubieran podido prestar para ello. El que no utilizase ese medio no anula la validez del medio utilizado por el denunciante para manifestar su negativa al uso de sus señas electrónicas con fines publicitarios, máxime cuando en el Fundamento de Derecho anterior se ha probado que el denunciante solicitó la baja el día 29 de abril de 2015 y con esa fecha se recogió en los ficheros de AUTOPRIN. A este respecto, señalar que si bien los artículos 21.2 y 22.1 de la LSSI obligan al prestador de servicios de la sociedad de la información a incluir en las comunicaciones comerciales remitidas por correo electrónico un mecanismo sencillo y gratuito de oposición y/o revocación, consistente en una dirección de correo electrónico u otra dirección electrónica válida, a fin de garantizar que los destinatarios de tales comunicaciones dispongan de un medio para poder negarse a continuar recibiendo las mismas en sus señas electrónicas, sin embargo dicha norma no establece que tales medios sean las únicas alternativas válidas para que los destinatarios de los correos electrónicos puedan expresar su voluntad de no continuar recibiendo este tipo de envíos, ni tampoco obliga al uso exclusivo de los mismos a tales destinatarios. La norma favorece el ejercicio de un derecho de los destinatarios de este tipo de comunicaciones comerciales sin obligarles a utilizar el mecanismo concreto ofrecido con tales finalidades en cada uno de las comunicaciones comerciales recibidas. Por lo que éstos pueden también ejercitar ante el responsable del fichero los derechos de cancelación y oposición contemplados en la LOPD en evitación de que sus datos de carácter personal, entre los que se encontraría su dirección de correo electrónico, sea personal o profesional, sigan tratándose por el responsable del fichero con finalidades comerciales y o publicitarias. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 Téngase en cuenta que el artículo 24.5 del Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre dispone que “5. El responsable del fichero o del tratamiento deberá atender la solicitud de acceso, rectificación, cancelación u oposición ejercida por el afectado aún cuando el mismo no hubiese utilizado el procedimiento establecido específicamente al efecto por aquél, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud, y que ésta contenga los elementos referidos en el párrafo 1 del artículo siguiente.”. Además, en el artículo 25.3 del mismo Reglamento se establece que “3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos.”. En todo caso, se considera que no usar el mecanismo de baja ofrecido no modifica el hecho fundamental de que el envío se produjo sin contar con el consentimiento previo y expreso de su destinatario, conforme se ha razonado en el anterior Fundamento de Derecho. VI AUTOPRIN, además de alegar que el envío se debe a un mero error involuntario imputable a la marca cuya concesión explota, también ha indicado que resulta imputable al denunciante que no solicitó la baja del servicio por el cauce establecido en el propio correo electrónico recibido. Frente a dicha afirmación, indicar que la concurrencia de un supuesto error como justificante de la remisión indebida del correo electrónico comercial objeto de análisis debe ser rechazada como motivo de entidad suficiente para eliminar la antijuridicidad y responsabilidad en la conducta de AUTOPRIN objeto de reproche, habida cuenta que, en todo caso, dicho error caería bajo la órbita de responsabilidad de AUTOPRIN en atención a que es la empresa responsable del fichero y del tratamiento efectuado, a lo que se añade que este tipo de errores generan daños a los titulares de otros bienes jurídicos, como en este caso en que el denunciante ha visto conculcado por esa entidad su derecho a no recibir comunicaciones comerciales no deseadas en sus señas electrónicas. En relación con esta cuestión resulta oportuno traer a colación lo señalado por la Audiencia Nacional en su Sentencia de fecha 27 de marzo de 2015, Rec. 72/2014, que rechazó que no existiera responsabilidad en la conducta analizada en un supuesto de infracción a la LOPD referido a un fallo del sistema de bloqueo, ya que el razonamiento empleado para ello resulta aplicable para rechazar la falta de culpabilidad pretendida por AUTOPRIN. En dicha Sentencia se indicaba que: “Una vez constatado que la parte demandante realizó la conducta infractora que aparece descrita en la resolución recurrida, en el curso de este proceso no se ha puesto de manifiesto la concurrencia de circunstancias que permitan excluir la culpabilidad de la misma, limitándose la parte actora a alegar que se debió a un fallo del sistema de bloqueo de datos personales. Es sabido que se puede incurrir en responsabilidad por la infracción e que estamos examinando tanto de manera intencionada o dolosa como por descuido, negligencia o aún a título de simple inobservancia- art. 130.1 de la Ley 30/1992, de 26 de noviembre-. Y procede ahora recordar que, como señala el Tribunal Supremo en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 Sentencia de 23 de enero de 1998, “…aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa. Ninguna de las circunstancias concurrentes en el caso que nos ocupa permite excluir este elemento subjetivo de la infracción. Debemos insistir en que la culpabilidad de la parte actora no puede considerarse excluida ni atenuada por el hecho de que le tratamiento de los datos del denunciante pudiese deberse a la existencia de un fallo del sistema de bloqueo de datos personales.” No cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJ-PAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. En esta línea, en la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece en cuanto a la aplicación del principio de culpabilidad que “Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En este orden de ideas, si bien en el presente caso no puede acreditarse una conducta dolosa por parte de la entidad denunciada, sin embargo, si se aprecia la existencia de responsabilidad en la comisión de la infracción imputada a título de culpa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 De lo actuado, no se desprende que AUTOPRIN, empresa habituada al envío de comunicaciones comerciales por medios de comunicación electrónica, actuase con la diligencia y el deber de cuidado que en razón de su profesionalidad le eran exigibles para asegurarse , con anterioridad al volcado de su relación de clientes, que la baja solicitada por el afectado se había gestionado correctamente en sus ficheros, máxime teniendo en cuenta que el denunciante se había opuesto a la recepción de nuevas comunicaciones comerciales electrónicas utilizando un procedimiento diferente del enlace de baja ofrecido en los correos electrónicos, situación para la que esa empresa debe tener implementados procedimientos de actuación eficaces a fin de garantizar el derecho de los afectados a no recibir nuevos envíos comerciales en sus señas electrónicas, En este caso concreto, tal y como se ha probado en el expediente, AUTOPRIN remitió al denunciante el correo electrónico comercial no autorizado objeto de estudio y a pesar de que mediaba oposición expresa del denunciante para ello, ya que con fecha 29 de abril de 2015 había recibido la solicitud del denunciante de no enviarle correos comerciales, y de que ese mismo día AUTOPRIN había procedido, según ha alegado, a hacer efectivo tal derecho. Estas circunstancias evidencian que esa empresa no desplegó el cuidado necesario que le era exigible para evitar infringir el artículo 21.1 de la LSSI, lo que lleva a considerar la existencia del elemento de culpabilidad en la conducta de AUTOPRIN en el ilícito administrativo imputado. Por todo lo cual, la AEPD considera que a la entidad imputada le era exigible otra conducta diferente de la que observó en orden a velar por el cumplimiento de los derechos de los destinatarios de este tipo de envíos efectuados por medios de comunicación electrónica recogidos en la LSSI, causa por la que debió actuar con mayor cautela para asegurar la legalidad de su conducta. VII El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos) La definición de prestador del servicio se contiene en el apartado
16. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
17. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18
18. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b), se producirá una infracción de carácter grave a los efectos de la LSSI. A la vista de los hechos que han resultado acreditados en la tramitación del presente procedimiento sancionador, la conclusión que se despende de los hechos y fundamentos de derecho anteriores es que el presente supuesto se ajusta al tipo de infracción calificada como leve en el artículo 38.4.
19. d)de la LSSI, puesto que la remisión de una única comunicación comercial no consentida en forma expresa y previa por el denunciante a su cuenta de correo electrónico, en concreto con fecha 17 de noviembre de 2015, no puede calificarse como de envío sistemático o insistente. VIII Según establece el art. 39.1, apartados
20. b)y c), de la LSSI, las infracciones graves podrán ser sancionadas con multa de 30.001 hasta 150.000 € y las leves, con multa de hasta 30.000 €, fijando los criterios para su graduación los artículos 39 bis y 40 de la misma norma, que disponen lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 pertinentes, siempre que concurran los siguientes presupuestos:
26. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
27. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador, por dicho incumplimiento.” “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
28. a)La existencia de intencionalidad.
29. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
30. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
31. d)La naturaleza y cuantía de los perjuicios causados.
32. e)Los beneficios obtenidos por la infracción.
33. f)Volumen de facturación a que afecte la infracción cometida.
34. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. Defiende AUTOPRIN que procede el archivo del procedimiento, ello en atención a las circunstancias en que se ha producido la infracción, se trata de un hecho aislado producido en una situación excepcional, han sido solventadas las deficiencias que pudieran existir con anterioridad y concurren la práctica totalidad de las circunstancias del artículo 40 de la LSSI. Sin embargo, se estima adecuada la imposición de una sanción comprendida en el rango de lo establecido en el artículo 39.1.
35. c)de la LSSI, la cual deberá fijarse de conformidad con los criterios de graduación de las sanciones recogidos en el transcrito artículo 40 de la LSSI y en cumplimiento del principio de proporcionalidad dispuesto en el artículo 131 de la LRJ-PAC, se considera que en este supuesto actúan como agravantes los criterios
36. a)y
37. b)del mencionado artículo 40 de la LSSI. En cuanto al criterio a), si bien no puede hablarse de intencionalidad en su conducta, se ha producido una falta en la diligencia que le resultaba exigible al no adoptar las cautelas que resultaban necesarias para comprobar, con anterioridad a la remisión del envío comercial objeto de estudio, que contaba con el consentimiento previo y expreso del destinatario para su realización y que se habían efectuado las modificaciones necesarias en los ficheros y herramientas de marketing de la entidad para hacer efectiva la oposición solicitada en evitación de nuevos envíos comerciales a las señas electrónicas del denunciante, falta de rigor que de haberse adoptado hubiera evitado el incumplimiento de la prohibición recogida en el artículo 21.1 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 Respecto del criterio
38. b)se tiene en cuenta que el denunciante solicitó, el 29 de abril de 2015 la exclusión de sus señas electrónicas de la lista de distribución para no recibir comunicaciones comerciales, y a pesar de que la entidad lo recibió, sin embargo continuó manteniendo la cuenta de correo electrónico del afectado en su lista de distribución, como mínimo, hasta noviembre de 2015. Paralelamente, se valoran como atenuantes los criterios d),
39. e)y
40. f)recogidos en el citado artículo 40 de la LSSI, y ello ante la falta de constancia tanto de que el denunciante haya sufrido perjuicios derivados de la comisión de la infracción imputada, como de que la entidad denunciada haya obtenido beneficios o algún impacto en su volumen de facturación con motivo de la comisión de la infracción del artículo 21.1 de la LSSI. Por lo tanto, con arreglo a los criterios de graduación recogidos en el transcrito artículo 40 de la LSSI se estima adecuado a la gravedad de los hechos analizados la imposición de una sanción de 1.000 € a AUTOPRIN, S.A. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad AUTOPRIN, S.A., por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
41. d)de la LSSI, una multa 1.000 € (Mil euros), de conformidad con lo establecido en los artículos 39.1.
42. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a AUTOPRIN, S.A. y a Don A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es