← España

PS-00188-2016

1/16 Procedimiento Nº PS/00188/2016 RESOLUCIÓN: R/02376/2016 En el procedimiento sancionador PS/00188/2016, instruido por la Agencia Española de Protección de Datos a la entidad CONVERSALES INNOVA, S.L., vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 23 de diciembre de 2015, tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por Don A.A.A., en adelante el denunciante, en la que manifiesta lo siguiente: 1. Ha recibido comunicaciones comerciales por correo electrónico en su cuenta ....@andce.es sin que previamente se hubieran solicitado o expresamente autorizado y sin existir relación contractual previa. 2. Aunque ha requerido el cese de tales envíos no se ha atendido su solicitud. 3. El titular del dominio fusiontelefonica.net es Don B.B.B., en adelante LRLR, administrador de TOTAL QUALITY SERVICES, S.L. y USUTEL 2011, S.L. 4. La dirección facilitada para darse de baja en el último correo publicitario recibido es del dominio contralitasmovistar.com, del que es titular USUTEL 2011, S.L. El escrito de denuncia adjunta, entre otra información, copia de cuatro correos electrónicos recibidos junto con sus cabeceras y de una solicitud de baja de fecha 9 de noviembre de 2015. En relación con los envíos comerciales aportados por el denunciante, se observa qu,e de conformidad con lo dispuesto en el artículo 45 de la la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, el correo electrónico de fecha 3 de agosto de 2015 estaba prescrito en la fecha en que se acordó iniciar el presente procedimiento sancionador. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tiene conocimiento de los siguientes extremos: 1. De la documentación aportada por el denunciante se desprende que recibió en su cuenta de correo ....@andce.es los correos electrónicos cuyas características se listan a continuación: Cuenta origen Fecha .....@fusion-telefonica.com 22/10/2015 Sitio web publicitado www.centralitasmovistar.com .....@telefonicafibra.com 01/12/2015 www.movistarpro.es ....@movistar-premium.com 11/12/2015 www.movistarpro.es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 Todos los correos electrónicos presentados contenían información comercial referente a productos y servicios de telecomunicaciones. Sobre los correos aportados por el denunciante: 2. Tanto los dominios que contienen los sitios web publicitados, centralitasmovistar.com y movistarpro.es, como los dominios de las cuentas origen de los tres correos electrónicos anteriormente detallados, .....@fusiontelefonica.com, .....@telefonicafibra.com y ....@movistar-premium.com, son propiedad de Don C.C.C. (en lo sucesivo C.C.C.). 3. Los tres correos electrónicos disponen de un enlace para solicitar la baja de la lista de destinatarios, que al ser pulsados llevan a una página en la que se pide la confirmación de la baja para el correo electrónico del denunciante. 4. Las direcciones IP desde las que se realizaron los dos primeros envíos estaban asignadas en el momento de los hechos a CONVERSALES INNOVA, S.L., (en lo sucesivo CONVERSALES), empresa que, según consta en el acta de inspección levantada el 26 de marzo de 2016 en las instalaciones de la misma, se dedica a la venta de productos y servicios de telecomunicaciones. La dirección de IP desde la que se realizó el envío del 11 de diciembre de 2015 estaba asignada en el momento de los hechos a HUGEBUSINESS, S.L., a pesar de que tanto el dominio origen como el publicitado son utilizados por CONVERSALES. Sobre las solicitudes de baja remitidas por el denunciante: 5. Se ha constatado que CONVERSALES recibió solicitudes de baja desde la cuenta ....@andce.es los días 9 de noviembre y 23 de diciembre de 2015 y 9 de febrero y 8 de marzo de 2016. Las solicitudes enviadas por el denunciante en 2015 son respuestas a dos de los correos denunciados que los incluyen. Las solicitudes de baja enviadas el año 2016 responden a otras dos comunicaciones comerciales recibidas por el denunciante con fechas 4 de febrero y el 8 de marzo de 2016 en la dirección de correo ....@andce.es con origen en las cuentas .....@telefonicafibra.com y info@movistar-empresas.com, respectivamente. 6. Durante la inspección se comprobó que el correo electrónico ....@andce.es figura en la tabla de suscriptores como dado de baja, sin constar la fecha de la misma. Sobre el origen de los datos del denunciante: 7. CONVERSALES manifiesta remitir informaciones comerciales únicamente a sus suscriptores, que proporcionan su correo electrónico bien a través de los formularios que habilitan en algunos de sus sitios web, bien a través de las llamadas que realizan a quienes les proporcionan su teléfono. 8. La base de datos de suscriptores de CONVERSALES dispone de 1.186.680 direcciones distintas. 9. Dicha base de datos no almacena información que permita acreditar el origen de los datos de los suscriptores, ya que no existe un campo que distinga entre los datos obtenidos a través de un sitio web y los obtenidos a través de llamadas telefónicas, ni la fecha y hora en que se produjo la suscripción o contacto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 Para las suscripciones realizadas a través de un sitio web no existe un campo que indique cuál es el sitio web o la dirección IP de origen de los datos. Dadas estas carencias, no ha sido posible acreditar el origen de los datos del denunciante que figuran en los sistemas de CONVERSALES. 10. El correo electrónico enviado mediante la cuenta .....@fusion-telefonica.com contiene un enlace que permite acceder al contenido del envío por si éste no pudiese ser visualizado apropiadamente por el cliente. 11. Con fechas 24 de febrero de 2016 y 28 de marzo de 2016 se accede a los sitios web publicitados de los dominios centralitasmovistar.com y movistarpro.es, comprobándose que disponen de una política de privacidad que debe aceptarse al proporcionar un número de teléfono de contacto. Durante el acceso realizado el 24 de febrero de 2016 dicha política de privacidad identificaba a USUTEL 2011, S.L., como responsable del fichero en el que serían incluidos “los datos recogidos en el formulario y en las llamadas recibidas por parte del cliente”. Durante el acceso realizado el 28 de marzo de 2016 se informaba de que el responsable del fichero era CONVERPLUS INNOVA, S.L. Ambas sociedades son propiedad de C.C.C.. En ambos casos se informa de que: “La finalidad del tratamiento es la realización de ofertas, promociones, comercialización y contratación de productos de ocio, cultura, deporte, enseñanza, artes gráficas, alimentación, bebidas, banca, actividad financiera, construcción, obras públicas, inmobiliario, nuevas tecnologías, automoción, caza, pesca, sanidad, seguros, transportes, vigilancia, seguridad, comercio, oficinas, despachos, hostelería, restauración, turismo, medios de comunicación, publicidad, salud, belleza, textil, calzado, complementos, minería, metalurgia, energía, química, farmacia, administración local, autonómica y del estado gestionados por la marca, utilizando cualquier medio de comunicación ya sea postal, electrónico o de cualquier otro tipo, incluyendo la emisión de llamadas automatizadas.” . Igualmente, se informaba de que “Los interesados autorizan expresamente a que sus datos puedan ser comunicados a las entidades mercantiles relacionadas con la marca, exclusivamente con la finalidad antes mencionada.” TERCERO: Con fecha 15 de abril de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CONVERSALES INNOVA, S.L., por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 21 de dicha norma, pudiendo ser sancionada con multa de hasta 30.000 euros, de acuerdo con el artículo 39.1.c de la LSSI. CUARTO: Notificado el citado Acuerdo de inicio, CONVERSALES INNOVA, S.L., presentó alegaciones en las que señaló lo siguiente: 1. En los correos se da una opción de baja haciendo un click. Sin embargo, el denunciante optó por la opción más compleja para su organización que es enviar un mail. 2. Durante la visita de inspección, los Inspectores pudieron comprobar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 que el correo electrónico ....@andce.es figura en la tabla de suscriptores como dado de baja. 3. El email de fecha 9 de noviembre de 2015 no era una simple solicitud de baja, sino un correo solicitando el pago de una cantidad de dinero para no proceder a denunciarles (acompañan mail), por lo que se presumió que no era un simple ejercicio de derecho de oposición, sino un posible delito de extorsión punible en vía penal. Manifiestan que este mismo denunciante ha actuado de la misma forma en otros procedimientos sancionadores como refleja un listado de expedientes que acompañan. 4. La entidad CONVERSALES y Huge Business tienen política de privacidad en la que se constata que cumplen lo establecido en la LOPD y en el Reglamento que la desarrolla. 5. A tenor de lo dispuesto en el artículo 45.4 de la LOPD indican que se trata de una pequeña empresa de doce trabajadores; no han obtenido beneficio del envío de los mails; no ha existido intencionalidad; es la primera vez que han sido denunciados a la Agencia por lo que no hay reincidencia; no se ha perjudicado al denunciante ni a terceros; con anterioridad a los hechos denunciados tenían implantados procedimientos adecuados de actuación en la recogida y tratamiento de datos. 6. De acuerdo con lo dispuesto en el artículo 45.5 de la LOPD, han reconocido espontáneamente el envío de los mails publicitarios ya desde el momento de la inspección, y al demostrarse que el denunciante busca perjudicarles más que defender sus derechos, solicitan que se proceda a apercibirlos aplicando la excepcionalidad de ese procedimiento. QUINTO: En fecha 3 de mayo de 2016, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, en el que se acordó practicar las pruebas siguientes: 1. Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante CONVERSALES INNOVA, S.L., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/00229/2016. 2. Asimismo, dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00188/2016 presentadas por CONVERSALES INNOVA, S.L., y la documentación que a ellas acompaña. SÉXTO: Con fecha 30 de agosto de 2016 se formula propuesta de resolución, proponiendo la imposición de una sanción de 3.000 € a CONVERSALES INNOVA, S.L., por la comisión de una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.

  1. d)de dicha Ley, que consta como notificada a dicha entidad con fecha 2 de septiembre de 2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 SÉPTIMO: Con fecha 12 de septiembre de 2016, se registra de entrada en esta Agencia escrito de la Consultoría Reinventalia, que asesora al Grupo CONVERSALES, indicando la conformidad de su cliente con la sanción que figura en la propuesta de resolución de fecha 30 de agosto de 2016. Dicha afirmación se ratifica por el representante legal de la denunciada mediante escrito registrado de entrada con fecha 19 de septiembre de 2016 en el que éste muestra su conformidad con la sanción propuesta.. HECHOS PROBADOS PRIMERO: Con fecha de 23 de diciembre de 2015, Don A.A.A. denunció a Don B.B.B. y a USUTEL 2011, S.L., por enviarle comunicaciones comerciales, por correo electrónico, dirigidas a su cuenta ....@andce.es sin que previamente se hubieran solicitado o expresamente autorizado y sin existir relación contractual previa; acompañando documentación acreditativa del envío. (folios 1 a 43) SEGUNDO: Consta que el denunciante recibió las siguientes comunicaciones comerciales en su cuenta de correo ....@andce.es : (folios 6 al 11, 23 al 43 , 168 al 175) Sitio web publicitado Cuenta origen Fecha .....@fusion-telefonica.com 22/10/2015 www.centralitasmovistar.com .....@telefonicafibra.com 01/12/2015 www.movistarpro.es ....@movistar-premium.com 11/12/2015 www.movistarpro.es .....@telefonicafibra.com 04/02/2016 www.centralitasmovistar.com info@movistar-empresas.com 08/03/2016 Wwww.respuestamovistar.es TERCERO: Todos los correos electrónicos citados contenían información comercial referente a productos y servicios de telecomunicaciones. CUARTO: Con fechas 9 de noviembre y 23 de diciembre de 2015, 9 de febrero y 8 de marzo de 2016, el denunciante solicitó desde su cuenta de correo el cese de tales envíos. (folios 8, 9, 29 al 32, 168, 171, 173 y 176) QUINTO: Consta que los cuatro correos enviados por el denunciante solicitando la baja fueron recibidos por la entidad CONVERSALES. (folio 162, 168, 171, 173, 176) SEXTO: El objeto de CONVERSLES INNOVA, SL es la venta de productos y servicios de telecomunicaciones (folio 160) SÉPTIMO: Los dominios que contienen los sitios web publicitados en los envíos de fechas 22/10/2015, 01/12/2015, 11/12/2015 y 04/02/2016 centralitasmovistar.com y movistarpro.es, y los dominios fusión-telefonica.com , telefonicafibra.com y movistar-premium.com enviados el 01/12/2015 y 04/02/2016 son propiedad de Don C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 C.C.C., administrador de CONVERSALES INNOVA, S.L. y USUTEL 2011, S.L. (folios 48 a 63, 159, 160) OCTAVO: Durante la visita de inspección efectuada el 29 de marzo de 2016 en las instalaciones de CONVERSALES se constató que en los sistemas de la entidad (fichero de suscriptores) la cuenta de correo electrónico del denunciante figura marcada de baja, pero sin estar registrada la fecha exacta de la misma. (folio 162) NOVENO: La entidad CONVERSALES ha reconocido el envío de los mails publicitarios (folio 236). FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
  2. d)e
  3. i)y 38.4 d),
  4. g)y
  5. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. La LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
  6. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
  7. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
  8. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. El concepto de comunicación comercial, de acuerdo con la definición recogida en el Anexo f), párrafo primero de la LSSI, engloba todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. Por otro lado, la LSSI en su Anexo
  9. a)define “Servicio de la Sociedad de la Información” como “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios”. Añade el referido apartado que el envío de comunicaciones comerciales es un servicio de la sociedad de la información, siempre que represente una actividad económica. Según el apartado
  10. d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
  11. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV En el presente procedimiento sancionador consta acreditado, según se evidencia del conjunto de elementos fácticos y documentación obrante en el mismo, que CONVERSALES remitió con fechas 22 de octubre, 1 y 11 de diciembre de 2015, y 9 de febrero y 8 de marzo de 2016 sendas comunicaciones comerciales a la dirección de correo electrónico ....@andce.es desde las cuentas de origen detalladas en el Hecho Probado Segundo, todas ellas promocionando productos y servicios de telecomunicaciones. CONVERSALES no ha acreditado contar con el consentimiento previo y expreso del denunciante para la realización de los cinco envíos citados con anterioridad, toda vez que en el fichero de suscriptores en el que se localizó la dirección de correo electrónico del denunciante no almacena información que permita C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 probar que el denunciante aceptase la remisión de comunicaciones electrónicas al suscribirse de alta en alguna de las páginas web titularidad de la empresa o mediante la realización de una llamada telefónica. Téngase en cuenta que durante la inspección efectuada en la sede de dicha empresa se constató que el fichero utilizado para el envío de publicidad no almacena información que permita acreditar el origen de los datos de los suscriptores, ya que no existe un campo que distinta entre los datos obtenidos a través de un sitio web y los obtenidos a través de llamadas telefónicas, no constando la fecha y hora en que se produjo la suscripción o contacto. Además, para las suscripciones realizadas a través de un sitio web no existe un campo que indique cuál es el sitio web o la dirección IP de origen de los datos. (folios 159 y 160) A mayor abundamiento, cuatro de los cinco correos electrónicos objeto de imputación se efectuaron con posterioridad a haber recibido desde la cuenta titularidad del denunciante, con fechas 9 de noviembre y 23 de diciembre de 2015, 9 de febrero y 8 de marzo de 2016, sendas solicitudes de cese de dichos envíos comerciales. Es decir, no sólo todos los envíos efectuados carecían del consentimiento previo y expreso de su destinatario, sino que, además, cuando CONVERSALES remitió las cuatro últimas comunicaciones comerciales ya conocía la voluntad del denunciante de que sus señas electrónicas no se utilizaran para enviarle correos electrónicos comerciales. Sobre este particular, resulta ilustrativa la Sentencia de fecha 18 de octubre de 2013, Rec. nº 162/2012, dictada por la Audiencia Nacional en un caso similar al señalar: “En el supuesto que nos ocupa, ha quedado acreditado que la entidad recurrente remitió más de 47 e-mails publicitarios a la denunciante desde octubre hasta diciembre de 2010, con posterioridad a la solicitud y confirmación de la cancelación de los datos de la denunciante, por lo que ha de considerarse infringido el citado precepto, al no contar con el consentimiento de la destinaria. Por otro lado, aunque en este supuesto hubiese existido una relación comercial previa con la destinataria, ésta no le habilita a remitir publicidad comercial cuando el cliente ha manifestado, como es el caso que nos ocupa, su expreso deseo de no recibirla, pues la excepción prevista en el apartado segundo del citado art. 21 de la Ley 34/2002, de 11 de julio, establece expresamente la posibilidad de ofrecer al destinatario “la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija”. Más en el presente supuesto en que se había procedido a la cancelación de los datos de la denunciante. Carece de relevancia, por tanto, el sistema que para los envíos publicitarios tuviera establecido la entidad recurrente, pues no se trata tanto de cuestionar el tratamiento indebido de datos sino de impedir el envío de publicidad no consentida, para lo cual la empresa dispuso de tiempo suficiente para articular los mecanismos correctores necesarios para evitar que se siguiera mandando publicidad comercial a la denunciante” A tenor de lo expuesto, se trataba de envíos publicitarios por vía electrónica no consentidos previa y expresamente por su destinatario, quien, además, había manifestado a la citada entidad con anterioridad al envío de los cuatro últimos correos su negativa a continuar recibiendo este tipo de comunicaciones comerciales, todo lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 cual impedía, consecuentemente, el uso de su cuenta de correo electrónico con fines publicitarios, circunstancia, por otra parte, perfectamente conocida por dicha entidad desde que recibió la primera de las solicitudes de baja con fecha 9 de noviembre de 2015, a pesar de lo cual y de la reiteración en otras tres ocasiones de la solicitud de baja continuó enviando comunicaciones comerciales no solicitadas al denunciante. En consecuencia, las cinco comunicaciones comerciales reseñadas en los Hechos probados se remitieron por CONVERSALES incumpliendo la voluntad del denunciante de no recibir publicidad en sus señas electrónicas, cuestión señalada por éste en su denuncia al manifestar en referencia a dichos envíos “Además de no ser solicitados ni autorizados los SPAM se ha requerido a la denunciada que cesara en sus envíos ilícitos in que haya atendido el requerimiento. (folio 1) De lo razonado, se colige que ha quedado probado que CONVERSALES ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI, toda vez que envió cinco comunicaciones comerciales al correo electrónico del denunciante que no habían sido previamente autorizadas o expresamente solicitadas por éste, no cabiendo en este supuesto aplicar la excepción al consentimiento recogida en el artículo 21.2 de la LSSI al no existir una relación contractual previa entre las partes. V El hecho de que el denunciante no haya utilizado el enlace de baja ofrecido por CONVERSALES al pie de cada una de las comunicaciones comerciales denunciadas para que los destinarios de los envíos puedan oponerse al uso de sus datos con esa finalidad o, en su caso, revocar el consentimiento que inicialmente hubieran podido prestar para ello no anula la validez del medio utilizado por el denunciante para manifestar su negativa al uso de sus señas electrónicas con fines publicitarios, máxime cuando todas ellas fueron recibidas por la entidad denunciada. Tampoco exime a la entidad de su obligación de obtener el consentimiento previo de los destinatarios a las comunicaciones comerciales. A este respecto, señalar que si bien los artículos 21.2 y 22.1 de la LSSI obligan al prestador de servicios de la sociedad de la información a incluir en las comunicaciones comerciales remitidas por correo electrónico un mecanismo sencillo y gratuito de oposición y/o revocación, consistente en una dirección de correo electrónico u otra dirección electrónica válida, a fin de garantizar que los destinatarios de tales comunicaciones dispongan de un medio para poder negarse a continuar recibiendo las mismas en sus señas electrónicas, sin embargo dicha norma no establece que tales medios sean las únicas alternativas válidas para que los destinatarios de los correos electrónicos puedan expresar su voluntad de no continuar recibiendo este tipo de envíos, ni tampoco obliga al uso exclusivo de los mismos a tales destinatarios. La norma favorece el ejercicio de un derecho de los destinatarios de este tipo de comunicaciones comerciales sin obligarles a utilizar el mecanismo concreto ofrecido con tales finalidades en cada uno de las comunicaciones comerciales recibidas. Por lo que éstos pueden también ejercitar ante el responsable del fichero los derechos de cancelación, oposición y revocación contemplados en la LOPD en evitación de que sus datos de carácter personal, entre los que se encontraría su dirección de correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 electrónico, sea personal o profesional, sigan tratándose por el responsable del fichero con finalidades comerciales y o publicitarias, estableciéndose en el apartado 3 del artículo 25 del Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre que “3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos.” No hay que olvidar que CONVERSALES no sólo no ha acreditado el origen del dato del correo electrónico utilizado para el envío de los cinco correos electrónicos objeto de este procedimiento, sino que no ha probado el consentimiento previo y expreso del denunciante para el envío de las comunicaciones comerciales denunciadas. En consecuencia, tan pronto como recibió la primera negativa del denunciante a continuar recibiendo correos comerciales en su cuenta de correo electrónico debió arbitrar, en cumplimiento de la diligencia que le resulta exigible como prestador de servicios de la sociedad de la información las medidas tendentes a hacer efectiva la oposición solicitada. A pesar de lo cual, el denunciante recibió cuatro comunicaciones comerciales con posterioridad a haber solicitado el cese este tipo de correos electrónicos y después de que CONVERSALES hubiera recibido dicha petición. En lo que respecta a las cuestiones puestas de manifiesto por CONVERSALES sobre la conducta seguida por el denunciante, de la que parece desprenderse que el ejercicio de sus derechos o la baja efectiva de las comunicaciones comerciales pasa a un segundo término, cabe señalar al respecto que el procedimiento sancionador se inicia siempre de oficio, por acuerdo del órgano que tiene atribuida el ejercicio de esta potestad, valorando para ello estrictamente los hechos y su alcance desde el punto de vista de la normativa de protección de datos de carácter personal o de la competencia sancionadora otorgada a la AEPD por el artículo 43.1 de la LSSI. Así, es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen, desde la óptica de protección de datos, responsabilidades administrativas que han de ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no correspondiendo a esta Agencia analizar ni calificar las motivaciones subjetivas que determinaron la formulación de la denuncia. En este sentido, el artículo 11 del Real Decreto 1398/1993, de 4 agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, al regular las “Formas de iniciación” del procedimiento establece lo siguiente: “1. Los procedimientos sancionadores se iniciarán siempre de oficio, por acuerdo del órgano competente, bien por propia iniciativa o como consecuencia de orden superior, petición razonada de otros órganos o denuncia. A efectos del presente Reglamento, se entiende por: (…)
  12. d)Denuncia: El acto por el que cualquier persona, en cumplimiento o no de una obligación legal, pone en conocimiento de un órgano administrativo la existencia de un determinado hecho que pudiera constituir infracción administrativa”. Siendo así, es claro que la presentación de una denuncia no vincula al órgano C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 competente para iniciar el procedimiento sancionador. El mismo artículo 11 del Reglamento citado, en el párrafo segundo de su apartado 2, se refiere a la posibilidad de iniciar o no el procedimiento cuando se haya presentado una denuncia. VI El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 de la LSSI especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos), considerándose como tal, según definición contenida en el apartado
  13. c)del Anexo de la citada norma a la “ persona física o jurídica que proporciona un servicio de la sociedad de la información”. De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  14. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
  15. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, a la vista de los hechos que han resultado acreditados en la tramitación del procedimiento sancionador, la conclusión que se despende de los hechos y fundamentos de derecho anteriores es que la infracción del artículo 21.1 de la LSSI que se imputa a la denunciada ha de calificarse como infracción leve a lo previsto en el artículo 38.4.
  16. d)de la vigente LSSI, puesto que la remisión de cinco comunicaciones comerciales no autorizadas a la cuenta de correo electrónico del denunciante no puede calificarse como envío insistente o sistemático por parte de la entidad responsable de los reseñados envíos. Todo lo cual lleva a considerar la existencia del elemento subjetivo de culpabilidad en la conducta de la entidad imputada denunciada en el ilícito administrativo estudiado, ya que la misma responde a una acción típica, antijurídica, culpable y punible que constituye, tal y como se ha razonado, vulneración al artículo 21.1 de la LSSI por parte de la denunciada. VII Según establece el art. 39.1.c), de la LSSI, las infracciones leves podrán ser sancionadas con multa de hasta 30.000 €, fijando los criterios para su graduación los artículos 39 bis y 40 de la misma norma, que disponen lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
  18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  22. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  23. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador, por dicho incumplimiento.” “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  24. a)La existencia de intencionalidad.
  25. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  26. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  27. d)La naturaleza y cuantía de los perjuicios causados.
  28. e)Los beneficios obtenidos por la infracción.
  29. f)Volumen de facturación a que afecte la infracción cometida.
  30. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. En cuanto a la posibilidad de aplicación del apercibimiento contemplado en el artículo 39 bis 2 de la LSSI, ha de ponerse de manifiesto que de la literalidad del artículo 39 bis 2 se evidencia que la previsión contenida en el mismo de sustituir la incoación de un procedimiento sancionador por la figura del apercibimiento al infractor es potestativa del órgano sancionador, correspondiendo su ponderación a dicho órgano atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado 1 del mismo precepto , siempre y cuando también se cumplan los presupuestos
  31. a)y
  32. b)citados en el propio precepto. En este caso, se consideró procedente iniciar procedimiento sancionador en lugar de apercibir debido a que en relación con la naturaleza de los hechos objeto de imputación se ha atendido, en forma especial, que CONVERSALES remitió cuatro comunicaciones comerciales al denunciante con posterioridad a la recepción de sus reiteradas solicitudes de baja. Asimismo, el apercibimiento debe aplicarse en forma excepcional y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas en función de las circunstancias del caso concreto, lo que se considera no se produce en el supuesto estudiado en el que la denunciada remitió cinco correos electrónicos comerciales al denunciante y, además, cuatro de ellos a pesar de tener conocimiento expreso de la voluntad del denunciante de no recibir comunicaciones comerciales en su dirección de correo electrónico. Por otro lado, en el régimen sancionador de la LSSI, una vez iniciado el procedimiento sancionador, no se contempla el apercibimiento como sanción, siendo una medida que no tiene tal naturaleza según reiterada doctrina de la Audiencia Nacional. En relación con los criterios de graduación de las sanciones recogidos en el transcrito artículo 40 de la LSSI, y en cumplimiento del principio de proporcionalidad dispuesto en el artículo 131 de la LRJ-PAC, se considera que en este supuesto operan como agravantes los criterios
  33. a)y
  34. b)del mencionado artículo 40 de la LSSI. En concreto, si bien no puede hablase de intencionalidad en la conducta descrita, sin embargo si se ha producido una evidente falta de diligencia por parte de esa empresa al remitir las comunicaciones comerciales denunciadas durante un plazo próximo a cinco meses obviando que no disponía del consentimiento previo y expreso del denunciante para ello, cuyas reiteradas solicitudes de baja fueron obviadas por más de cuatro meses, siendo el último envío no autorizado el remitido a la cuenta de correo electrónico el 8 de marzo de 2016. Asimismo, también se considera relevante a estos efectos, y como agravante, el hecho de que CONVERSALES es una empresa habituada a la remisión de este tipo de comunicaciones en razón del objeto de su actividad, motivo por el que le resulta exigible una conducta especialmente escrupulosa a la hora de hacer efectiva la prohibición recogida en el artículo 21 de la LSSI . Paralelamente, se valoran como atenuantes los criterios d),
  35. e)y
  36. f)recogidos en el citado artículo 40 de la LSSI, y ello ante la falta de constancia tanto de que el denunciante haya sufrido perjuicios derivados de la comisión de la infracción imputada, como de que la entidad denunciada haya obtenido beneficios o algún impacto en su volumen de facturación con motivo de la comisión de la infracción del artículo 21.1 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 Por lo tanto, se estima adecuado a la gravedad de los hechos analizados la imposición de una sanción de 3.000 € con arreglo a lo previsto en los artículos 40 de la LSSI y 131 de la LRJ-PAC. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CONVERSALES INNOVA, S.L., por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  37. d)de la LSSI, una multa de 3.000 € (Tres mil euros), de conformidad con lo establecido en los artículos 39.1.
  38. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a CONVERSALES INNOVA, S.L. y a Don A.A.A. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.