1/13 Expediente Nº: EXP202400240 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 29 de abril de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a HEADBLUE MARKETING, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202400240 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 28 de noviembre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra HEADBLUE MARKETING, S.L. con NIF B67579409 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Recepción de comunicaciones electrónicas comerciales en su dirección de correo electrónico ***EMAIL.1, no solicitadas ni consentidas. Señala que no ha sido cliente de la entidad remitente (parte reclamada) ni ha existido contacto previo. También expone que no contestan a las solicitudes de acceso remitidas en fecha 26/10/2023 y 23/11/2023. Junto a la reclamación se aportan, los correos electrónicos enviados a la dirección de la parte reclamante que a continuación se detallan: -Correo electrónico enviado el 25 de mayo de 2023, 16:51 horas De: ***EMAIL.2 Para: ***EMAIL.1 Asunto: Tu kit digital caduca pronto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 “Escribo en referencia a tu Kit Digital con caducidad a día 2/6/2023. Veo que aún no ha destinado el importe del Kit. Somos una empresa digitalizadora con larga experiencia en Kit Digital y ofrecemos servicios tales como Web, Posicionamiento, Redes Sociales, CRM, ERP... entre otros. Somos rápidos, tenemos atención personalizada y un servicio excelente. Se que vas justo de tiempo así que en 20 segundos te explico los servicios…” - Correo electrónico enviado el 29 de mayo de 2023, 14:34 horas De: ***EMAIL.2 Para: ***EMAIL.1 Asunto: Re: Tu kit digital caduca pronto “Quería recordarte que tu kit tiene caducidad el 2/6/2023 y no va a poder disponer de los 12000€ que te han concedido. Por suerte, te podemos ayudar y tramitar antes de que caduque tu Kit Digital con nuestros servicios de Marketing y Desarrollo. Ya son más de 100 los acuerdos que hemos firmado. Trabajamos de la mejor manera y dando el mejor servicio. ¡Recuerda que no debes pagar nada! (está subvencionado) Te recuerdo los servicios:…” - Correo electrónico enviado 31 de mayo de 2023, 11:30 horas De: ***EMAIL.2 Para: ***EMAIL.1 Asunto: Usa tus 12000€ del Kit Digital sin pagar nada “Buenas tardes, soy XXXX de nuevo. Perdona mi insistencia, si estás interesado en poder destinar tus 12000 del Kit Digital, estoy abierto a hablar contigo. Te dejo mi Whatsapp +34 ***TELÉFONO.1” - Correo electrónico enviado 1 de junio de 2023, 9:16 horas De: ***EMAIL.2 Para: ***EMAIL.1 Asunto: No tengo respuesta sobre tu Kit Digital - CONSULTORIA E INSTALACIONES FARMACEUTICAS Y ALIMENTARIAS S.L.U “No he recibido ninguna respuesta sobre tu Kit Digital. Te lo pongo muy fácil, responde simplemente con un número. 1 - No tengo tiempo, pero estoy interesado. (Voy a llamarte en cualquier momento) 2 - Estoy interesado 100%. 3 - Prefiero hablar por telefono, ¿Me llamas? 4 - No quiero gastar el Kit (Pierdes el importe de 12000) 5 - No estoy interesado para nada.” - Correo electrónico enviado 23 de noviembre de 2023, 9:28 horas De: ***EMAIL.2 Para: ***EMAIL.1 Asunto: Referente a tu Kit Digital “¡Hola!, Referente al Kit Digital de su empresa, he podido observar que se caduca el 02/12/2023 y no has podido hacer uso de la totalidad de los 2000€ que te corresponden. Me gustaría saber si puedo ayudarte a hacer uso del Kit digital en: Pagina Web Posicionamiento de vuestra web en Google Redes Sociales Sistemas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 gestión empresarial Otros Como te indico, al caducar el día 02/12/2023, es mejor que lo pongamos en marcha y puedas aprovechar tu Kit Digital. ¡Estamos en contacto” Así mismo, se aportan los correos electrónicos enviados de la parte reclamante a la parte reclamada solicitando conocer cómo se han obtenido sus datos. Se relacionan a continuación: - Correo electrónico enviado 26 de octubre de 2023, 21:08 horas De: ***EMAIL.1 Para: ***EMAIL.2 “Buenas noches, Ruego me hagan conocer el medio por el cual han obtenido mis datos y la información de mi kit digital. De no recibir contestación antes del próximo martes iniciaré procedimiento ante la Agencia Española de Protección de Datos Un saludo.” - Correo electrónico enviado 23 de noviembre de 2023, 9:46 horas De: ***EMAIL.1 Para: ***EMAIL.2 “Ruego me hagan conocer el medio por el cual han obtenido mis datos y la información de mi kit digital. De no recibir contestación iniciaré procedimiento ante la Agencia Española de Protección de Datos Un saludo” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 11/01/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 07/02/2024 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: “En fecha 29 de noviembre de 2023, XXXXX, en nombre y representación de la propia HEADBLUE en la condición de sus asesores legales, enviaron una carta de respuesta a este usuario dando contestación al ejercicio de su derecho de acceso y cumpliendo con las obligaciones establecidas en la normativa aplicable en materia de protección de datos a este respecto. Como DOCUMENTO Nº 1 se aporta el mail de respuesta con fecha 29 de noviembre con la carta de contestación que se adjuntó en el mismo por medio de la cual se dio cumplimiento a la solicitud del ejercicio del derecho de acceso por parte de este usuario, explicándole los medios que HEADBLUE había utilizado para recabar los datos, la finalidad bajo la cual tenía la intención de tratar esos datos y confirmándole C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 que sus datos habían sido ya eliminados de la base de datos titularidad de HEADBLUE con carácter inmediato. El 6 de diciembre de 2023 volvimos a remitir un correo electrónico de respuesta al email recibido por parte de este usuario de fecha 29 de noviembre de 2023 en el que se le informaba de lo siguiente…. …. HEADBLUE ha desarrollado de manera paralela, en el seno de su actividad, una herramienta capaz de extraer bases de datos del entorno de Internet que hayan solicitado subvenciones para la implementación del Kit Digital o cualesquiera otros servicios relacionados con este concepto. De esta forma, gracias a esta herramienta, desde HEADBLUE se es capaz de identificar a usuarios autónomos/empresas que pudieran necesitar o estar interesados en contratar estos servicios de implementación del Kit Digital en base a una solicitud previa que han hecho en relación con las subvenciones disponibles dirigidas digitalizar empresas u organizaciones En este sentido, es importante tener en cuenta que la finalidad de HEADBLUE no es el envío de comunicaciones comerciales indiscriminadas a cualquier usuario de Internet, sino el envío de comunicaciones comerciales a usuarios que estén interesados en estos servicios con la única finalidad de establecer una relación comercial y profesional con los mismos de acuerdo con el artículo 19 de la LOPDGDD y el artículo 6.1.f.) relativo a la base legitimadora del interés legítimo. De todas formas, sus datos ya han sido eliminados de nuestra base de datos y no volveremos a contactarle para ofrecerle nuestros servicios. En este sentido, y en lo que respecta a este usuario ***EMAIL.1, HEADBLUE era conocedor de que, a pesar de que se tratase de una cuenta Gmail, esta dirección de correo electrónico era de naturaleza profesional puesto que, antes de enviar ninguna comunicación comercial exponiendo sus servicios a este usuario y ofreciendo iniciar una relación comercial entre las partes, HEADBLUE investigó si, efectivamente, podía utilizar este email al amparo del interés legítimo recogido en el artículo 19 de la LOPDGDD y el artículo 6.1.
- f)del RGPD. Concretamente, HEADBLUE se aseguró de ello buscando el perfil de este usuario en Linkedin y confirmando que se trataba del representante de la sociedad Consultoría e Instalaciones Farmacéuticas y Alimentarias S.L.U” Junto al escrito aporta los correos electrónicos citados, enviados desde la dirección ***EMAIL.3 en representación de la parte reclamada, el 29 de noviembre y el 6 de diciembre de 2023 y los correos de respuesta de la parte reclamante en fecha 29 de noviembre y 6 de diciembre. TERCERO: Con fecha 28 de febrero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Prohibición de comunicaciones comerciales realizadas a través de correo electrónico o medios de comunicación electrónica equivalentes Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. La LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Prohibición de comunicaciones comerciales no solicitadas o expresamente autorizadas Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
- f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. El concepto de comunicación comercial, de acuerdo con la definición recogida en el Anexo f), párrafo primero de la LSSI, engloba todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. Por otro lado, la LSSI en su Anexo
- a)define “Servicio de la Sociedad de la Información” como “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios”. Añade el referido apartado que el envío de comunicaciones comerciales es un servicio de la sociedad de la información, siempre que represente una actividad económica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 Según el apartado
- d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
- f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV Obligación incumplida El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación.” La definición de prestador del servicio se contiene en el apartado
- c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. En este caso la parte reclamante reclama por el envío de cinco comunicaciones comerciales no deseadas en su dirección de correo electrónico en fechas 25/5, 29/05, 31/05, 1/06 y 23/11 de 2023 a pesar de no haber otorgado su consentimiento, ni existir una relación contractual previa. En fechas 26/10 y 23/11 de 2023 la parte reclamante envía dos correos electrónicos a la parte reclamada, solicitando información de donde han obtenido sus datos y la parte reclamada contesta en fecha 29/11 y 6/12 de 2023 atendiendo al derecho de acceso y confirmando la supresión de sus datos. En relación con las comunicaciones comerciales remitidas a la parte reclamante, la parte reclamada manifiesta que la base de legitimación para el tratamiento de datos es el interés legítimo, ya que estas comunicaciones no son discriminadas, sino que se han dirigido únicamente a aquellos que se han interesado en las subvenciones para obtener el kit digital, para ello han utilizado una herramienta que sólo selecciona en internet a las personas u organizaciones que reúnen esas características. Según indica la parte reclamada remite las comunicaciones a las direcciones electrónicas de correo corporativo o profesional. La parte reclamada hace un relato de su forma de obtener datos en internet y no manifiesta que vaya a realizar ningún cambio en su forma de proceder. De su relato se desprende que no ha tenido ni tiene, el consentimiento expreso de la parte reclamante, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 por tanto el envío de estas comunicaciones es contrario al artículo 21.1 de la LSSI que establece ya que no ha existido una relación contractual previa entre las partes que hubiera servido para fundamentar el interés legítimo invocado por la parte reclamada. V Tipificación de la infracción De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la parte reclamada ha cometido una infracción por el envío de comunicaciones comerciales no deseadas, a pesar de no haber otorgado su consentimiento, ni existir una relación contractual previa. Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, por vulneración del Artículo 21.1 de la LSSI, que señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” VI Calificación de la infracción De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
- c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13
- d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la citada infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve. VII Propuesta de sanción A tenor de lo establecido en el artículo 39.1.
- c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000€, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma, que dispone lo siguiente: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
- a)La existencia de intencionalidad.
- b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
- c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
- d)La naturaleza y cuantía de los perjuicios causados.
- e)Los beneficios obtenidos por la infracción.
- f)Volumen de facturación a que afecte la infracción cometida.
- g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” El balance de las circunstancias contempladas, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 21 de la LSSI, permite fijar como valoración inicial una multa de 1.000€ (mil euros). Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a HEADBLUE MARKETING, S.L., con NIF B67579409, por la presunta infracción del Artículo 21.1 de la LSSI, tipificada en el Artículo 38.4.
- d)de la LSSI. SEGUNDO: NOMBRAR como instructora a B.B.B. y, como secretaria, a C.C.C., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería por la supuesta infracción del artículo 21.1 de la LSSI, tipificada en el artículo 38.4.
- d)de dicha norma, multa administrativa de cuantía 1.000,00 euros, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a HEADBLUE MARKETING, S.L., con NIF B67579409, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, de la LPACAP. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 800 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 800 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 600 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 800 euros o 600 euros, deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado resolución, se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 43.2 de la LSSI. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 166-30102023 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 9 de mayo de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 600 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202400240, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a HEADBLUE MARKETING, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es