PS-00202-2017

1/9 Procedimiento Nº: PS/00202/2017 RESOLUCIÓN R/02607/2017 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00202/2017, instruido por la Agencia Española de Protección de Datos a la entidad RED UNIVERSAL DE MARKETING Y BOOKINGS ONLINE S.A. (RUMBO), vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 12 de mayo de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad RED UNIVERSAL DE MARKETING Y BOOKINGS ONLINE S.A. (RUMBO), mediante el Acuerdo que se transcribe: <<Procedimiento Nº: PS/00202/2017 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad RED UNIVERSAL DE MARKETING Y BOOKINGS ONLINE, S.A.U. (RUMBO) en virtud de denuncia presentada ante la misma por D. A.A.A. y en base a los siguientes, HECHOS PRIMERO: Con fecha 6 de octubre de 2016 tuvo entrada en esta Agencia escrito de denuncia presentado por D. A.A.A. (en lo sucesivo el denunciante) en el que manifestaba que RED UNIVERSAL DE MARKETING Y BOOKINGS ONLINE, S.A.U. (en lo sucesivo la entidad denunciada o simplemente RUMBO) le había remitido correos electrónicos en su cuenta B.B.B., con origen en las direcciones ***EMAIL.2 y ***EMAIL.1, sin haberlo solicitado o autorizado previamente. Manifestaba igualmente que, a pesar de haber solicitado la baja de la lista de destinatarios y/o la cancelación de sus datos, continuaba recibiendo correos electrónicos. Para acreditar estos hechos, adjuntaba a su denuncia copia de la siguiente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 documentación:

1. a)Correos electrónicos recibidos (sin cabeceras de internet).
2. b)Solicitudes de baja enviadas. Posteriormente, y como respuesta a la solicitud de subsanación remitida por parte de esta Agencia, con fecha de 4 de noviembre de 2016 tuvo entrada en ella un escrito del denunciante en el que aportaba las cabeceras completas de los correos electrónicos recibidos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de Datos de esta Agencia se realizó la investigación correspondiente ante las entidades más abajo detalladas. De esta manera, en el informe de actuaciones de investigación E/01436/2017 se recogen como hechos constatados los siguientes: 1. <<El denunciante recibe en su cuenta de correo B.B.B. 12 correos electrónicos cuyas características se listan a continuación. Número Cuenta origen Fecha 1 ***EMAIL.1 10/3/2016 2 ***EMAIL.1 30/9/2016 3 ***EMAIL.1 10/10/2016 4 ***EMAIL.1 22/11/2016 5 ***EMAIL.2 20/4/2016 6 ***EMAIL.2 25/11/2016 7 ***EMAIL.2 28/11/2016 8 ***EMAIL.2 30/11/2016 9 ***EMAIL.2 5/12/2016 10 ***EMAIL.2 7/12/2016 11 ***EMAIL.2 9/12/2016 12 ***EMAIL.2 13/12/2016 Los correos electrónicos contienen información comercial referente a servicios de viajes de ocio. 2. Los correos electrónicos disponen de un enlace denominado “Darse de baja” donde pueda ejercitarse el derecho a oponerse al tratamiento de sus datos con fines promocionales o revocar el consentimiento que prestado previamente para el envío de los mensajes. El denunciante manifiesta que ha solicitado la baja de publicidad a través de dicho enlace y mediante correo electrónico. Aporta copia de las solicitudes de baja remitidas mediante correo electrónico. No aporta copia de las pantallas correspondientes a la solicitud de baja a través del enlace. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Aporta copia de 4 correos electrónicos remitidos a la dirección ***EMAIL.1en las fechas 15 de febrero, 10 de marzo, 3 y 10 de octubre de 2016 solicitando la baja de publicidad. No aporta respuesta a dichas solicitudes. Aporta copia de un correo electrónico remitido a la dirección ***EMAIL.2 con fecha 20 de abril de 2016 solicitando la baja de publicidad. No aporta respuesta a dicha solicitud. 3. El dominio “***DOMINIO.1” está registrado a nombre de la empresa suiza BRAVONEXT. 4. El dominio “***DOMINIO.2” está registrado a nombre de la empresa RED UNIVERSAL DE MARKETING Y BOOKINGS ONLINE S.A. (RUMBO). 5. El rango de direcciones IP que identifica el ordenador origen de los correos denunciados consta asignadas a la empresa italiana CONTACTLAB, S.R.L. 6. En respuesta a la solicitud de información realizada por el inspector actuante, se recibe un escrito de los representantes de BRAVOVENTURE SPAIN S.L. en el que manifiestan en referencia a los hechos denunciados que: 6.1. Bravoventure es una entidad perteneciente al grupo empresarial "lastminute.com group" al que pertenece también la entidad Red Universal de Marketing y Bookings Online S.A.U. ("Rumbo"). 6.2. Bravoventure no tiene relación directa con el cliente final sino que actualmente se limita a proporcionar determinados servicios a entidades del grupo "lastminute.com" que no están relacionados con el envío de comunicaciones comerciales a usuarios sino con el procedimiento de reservas de vuelos como titular de la licencia de IATA. Bravoventure no realiza envíos de comunicaciones comerciales por medios electrónicos ni participa en el proceso de envío de comunicaciones comerciales por parte de entidades pertenecientes al grupo "lastminute.com". 6.3. Las comunicaciones comerciales aportadas por el denunciante, remitidas desde la dirección ***EMAIL.1 fueron enviadas por Rumbo con base al consentimiento otorgado ante dicha entidad por el titular de la dirección de correo electrónico B.B.B.. 6.4. Bravoventure no dispone ni ha dispuesto en ningún momento ni utilizado la dirección de correo electrónico indicada y por tanto no se puede indicar el origen del dato ni el modo de obtención del mismo. Tampoco puede aportar impresión de los datos obrantes asociados a dicha dirección dado que no tiene ni ha tenido o tratado en ningún momento dichos datos. 6.5. La relación contractual actualmente existente entre Bravoventure y Rumbo no se refiere ni implica el tratamiento de datos de carácter personal de usuarios finales de Rumbo por parte de Bravoventure para finalidades de marketing. Bravoventure no presta ningún servicio en relación con el envío de comunicaciones comerciales por medios electrónicos por parte de Rumbo a sus usuarios ni para finalidades de marketing. 7. En respuesta a la solicitud de información realizada por el inspector actuante, se recibe un escrito de los representantes de RED UNIVERSAL DE C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 MARKETING Y BOOKINGS ONLINE S.A. en el que manifiestan en referencia a los hechos denunciados que: 7.1. El usuario de la cuenta B.B.B. visitó el sitio web titularidad de Rumbo, www.***DOMINIO.2, con la finalidad de buscar y realizar una reserva de billetes de avión. 7.2. En relación con la interacción específica del usuario con el Sitio Web, el usuario realizó varias búsquedas y procesos de reserva los días 21 y 22 de septiembre de 2015, pero no llegó a finalizar sus solicitudes de reserva. Les consta que para los distintos procesos de reserva, el usuario: Realizó la búsqueda de un vuelo; Seleccionó el vuelo de su interés; Introdujo sus datos para realizar la reserva y aceptó:  la casilla relativa a la aceptación de los términos y condiciones contractuales y la política de privacidad para la gestión de su solicitud de reserva.  la casilla relativa al consentimiento para el envío de comunicaciones comerciales por parte de Rumbo. Llegó a la página de pago, pero no concluyó su solicitud de reserva. 7.3. Manifiestan que el usuario aceptó expresamente el envío de comunicaciones comerciales por parte de Rumbo. Aportan impresiones de pantalla de la información del usuario contenida en sus sistemas que recogen información sobre las reservas realizadas y no concluidas con el pago. Consta en dichas pantallas que el usuario acepta las condiciones de privacidad y contractuales. 7.4. Manifiestan que el proceso de compra de un billete de avión por parte del usuario en la página web de Rumbo no fue correctamente completado ya que no llegó a pagar ni a confirmar su solicitud de reserva. En consecuencia, Rumbo no almacenó los datos de carácter personal recogidos para gestionar la reserva puesto que esta no se llevó finalmente a cabo y se limitó a guardar únicamente la dirección de correo electrónico. 7.5. En relación con las solicitudes de baja remitidas por el usuario mediante correo electrónico y a través del enlace incluido en los correos publicitarios manifiestan lo siguiente: 7.5.1.Hasta agosto de 2016 se indicaba como dirección de correo electrónico para ejercer el derecho de oposición la siguiente: boletin@***DOMINIO.2. A partir de dicha fecha la dirección incluida en los correos electrónicos comerciales es ***EMAIL.3. Esta dirección de correo electrónico está disponible en la propia política de privacidad así como en todas las comunicaciones comerciales que se envían. 7.5.2.En caso de que se reciban correos electrónicos en la dirección habilitada para darse de baja, conforme al procedimiento actual se pone en marcha un procedimiento manual de gestión de la baja por parte de personal formado específicamente en protección de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 de carácter personal ("Equipo Privacy"). Este equipo se encarga de gestionar internamente las solicitudes de los usuarios y clientes de Rumbo que solicitan el ejercicio de cualquiera de los derechos arco y de contestar convenientemente a los usuarios. El equipo procede a la baja manual del usuario en el sistema introduciendo el correo electrónico en una lista negra o "black list", de forma que los correos electrónicos de esa lista no vuelven a recibir comunicaciones comerciales de Rumbo. Una vez que el equipo de CRM confirma la baja al Equipo Privacy, éste se encarga de contestar directamente el usuario. 7.5.3.Desde comienzos del año 2015 hasta mediados de 2016, Rumbo se encontraba en un momento de reestructuración tras la adquisición de lastminute.com que implicaron modificar el procedimiento interno para gestionar las solicitudes de derecho de oposición y el cambio de la dirección de correo electrónico puesta a disposición de los usuarios para ejercer el derecho de oposición, que pasó a ser ***EMAIL.3 a partir de agosto de 2016. 7.5.4.Los correos electrónicos de solicitud de baja aportados por el denunciante enviados a la dirección boletín@new.***DOMINIO.1 con fechas 10 de marzo, 3 de octubre y 10 de octubre no se enviaron a las direcciones de correo electrónico que facilitaba Rumbo a esos efectos (el correo electrónico de 10 de marzo se debería haber enviado a ***EMAIL.2 y los correos de 3 y 10 de octubre a ***EMAIL.3). 7.5.5.Actualmente, se ha procedido a dar de baja al Usuario en la lista de distribución de Rumbo el día 16 de marzo de 2017, 8. Se ha verificado por el Subinspector firmante que a través de la página de internet www.***DOMINIO.2 es posible realizar la reserva de billetes de avión, siendo necesario la introducción de los datos relativos al origen y destino (en su caso), fecha de ida y de vuelta, nombre, apellido, dirección de correo electrónico, teléfono móvil e información de pago (número de tarjeta de crédito, masterpass o paypal). Como paso previo a la compra es obligatorio aceptar las “condiciones contractuales y la política de privacidad” en las que se informa de las finalidades del tratamiento de los datos personales, entre las que se incluye, en el punto 11.7, el envío de material publicitario a través del correo electrónico. No se observa en dicha página que se facilite la opción de oponerse al tratamiento de los datos con fines publicitarios>>. FUNDAMENTOS DE DERECHO I Los hechos expuestos podrían suponer una infracción por parte de la entidad RED UNIVERSAL DE MARKETING Y BOOKINGS ONLINE, S.A.U. (RUMBO) del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 Información y de Comercio Electrónico (en adelante LSSI), según el cual: “Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”; infracción que se encuentra tipificada como leve en el artículo 38.4.
3. d)de dicha norma, que califica como tal: “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave.”, pudiendo ser sancionada con multa de hasta 30.000 euros. Asimismo, tras las evidencias obtenidas en la fase de investigaciones previas citada más arriba, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 40 de la LSSI: el grado de intencionalidad apreciado, por la falta de diligencia constatada (apartado a); el plazo de tiempo durante el que se ha cometido la infracción, se trata de 8 correos electrónicos comerciales no deseados remitidos con posterioridad a la solicitud de baja (apartado b); la inexistencia de perjuicios alegados por el destinatario de los mensajes y la naturaleza de esos perjuicios (apartado
4. d)y falta de constancia de beneficios obtenidos por la comisión de la infracción (apartado e). Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a RED UNIVERSAL DE MARKETING Y BOOKINGS ONLINE, S.A.U. (RUMBO) con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 21.1 de la LSSI; infracción tipificada como leve en el artículo 38.4.
5. d)de la citada Ley. 2. NOMBRAR como Instructor a (…), y Secretario a (…), indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por la persona denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección E/01436/2017, todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
6. b)de la ley 39/2015, de 1 de octubre y art. 127 letra
7. b)del RLOPD, la sanción que pudiera corresponde sería de cuatro mil quinientos euros (4.500 €), sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente Acuerdo a RED UNIVERSAL DE MARKETING Y BOOKINGS ONLINE, S.A.U. (RUMBO) indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
8. f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
9. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a novecientos euros (900 €). Con la aplicación de esta reducción, la sanción quedaría establecida en tres mil seiscientos euros (3.600 €), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a novecientos euros (900 €). Con la aplicación de esta reducción, la sanción quedaría establecida en tres mil seiscientos euros (3.600 €) y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en dos mil setecientos euros (2.700 €). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (3.600 € o 2.700 €), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00202/2017 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en el artículo 43.1, párrafo segundo, de la LSSI, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 Mar España Martí Directora de la Agencia Española de Protección de Datos>> SEGUNDO: En fecha 25 de mayo de 2017 la entidad RED UNIVERSAL DE MARKETING Y BOOKINGS ONLINE S.A. (RUMBO) ha procedido al pago de la sanción en la cuantía de dos mil setecientos euros (2.700 €) haciendo uso de la/s reducciones previstas en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad. TERCERO: En fecha 7 de junio de 2017 tuvo entrada en esta Agencia escrito de la entidad RED UNIVERSAL DE MARKETING Y BOOKINGS ONLINE S.A. (RUMBO), de fecha 29 de mayo de 2017, en que reconoce expresamente su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento conformidad con lo establecido en el artículo 85 de la LPACAP. PS/00202/2017, de SEGUNDO: NOTIFICAR la presente resolución a RED UNIVERSAL DE MARKETING Y BOOKINGS ONLINE S.A. (RUMBO). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es