PS-00204-2015

1/17 Procedimiento Nº PS/00204/2015 RESOLUCIÓN: R/02275/2015 En el procedimiento sancionador PS/00204/2015, instruido por la Agencia Española de Protección de Datos a la entidad VUELING AIRLINES S.A., vista la denuncia presentada por Dña. A.A.A. , y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 6 de noviembre de 2014 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia de Dña. A.A.A., en adelante la denunciante, en el que manifiesta que el 30 de septiembre de 2014 recibió confirmación de su solicitud de baja del servicio del boletín de newsletter VUELING AIRLINES S.A., en adelante VUELING, a pesar de lo cual ha continuado recibiendo boletines de la entidad. Junto con la denuncia se aporta la siguiente documentación:

1. a)Captura de pantalla de un correo electrónico de confirmación de baja recibido el 30 de septiembre de 2014.
2. b)Captura de pantalla de un correo electrónico publicitario de VUELING recibido el 4 de noviembre de 2014 Durante una conversación telefónica mantenida el 17 de febrero de 2015, la denunciante manifestó que la dirección de correo en la que recibió ambos mensajes es H.H.H.gmail.com. En dicha fecha la denunciante reenvía por correo electrónico a esta Agencia la siguiente documentación: - Correo electrónico recibido el 30 de septiembre de 2014 de “Confirmación de baja de Vuela! la newsletter de Vueling” - La comunicación comercial de fecha 10 de noviembre de 2014 enviada desde C.C.C. con el Asunto “A.A.A., ¡Se acaba el tiempo! Vuelos desde 29,99 € ¡Reserva ya!” - La solicitud de baja remitida por la denunciante el 4 de noviembre de 2014 a C.C.C. en respuesta al correo electrónico comercial recibido con esa misma fecha con el Asunto “A.A.A., este invierno vuelta desde 29,99 €. ¡Solo 8 días!” En todos los correos reenviados aparece como destinatario la cuenta H.H.H.gmail.com . SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia constataron los siguientes hechos a raíz de la inspección realizada en la sede de VUELING el día 3 de marzo de 2015: 1. VUELING, sociedad que se dedica al transporte aéreo de personas, dispone de un servicio de NEWSLETTERS por el que informa a las personas que se encuentran dadas de alta en el mismo de promociones y ofertas de vuelos operados por la compañía. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 El alta en el servicio se realiza bajo petición del suscriptor existiendo tres vías o canales para ello: 1.1. A través de proceso de reserva de vuelos de la compañía vía Internet. 1.2. A través de la página web de la compañía. 1.3. A través de la zona privada, dentro de la página web de la compañía, dedicada de los clientes que disponen de la tarjeta de puntos de VUELING. En cualquiera de las tres vías, el proceso de alta en el servicio de NEWSLETTERS requiere que el candidato a suscriptor seleccione la casilla correspondiente de solicitud de alta, casilla que por defecto no aparece seleccionada. De esta manera, el hecho de hacer una reserva de vuelo o de comprar un billete de VUELING implica el alta como suscriptor en el servicio de NEWSLETTERS, en cumplimiento de la política de privacidad que tiene que aceptar el cliente. 2. Para el proceso de baja del servicio de NEWSLETTERS, VUELING tiene implantado un procedimiento que incluye las siguientes vías o canales: 2.1. Activando el procedimiento desde cualquiera de los mensajes recibidos a través del servicio de NEWSLETTERS. Todos los mensajes enviados a través de este servicio incluyen al final el siguiente mensaje: “Si prefieres no recibir más comunicaciones de este tipo, no dudes en comunicárnoslo aquí” En la frase anterior la palabra “aquí” aparece resaltada, distinto color y subrayada, poniendo así en evidencia que contiene un enlace a una página web que permite la baja en el servicio de NEWSLETTERS, a partir de la cual se dejan de recibir mensajes asociados a dicho servicio. 2.2. A través de la dirección de correo electrónico lopd G.G.G., dirección de la que se informa dentro del apartado avisos legales en la página web de VUELING. 2.3. A través de correo postal dirigido al domicilio de VUELING. 3. Durante la inspección se constataron los siguientes hechos: 3.1. VUELING tiene 8,4 millones de suscriptores aproximadamente. 3.2. En el momento de la inspección se comprueba que el sistema de bajas del boletín a través del enlace descrito en el punto 2.1 funciona correctamente. 1.1. En la base de datos de suscriptores la dirección de correo electrónico H.H.H.gmail.com consta vinculada a un usuario con fecha de alta 16 de mayo de 2014, sin que conste la baja del boletín. Consultados los sistemas de gestión de envío del boletín, no se localizan envíos realizados a esta cuenta. 3.3. Al realizar una búsqueda en el fichero de clientes utilizando como criterio los apellidos “ A.A.A.”. Se localizan tres registros coincidentes, de los cuales uno es el consultado previamente y otro es, además, coincidente parcialmente en el nombre ( A.A.A.) y también en el número de teléfono. Este registro tiene asociado la dirección de correo F.F.F.. El registro asociado a la dirección F.F.F. tiene fecha de alta 26 de abril de 2010 y la baja del boletín de noticias el 5 de noviembre de 2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 Consultados los sistemas de gestión de envío del boletín, se localizan dos envíos publicitarios de fechas 4 y 10 de noviembre de 2014. 3.4. En relación con el sistema de bajas, los representantes de la entidad manifiestan que: 3.4.1.Las bajas solicitadas a través de los distintos medios son contestadas inmediatamente a través de un mensaje mostrado en el navegador y del envío de un correo de confirmación de la baja. Las solicitudes no son resueltas inmediatamente sino que son introducidas en una cola de peticiones que es atendida por un proceso diferido que actualiza la base de datos de suscriptores. El proceso diferido puede atenderlas casi instantáneamente o demorar su ejecución si el número de peticiones o la carga del proceso es elevada. 3.4.2.El 7 de octubre de 2014 un cliente informó de que continuaba recibiendo boletines a pesar de haber solicitado la baja del mismo. VUELING creó una incidencia y detectó un retraso en el funcionamiento del proceso que actualizaba la base de datos que estaba haciendo que las solicitudes se introdujeran en la cola pero no fueran atendidas o lo fueran mucho tiempo después de su introducción en la cola. El periodo de tiempo durante el que las solicitudes no fueron atendidas inmediatamente comenzó el 26 de septiembre de 2014 y finalizó con la resolución de la incidencia el 8 de octubre de 2014. La incidencia con el proceso de actualización se volvió a producir entre el 12 y el 16 de febrero de 2015 por motivos similares. La entidad aporta copia de los registros internos de las dos incidencias. 4. Los representantes de la entidad manifiestan desconocer en el momento de la inspección el motivo por el que se ha podido producir el envío de un boletín el 10 de noviembre de 2014 a un usuario que consta como dado de baja desde 5 de noviembre de 2014. A fecha del presente informe no se ha recibido explicación alguna sobre la causa de dicho envío. 5. No es extraño que usuarios que disponen de más de una cuenta de correo programen que todo el correo recibido en una cuenta determinada sea reenviado automáticamente a otra cuenta concreta. Los indicios hallados durante la investigación apuntan a la posibilidad de que en este caso los correos remitidos desde VUELING a la cuenta F.F.F. fueran reenviados a la cuenta H.H.H.gmail.com , pero al no disponer de las cabeceras completas de los correos aportados por la denunciante sino únicamente de su contenido, no es posible acreditar fue así o no. TERCERO: Con fecha 14 de abril de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VUELING por la presunta infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 38.4.
3. d)de dicha norma, pudiendo ser sancionada con multa de hasta30.000 €, de acuerdo con el artículo 39.1.
4. c)de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 Notificado el citado Acuerdo de inicio con fecha 22 de abril de 2015, a petición de VUELING se entrega copia de la documentación obrante en el procedimiento con fecha 8 de mayo de 2015 y se acuerda la ampliación de plazo para formular alegaciones hasta un máximo de siete días con fecha 11 de mayo de 2015. CUARTO: Con fecha 27 de mayo de 2015 se registra de entrada escrito de alegaciones de la representación de VUELING solicitando el archivo del expediente sancionador por ausencia de elementos de cargo suficientes que acrediten la comisión de la infracción imputada, y que justifica en el cumplimiento del nivel adecuado de diligencia e inexistencia de culpabilidad en su conducta. En apoyo de lo cual aduce lo siguiente: VUELING afirma que de los hechos descritos en el acuerdo de inicio no se desprende vulneración alguna al ilícito previsto en el artículo 21.1 de la LSSI, debido a que en el expediente no consta que los envíos de fechas 4 y 10 de noviembre de 2014 se remitieron a la cuenta de correo H.H.H.gmail.com sino a la cuenta de correo F.F.F., dirección distinta de la que aparece en la denuncia y sobre la que no consta oposición para el envío de publicidad por vía electrónica. Se considera que no existe prueba que permita imputar responsabilidad a la entidad, habida cuenta que los inspectores de la AEPD no localizaron en los sistemas de la entidad la realización de envíos a la cuenta denunciada, aunque si comprobaron que constaba que desde la cuenta F.F.F. , asociada al nombre y teléfono de denunciante, se remitieron dos envíos publicitarios con fechas 4 y 10 de noviembre de 2014. Se recuerda que las fotocopias de los dos correos denunciados aportados por la denunciante carecen de eficacia probatoria al no estar acompañados de las cabeceras completas de los mismos, lo que apoyan citando diversas sentencias del Tribunal Supremo relativas a la falta de autenticidad, a efectos probatorios, de las fotocopias. Se añade que de la documentación del procedimiento no se enerva que los mensajes remitidos por VUELING a la dirección F.F.F. en las mismas fechas en que se recibieron las comunicaciones denunciadas en la cuenta de correo electrónico H.H.H.gmail.com no pueda deberse, por ejemplo, a que la denunciante tenga activada la configuración de reenvío automático de los mensajes electrónicos desde la cuenta de yahoo a la dirección de destino que figura en la denuncia El envío de 10 de noviembre de 2014 a la dirección F.F.F. se realizó dentro del plazo legal de los diez días siguientes al día 5 de noviembre, fecha que coincide con la de recepción de la solicitud de baja del interesado y se registra como tal en su CRM, siendo a partir de ese momento cuando se inicia el proceso interno de gestión de la baja del boletín. Se entiende que al no haberse producido una falta de diligencia de VUELING para atender la solicitud de baja de la denunciante no concurre el elemento de culpa en su conducta, el cual resulta preciso para configura el ilícito administrativo imputado, siendo también de aplicación a este supuesto el ”favor rei” o la presunción de inocencia al no haber prueba de que VUELING remitiese alguna comunicación comercial no deseada a la dirección H.H.H.gmail.com , respecto de la cual se solicitó la baja en el envío de la newsletter. QUINTO: Con fecha 29 de mayo de 2015, se inicia por la Instructora un período de práctica de pruebas, en el que acuerda practicar las siguientes pruebas: C/ Jorge Juan, 6 28001 – Madrid Dar por reproducidos a efectos probatorios la denuncia interpuesta por la www.agpd.es sedeagpd.gob.es 5/17 denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección en relación con VUELING, el Informe de actuaciones previas de Inspección que forman parte del expediente E/00863/2015, las alegaciones al acuerdo de inicio PS/00204/2015 presentadas por VUELING y la documentación que a ellas acompaña. - Requerir a VUELING que acreditase mediante cualquier medio de prueba válido en derecho la cuenta de correo electrónico desde la que se solicitó la baja de la newsletter que dio lugar a la confirmación de baja de fecha 30 de septiembre de 2014, cuya copia se aportaba. Asimismo, se solicitaba la misma información respecto de la baja del boletín de noticias de fecha 5 de noviembre de 2014. - Requerir a la denunciante para que aportase la siguiente documentación e información en relación con la denuncia efectuada contra VUELING: Copia de las cabeceras completas de los correos electrónicos comerciales recibidos con fechas 4 y 11 de noviembre de 2014 adjuntados a su denuncia.; Acreditación de la cuenta de correo electrónico desde la que se realizó la solicitud de baja de fecha 30 de septiembre de 2014.; Copia de las cabeceras completas del mensaje recibido el 30 de septiembre de 2014 confirmándole la baja de la newsletter de Vueling; Aclaración y justificación de si también es titular de la cuenta de correo electrónico F.F.F. , en cuyo caso se solicita indique si tiene activado el reenvío automático de mensajes desde esa cuenta a otra dirección electrónica, en concreto E.E.E.. SEXTO: Con fecha 23 de junio de 2015 se registra de entrada escrito de la denunciante aportando la siguiente documental: cabeceras de los correos electrónicos comerciales recibidos de VUELING en las fechas solicitadas; pantallazo de confirmación de baja de VUELING recibido con fecha 30 de septiembre en el email y cabeceras completas de dicho mensaje de confirmación de baja de la newsletter de esa empresa. Asimismo confirma que es titular de la cuenta F.F.F., aunque en caso de que se remita algún email a dicha cuenta se genera una respuesta automática con el texto “este email no está operativo, y los mensajes enviados no son leídos. Puedes contactar conmigo en el correo electrónico H.H.H.gmail.com“, ya que dejó de utilizarla a partir de diciembre de 2012, permaneciendo en la bandeja de entrada cualquier email recibido en la misma al no estar activado reenvío automático. Con fecha 23 de junio de 2015 se registra de entrada escrito de VUELING solicitando que se tengan por reproducidas las pruebas que a continuación se indican y se disponga su unión al procedimiento: “1. El envío por parte de esta entidad de un email de confirmación de baja a la dirección de correo H.H.H.gmail.com en fecha 30 de septiembre de 2014, como así consta en los documentos obrantes en el expediente, en especial: a. En la captura de pantalla aportada por la propia denunciante en su escrito de denuncia, referente a un correo electrónico de confirmación de baja de nuestra newsletter de fecha 30/09/2014, recibido, precisamente, en la dirección de correo electrónica H.H.H.gmail.com . b. En el Documento Número 6 del Acta de Inspección E/00863/2015/I-01 (Página 34 del presente expediente) consta acreditado que desde los sistemas de Vueling no se ha realizado, en ningún momento, el envío de comunicaciones comerciales por vía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 electrónica a la dirección auriolçmail.com. 2. La solicitud de baja de la dirección electrónica F.F.F. en el boletín de noticias de Vueling con fecha 5 de noviembre de 2014, tal y como se ha verificado por los propios inspectores de la AEPD en el apartado 3.3 del Informe de Actuaciones Previas de Inspección E/00863/2015, que también se da por reproducido a los efecto oportunos. a. De manera complementaria, se adjunta como Documento Número 1 el log que contiene la información relativa al registro de la solicitud de baja en el sistema de envío del boletín de noticias de Vueling, que se realiza bajo petición del suscriptor a través de nuestra página web, para la cuenta de correo electrónica F.F.F.” SÉPTIMO: Con fecha 16 de julio de 2015 se formuló propuesta de resolución proponiendo la imposición de una sanción de 5.000 € a VUELING AIRLINES S.A., por la comisión de una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
5. d)de dicha Ley, la cual consta como notificada el día 27 de julio de 2015. HECHOS PROBADOS PRIMERO: Con fecha 30 de septiembre de 2014 se registra en esta Agencia denuncia de Dña A.A.A. (la denunciante) poniendo de manifiesto la recepción de comunicaciones comerciales procedentes de VUELING después de que dicha entidad le hubiese confirmado su baja en el servicio de newsletter. (folios 1 al 6) SEGUNDO: Con fecha 30 de septiembre de 2014 la denunciante recibió en su cuenta de correo electrónico H.H.H.gmail.com un mensaje procedente de D.D.D. con el Asunto: “Confirmación de baja de Vuela! la newsletter de Vueling”. En el citado mensaje , cuya captura de pantalla y cabeceras de Internet han sido aportadas por la denunciante, se indicaba: “Confirmación de baja de Vuela! Tu petición de baja de Vuela! Se ha procesado correctamente. ¿Cuándo quieras, puedes volver! Si tú no has solicitado la baja de la newsletter, o decides que quieres volver a recibir nuestra newsletter, sólo tienes que apuntarte de nuevo y ¡ya está! Serás el primero en enterarte de todas las ofertas, novedades y promociones de Vueling.” (folios 5, 11, 12, 107 al 112)) TERCERO: Con fechas 4 y 10 de noviembre de 2014 se remitieron dos comunicaciones comerciales a la cuenta de correo electrónico H.H.H.gmail.com procedentes de la dirección C.C.C.. En ambos envíos, cuyas cabeceras de Internet han sido aportadas por la denunciante, se ofertaban vuelos comercializados por VUELING. Dichos envíos incluían un enlace para darse de baja del servicio de newsletters . (folios 13 al 16, 94 al 105, 117 ) CUARTO: La denunciante ha reconocido ante esta AEPD ser titular de las direcciones de correo electrónico H.H.H.gmail.com y F.F.F., si bien ha indicado que dejó utilizar esta segunda cuenta en diciembre del año 2012, no teniendo activada la opción de reenvío automático desde la misma a otra dirección de correo electrónico. (folio 92) QUINTO: Durante la inspección realizada con fecha 3 de marzo de 2015 en las instalaciones de VUELING, los inspectores actuantes de la AEPD constataron que en los sistemas informáticos de dicha entidad figuraba registrada la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 - La cuenta de correo electrónico H.H.H.gmail.com 16 de mayo de 2014 (folios 20 y 30). figura con fecha de alta de - En el sistema SILVERPOP que gestiona los envíos de los boletines no se localizan envíos publicitarios a la dirección de correo electrónico H.H.H.gmail.com (folios 20 y 34) - La cuenta de correo electrónico F.F.F. figura con fecha de alta y de baja de 26 de abril de 2010 y 5 de noviembre de 2014 (folios 20 y 32). - En el sistema SILVERPOP que gestiona los envíos de los boletines se localizan dos envíos publicitarios de fechas 4 y 10 de noviembre de 2014 (folios 20 y 36 ) SEXTO: En el Acta levantada con motivo de la reseñada inspección de fecha 3 de marzo de 2015 los inspectores de la Agencia verificaron lo siguiente, según consta en el Apartado 3.2 de dicho documento: (folios 19, 20 y 24 al 29) “3.2 Se accede a uno de los boletines recibido por uno de los empleados de VUELING y se hace uso del enlace incluido en el pie de pagína para cancelar la suscripción Al pulsar el enlace se abre en el navegador una página web que solicita que se introduzca la dirección a dar de baja y tras hacerlo se verifica que la página muestra un mensaje de confirmación, la cuenta de correo recibe un mensaje de confirmación de la baja y el sistema CRM que gestiona las suscripciones se ha actualizado con la información de la solicitud, que en este caso ha sido inmediata.” Se adjunta como documento DOC. 3 impresión de pantalla con las comprobaciones realizadas.” FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
6. d)e
7. i)y 38.4 d),
8. g)y
9. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II Con anterioridad al análisis del fondo del asunto, y a los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Por lo tanto, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
10. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
11. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
12. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
13. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
14. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 Son servicios de la sociedad de la información, entre otros representen una actividad económica, los siguientes: (…) y siempre que 4º El envío de comunicaciones comerciales. ” (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
15. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica IV En el presente supuesto, de la valoración conjunta de los elementos fácticos resultantes de la instrucción del procedimiento, ha quedado acreditado que, en fechas 4 y 10 de noviembre de 2014, VUELING remitió dos comunicaciones comerciales a la dirección de correo electrónico H.H.H.gmail.com desde la cuenta de correo C.C.C., ello a pesar de que con fecha 30 de septiembre de 2014 la denunciante había recibido confirmación de baja de la newsletter de VUELING en esa misma cuenta de correo H.H.H.gmail.com. Esta confirmación de baja no sólo no ha sido discutida por VUELING, sino que en su escrito de contestación a la práctica de pruebas que le fueron requeridas ha solicitado que dicha circunstancia se tenga por reproducida a efectos probatorios. A lo anterior hay que añadir que la denunciante ha aportado, en período probatorio, las cabeceras de Internet correspondientes al email de confirmación de baja. Esta documentación, junto con la captura de pantalla del mensaje de confirmación de baja adjuntada a la denuncia (folios 5 y 106 al 121), prueban que la denunciante recibió con fecha 30 de septiembre de 2014 la mencionada confirmación de baja, para lo cual debió utilizar el enlace de baja para cancelar sus suscripción al servicio de Newsletters en la cuenta H.H.H.gmail.com , y que al ser pulsado, según verificaron los inspectores actuantes (folios 19, 20 y 24 al 29), abre en el navegador una página web que solicita la introducción de la dirección a dar de baja y origina la recepción en esa misma cuenta de correo de un mensaje de confirmación de la baja. VUELING ha negado que la AEPD haya probado la remisión de dichas comunicaciones comerciales basándose tanto en que la información recogida en sus sistemas informáticos no refleja la realización de ningún envío publicitario al email indicado por la denunciante, como que ésta únicamente ha aportado como medio de prueba de la recepción de los envíos denunciados simples fotocopias de los mismos que carecen a los efectos pretendidos de valor probatorio. Sin embargo, durante el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 período de práctica de pruebas la denunciante ha presentado las cabeceras de Internet de las comunicaciones comerciales objeto de denuncia, de cuyo análisis se evidencia que fueron remitidas y recibidas en la dirección de correo electrónico H.H.H.gmail.com. De este modo, dicha documentación destruye el principio de presunción de inocencia o “favor rei” invocados por VUELING con arreglo a lo dispuesto en el artículo 137 de la LRJ-PAC, toda vez que obran en el procedimiento elementos fácticos de cargo suficientes que acreditan, en forma indubitada, que VUELING remitió a dicha cuenta de correo electrónico dos comunicaciones comerciales con fechas 4 y 10 de noviembre de 2014 desde la cuenta de correo C.C.C., es decir con posterioridad a haber confirmado la baja de su correo electrónico para el envío de la newsletter publicitaria de la entidad. También en relación con la carga de la prueba, hay que señalar que los inspectores de la AEPD se han limitado a trasladar al Acta de Inspección de fecha 3 de marzo de 2015 la información que constataron aparecía reflejada en los sistemas informáticos de la entidad sobre los correos electrónicos comerciales que constaban asociados a las dos cuentas de correo titularidad de la denunciante. Esta comprobación no supone la realización por parte de dichos inspectores de actuación alguna de verificación de dicha información, cuyo contenido se trasladó al Acta sin mediar ninguna otra operación por su parte. Además, la constatación de la existencia, o inexistencia, de registros informáticos no determina por sí misma, como pretende la imputada, que las anotaciones recogidas en los mismos se correspondan con la realidad. De hecho, VUELING no ha aportado ningún medio de prueba distinto de los citados registros a los efectos de probar que los envíos se efectuaron a la cuenta de correo electrónico F.F.F. que figuraba en sus sistemas, mientras que de las actuaciones practicadas en la instrucción del procedimiento ha resultado que los envíos dirigidos a la cuenta de correo electrónico H.H.H.gmail.com , que no constaban registrados en dichos sistemas, si fueron enviados en las fechas antes indicadas. De lo anterior se desprende que ambas comunicaciones se remitieron transcurrido ampliamente el plazo máximo de diez días hábiles mencionado por VUELING en su escrito de alegaciones para hacer efectiva la baja a partir de la recepción de la solicitud, y que se viene aplicando por la AEPD por analogía con lo dispuesto en el artículo 35 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, al no fijarse plazo alguno en el artículo 21.2 de la LSSI para que el prestador de servicios atienda el derecho de oposición manifestado por el destinatario de los envíos al tratamiento de sus señas electrónicas con fines publicitarios recogido en dicho precepto. Todo ello sin perjuicio de que a la vista del contenido del mensaje de confirmación de baja de la newsletter aportado por la denunciante , en el que se asegura que la petición de baja “se ha procesado correctamente”, no puede entenderse, como pretende la remitente del mismo, que se trate de un simple acuse de recibo de la petición de baja a partir del cual se inicia el cómputo de diez días para resolverla, máxime cuando en el mismo no se hace ninguna mención expresa al respecto y se confirma taxativamente la baja. Es decir, cuando VUELING remitió a la denunciante las dos comunicaciones comerciales objeto de análisis a la cuenta de correo electrónico H.H.H.gmail.com con fechas 4 y 10 de noviembre de 2014 , dicha entidad no sólo conocía la voluntad de la afectada de que su cuenta de correo electrónico no se utilizase para enviar publicidad del servicio de Newsletter, sino que, además, se remitieron transcurrido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 más de un mes a contar desde la fecha de la confirmación de la baja ocurrida el día 30 de septiembre de 2014. A la luz de lo expuesto, cabe concluir que los envíos comerciales objeto de imputación no estaban amparados por el consentimiento previo y expreso de la denunciante, lo que supone un incumplimiento por parte de la entidad imputada de la prohibición recogida en el artículo 21.1 de la LSSI de enviar comunicaciones comerciales por medios de comunicación electrónica o similares que no hayan sido previamente solicitadas o expresamente autorizadas por los destinatarios de las mismas. Por otra parte no cabe aplicar la excepción contenida en el primer párrafo del artículo 21.2 de dicha norma, toda vez que no consta probado que dichos envíos hubieran sido solicitados o autorizados por la denunciante con posterioridad a haber manifestado a dicha empresa su negativa a no continuar recibiendo publicidad en su correo electrónico, circunstancia que hizo decaer la excepción al consentimiento derivada de la condición de cliente de la misma. V La entidad imputada alega falta de responsabilidad en su conducta al no haber quedado probada la remisión por su parte a la denunciante de los envíos denunciados y haber quedado patente la falta de culpa en su conducta debido a la escrupulosa observancia y control mostrados por VUELING en atender la solicitud de baja de la denunciante a través del procedimiento establecido para la atención de las solicitudes de baja den el envío de nuestra newsleter. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo, así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
16. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En este orden de ideas si bien, en el presente caso, no puede acreditarse una conducta dolosa por parte de la entidad imputada, sin embargo, si se aprecia la existencia de responsabilidad en la comisión de la infracción imputada a título de culpa, ya que VUELING no mostró, con anterioridad a la realización de los dos envíos no consentidos objeto de estudio, la diligencia y el deber de cuidado que le eran exigibles para asegurarse, en tanto que empresa habituada al envío a sus clientes de comunicaciones comerciales por medios de comunicación electrónica, que dichos correos electrónicos publicitarios cumplían con las exigencias derivadas del artículo 21.1 de la LSSI, para lo que resultaba preciso controlar con anterioridad a su remisión que mediaba el consentimiento previo y expreso del destinatario, lo que incluye comprobar que éste no hubiera expresado su oposición a la recepción de los mismos. En este supuesto, esta Agencia considera que a la entidad imputada le era exigible otra conducta diferente de la que observó, sin que el hecho de que las solicitudes de baja sean contestadas en forma automática con un mensaje de confirmación de la misma conlleve, -ya que se trata de una medida formal que no es paralela a la baja real en sus sistemas-, que dicha oposición vaya a ser tramitada correctamente ni asegure, tampoco, que en todos los ficheros que intervienen en la gestión de los envíos están implantados los mecanismos técnicos y de control necesarios para garantizar el derecho de los destinatarios a no recibir comunicaciones electrónicas no deseadas en sus cuentas de correo electrónico, causa por la que debió actuar con más prudencia para justificar la legalidad de su conducta. Por ello, en este supuesto, VUELING no ha acreditado contar con medidas adecuadas que garantizasen la tramitación real y efectiva de la baja solicitada por la denunciante, no constando siquiera registrados en sus sistemas los dos envíos realizados a la cuenta de correo electrónico H.H.H.gmail.com de la denunciante. En definitiva,, cabe imputar a VUELING responsabilidad en la comisión de la infracción imputada a título de culpa, ya que esa entidad no desplegó, por los motivos ya razonados, la diligencia y el deber de cuidado que le eran exigibles para asegurarse de que la denunciante no había manifestado su negativa a la recepción de correos comerciales no deseados por vía electrónica, lo que hubiese evitado . VI El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos) La definición de prestador del servicio se contiene en el apartado
17. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”, como ha ocurrido en este caso en el que VUELING es responsable del envío no autorizado de las comunicaciones comerciales objeto de estudio. De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
18. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
19. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b), se producirá una infracción de carácter grave a los efectos de la LSSI. A partir del conjunto de hechos y circunstancias constatadas en el procedimiento sancionador y vistos los fundamentos de derecho anteriores, la conclusión que se desprende es que la conculcación del artículo 21.1 de la LSSI imputada a VUELIG se ajusta al tipo de infracción calificada como leve en el artículo 38.4.
20. d)de la LSSI, ya que el envío a la denunciante por parte de dicha entidad de dos comunicaciones comerciales (correos electrónicos), en concreto con fechas 4 y 10 de noviembre de 2014, no puede calificarse como envío insistente o sistemático. En contra de lo alegado, en el supuesto analizado no se ha producido vulneración del principio de tipicidad, ya que a través de las actuaciones practicadas ha quedado justificado que los hechos que han resultado probados encajan en el ilícito previsto en el artículo 21.1 de la LSSI, habiéndose probado que VUELING vulneró la prohibición de remitir comunicaciones comerciales a la denunciante al no mediar solicitud previa o autorización expresa de la misma para ello, tal y como exige el artículo 21.1 de la LSSI. Dicha conducta se subsume en la infracción leve descrita en el artículo 38.4.
21. d)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 de la LSSI, cumpliéndose así las exigencias derivadas del principio de tipicidad. Respecto de esta cuestión en la Sentencia de la Audiencia Nacional de fecha 17 de octubre de 2007, Recurso 23/2006, se indicaba: “Por tanto, concurre la tipicidad cuya infracción se denuncia en el escrito de demanda, pues hay predeterminación normativa, que desempeña la función de garantía mediante la cual se tiene una predicción razonable de la conducta ilícita y de las consecuencias jurídicas que lleva aparejada la comisión de dicha conducta, dicho de otra forma, la tipicidad es suficiente si consta en la norma una predeterminación inteligible de la infracción, de la sanción y de la correlación entre una y otra.” VII A tenor de lo establecido en el artículo 39.1.
22. c)de la LSSI, las infracciones leves podrán ser sancionadas con multa de hasta 30.000 €, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma que dispone lo siguiente: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
23. a)La existencia de intencionalidad.
24. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
25. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
26. d)La naturaleza y cuantía de los perjuicios causados.
27. e)Los beneficios obtenidos por la infracción.
28. f)Volumen de facturación a que afecte la infracción cometida.
29. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En relación a los criterios de graduación de las sanciones recogidos en este artículo 40 de la LSSI se estima que, si bien no ha existido intencionalidad en la conducta de TME, sin embargo la falta de diligencia observada por ésta se valora como agravante, puesto que el envío a la denunciante de dos correos electrónicos comerciales después de haberle confirmado, con fecha 30 de septiembre de 2014, la baja de sus señas electrónicas en el servicio de newsletter no puede dejar de valorarse en relación con la profesionalidad que resulta exigible a VUELING, ya que como empresa habituada en el desarrollo de sus campañas publicitarias a la remisión de comunicaciones comerciales por vía electrónica o por medios similares está obligada a ser especialmente conocedora de las exigencias recogidas en la LSSI respecto de este tipo de envíos publicitarios. Igualmente, opera como agravante la reincidencia de la entidad imputada por la comisión de infracciones de la misma naturaleza que hayan resultado firmes, en este sentido VUELING fue sancionada con una multa de 3.500 € en la resolución R/00452/2015 (PS/00454/2014) por la comisión de una infracción de la misma naturaleza. Paralelamente, se valoran como circunstancias atenuantes en la comisión de la infracción imputada la falta de constancia de que la remisión de los envíos no autorizados haya ocasionado perjuicios relevantes a su destinataria o generado algún C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 tipo de beneficios o facturación a la empresa imputada como remitente de los mismos. Por lo tanto, se estima que la imposición de una sanción de 5.000 € resulta adecuada a la gravedad de los hechos imputados con arreglo a lo previsto en los artículos 40 de la LSSI y 131 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VUELING AIRLINES S.A., por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
30. d)de dicha norma, una multa de 5.000 € (Cinco mil euros), de conformidad con lo establecido en los artículos 39.1.
31. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a VUELING AIRLINES S.A., y a Dña. A.A.A. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº : ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en Caixabank, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es