PS-00223-2017

1/15 Procedimiento Nº PS/00223/2017 RESOLUCIÓN: R/02494/2017 En el procedimiento sancionador PS/00223/2017, instruido por la Agencia Española de Protección de Datos a la entidad ROCK INTERNET, S.L., ., vista la denuncia presentada por H.H.H., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 21 de noviembre de 2016 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por H.H.H., en adelante el denunciante, cuyos aspectos más relevantes se describen a continuación: 1. Recibe correos electrónicos en su cuenta ***EMAIL.1. F.F.F. con origen en la dirección 2. No ha solicitado o autorizado previamente los envíos. 3. La empresa anunciante A.A.A. le comuncó meidante escrito de fecha 13 de junio de 2016 que habian procedido a la cancelación de sus datos personales en cumplimiento de la resolución R/1304/2016 del procedimiento de Tutela de Derechos TD/67/2006. La denuncia aporta copia de la siguiente documentación:

1. a)Correos electrónicos recibidos.
2. b)Escrito de la respuesta recibida por la empresa anunciante en el marco de la Tutela de Derechos TD/67/2016 en el que le comunican que han procedido a la cancelación de sus datos personales.
3. c)Como respuesta a la solicitud de subsanación remitida por esta Agencia, con fecha de 21 de noviembre de 2016 tiene entrada en esta Agencia un escrito del denunciante en el que aporta las cabeceras completas de los correos electrónicos aportados en su anterior escrito. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican diligencias teniendo conocimiento de que: 1. El denunciante recibe en su cuenta de correo F.F.F. 2 correos electrónicos cuyas características se listan a continuación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 Número Cuenta origen 1 ***EMAIL.1 Fecha 19/11/2016 2 ***EMAIL.1 20/12/2016 Los correos electrónicos contienen información comercial referente a productos y servicios de A.A.A.. 2. Los correos electrónicos disponen de una dirección de un enlace donde puede ejercitarse el derecho a oponerse al tratamiento de sus datos con fines promocionales o revocar el consentimiento que prestado previamente para el envío de los mensajes. También incluyen una cláusula en la que informan de que los datos del destinatario forman parte de la base de datos MadiacomLead y que puede ejercer los derechos de acceso, rectificación, cancelación u oposición dirigiéndose a Lead Conversión, S.L. Mediacom Lead. 3. El dominio netgoodchallenge.com está registrado a nombre de Arsys Internet, S.L., empresa que presta el servicio de registro de dominios. 4. En respuesta a la solicitud de información realizada por el inspector actuante, se recibe un escrito de los representantes de A.A.A. en el que manifiestan en referencia a los hechos denunciados que: 4.1. Las comunicaciones comerciales no han sido enviadas por A.A.A. SEGUROS. Se trata de comunicaciones comerciales enviadas por terceros colaboradores ( B.B.B., bajo la referencia de NETGOODCHALLENGE) del proveedor principal de A.A.A. SEGUROS. 4.2. Habiendo contactado A.A.A. SEGUROS con B.B.B., A.A.A. SEGUROS ha recibido un documento que aportan, en el que se informa sobre el modo de obtención del consentimiento del titular de la dirección de correo de referencia y se señala el texto legal aceptado por el mismo, en virtud del cual otorga su consentimiento para la recepción de comunicaciones comerciales de varios sectores de actividad en general, y del sector seguros, en particular. En dicho escrito el representante de Lead Conversión SL - Mediacom Lead, manifiesta: .- B.B.B. utiliza entre otras, la marca y dominio ***EMAIL.1, no es titular de ningún fichero en el que este incorporado sus datos personales. Actúan como agentes publicitarios de diferentes entidades. Los datos tienen como fuente la entidad ENLARED AUTO 10 SL donde les consta la siguiente información, a través de su portal www.auto10.com: Email: F.F.F. . .- Manifiestan que la cláusula que el cliente acepto cuando incorporo sus datos en la Web están reflejadas en las condiciones de privacidad y uso de la Web y en el apartado 5.2 y que son las siguientes: "De acuerdo a lo establecido en el artículo 45.1.
4. b)del RLOPD, Auto10 podrá C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 utilizar sus datos personales para el envío de Newsletters y comunicaciones comerciales y promocionales, actuando en nombre propio o por cuenta de terceros, mediante carta, teléfono, correo electrónico, SMS/MMS, o por otros medios de comunicación electrónica equivalentes, relacionadas con los sectores establecidos en el punto 5,6. Del mismo modo, usted autoriza a que sus datos puedan ser cedidos a otras terceras empresas, como puede ser B.B.B., S.L. C/ Mayor 3, 2 I de Madrid 28013, para la finalidad de poder prestarle servicios de publicidad directamente por las cesionarias y remitirle comunicaciones comerciales, mediante carta, teléfono, correo electrónico, SMS/MMS, o por otros medios de comunicación electrónica equivalentes, en relación con de los sectores establecidos en el punto 5.6. Su consentimiento para esta cesión es revocable en cualquier momento." .- El cliente en ningún momento les ha comunicado a través de email, carta, burofax, llamada telefónica o algún otro medio, su intención de dejar de recibir comunicaciones, y que tampoco se ha incorporado en el fichero de exclusión de forma automática por pulsar en el link de baja, que puede encontrar en el pie del correo electrónico. .- Manifiestan que una vez conocido que el cliente quería darse de baja, han procedido a incorporarle manualmente en su sistema de Robinsones, quedando excluido para cualquier envío de comunicación y para cualquier canal. .- Adjuntan el pantallazo a nivel de registro en BBDD del cliente en el que consta el nombre, apellido, dirección de correo electrónico y la solicitud de información sobre un vehículo. 4.3. No existe relación contractual alguna entre A.A.A. con el titular de la referida dirección de correo. No obstante, manifiestan que han podido tener conocimiento de la identidad del titular de la dirección de correo de referencia a raíz de un procedimiento del ejercicio de derecho de cancelación con número de referencia TD/00067/2016 resuelto el año pasado (R/01304/2016). En el escrito de denuncia de dicho procedimiento figuraba la dirección de correo ahora cuestionada por la Agencia. Manifiestan que, como se desprende en dicho procedimiento, el ahora reclamante fue cliente de A.A.A. SEGUROS sin que a día de hoy tenga póliza alguna vigente, encontrándose sus datos bloqueados. 5. Con fecha 3/05/2017 tiene entrada un nuevo escrito de A.A.A., aportando copia del contrato de prestación de servicios publicitarios suscrito con D.D.D.., copia del contrato de prestación de servicios suscrito entre D.D.D.. y ROCK INTERNET, S.L., . y copia del contrato de prestación de servicios suscrito entre ROCK INTERNET, S.L., . y B.B.B. S.L. El contrato de fecha 01/01/2015 suscrito entre A.A.A. y D.D.D.. tiene por objeto el asesoramiento e instrumentalización de las campañas de publicidad del primero. La TERCERA cláusula de contrato establece que “Con caracter previo de cualquier C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 campaña publicitaria, el cliente ( A.A.A. SEGUROS) y MPG ( D.D.D..) se reuniran para revisar los objetivos y parámetros de dicha camapaña. Para acciones puntuales de marketing las partes decidiran de mutuo acuerdo la necesidad de mantener una reunión a estos efectos.” El contrato de fecha 15/09/2016 suscrito entre D.D.D.. y ROCK INTERNET, S.L., . tiene por objeto establecer los términos y condiciones generales quese aplicarán a la prestación de los servicios de marketing y publicidad para el cliente del primero ( A.A.A.). En dicho contrato entre ROCK INTERNET SL y MEDIAPLANING GROUP, aquel se compromete a conservar (...) junto con los datos personales de sus clientes de su eleccion la direccion IP utilizada para cada alta a los efectos de que, en su caso, la Agencia Española de Proteccion de Datos peuda realizar las comprobaciones pertinentes par verificar si dichos datos fueron han sido facilitadfos por los propios afectados y obtenidos con su consentimiento(...) asimismo consta que ROCK INTERNET actua por cuenta de MEDIAPLANING GROUP y que lo hara segun las instrucciones de ésta. Finalmente, en el contrato de fecha 20/10/2016 entre ROCK INTERNET y LEAD CONVERSION, SL aquel encarga a éste el envio de email y explotacion de bases de datos por parte de LEAD. LEAD garantiza la adecuacion a la normativa de las bases de datos que utilice para el envio de los correos comerciales. En el citado contrato no se recogen las garantias que ROCK pone de manifiesto a MEDIA PLANING GROUP respecto del origen de los registros para hacer las campañas. TERCERO: Con fecha 19 de mayo de 2017, la Directora de la Agencia Española de Protección de Datos, acordó iniciar procedimiento sancionador a ROCK INTERNET, S.L., ., con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, por la presunta infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4
5. d)de la citada Ley. CUARTO: Con fecha de 02/06/2017, ROCK INTERNET, S.L., ., presentó escrito de alegaciones en el que ponia de manifiesto lo siguiente: La manifestación del denunciante de no haber otorgado su consentimiento para la recepción de comunicaciones comerciales no conduce por si sola a la constatación de una infracción, ya que han de tenerse en cuenta otros elementos con carácter previo a la incoación del expediente. Los envíos disponían de un enlace para ejercitar su derecho a oponerse al tratamiento de sus datos con fines promocionales o revocar el consentimiento prestado, sin que el denunciante utilizara tal medio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 Los correos eran comunicaciones comerciales enviados por una colaborador de A.A.A., es decir LEAD CONVERSION, cuyo representante informa sobre el modo de obtención del consentimiento. Según manifiesta A.A.A., el denunciante fue su cliente y a dia de efectuará sus reclamaciones no tenía póliza alguna vigente. Respecto de los contratos que sustentan los envíos, la AEPD manifiesta que en el contrato entre ROCK y Lead no se recogen las garantías que esta le manifestó a Media planing respecto del origen de los datos. Si la garantía se refiere a la dirección IP, no concurre al respecto ninguna infracción a falta de tipificación. En el escrito de Media Planing, se acredita el cumplimiento de la normativa por pare de dicha empresa respecto de los derechos del denunciante. Sin que la regulación de un contrato privado pueda relacionarse con la normativa de protección de datos. Rock Internet despliega esfuerzos para sujetarse a la normativa. Debe invocarse otras resoluciones de archivo de actuaciones de circunstancias similares como la E/2761/2015, E/07947/2012, E/04620/2013 y E/00377/2015, en todos estos casos el denunciante había procedido a la baja del servicio, o el ejercicio de los derechos ARCO, en este caso no ha tenido lugar. Las previsiones contractuales forman parte de la esfera interna y la autonomía de voluntad de las partes, y el contrato de 20/10/2016 se señalaba que MediaPlaning garantizaba la normativa de las bases de datos. Por otro lado no se ha acreditado que los envíos se produjeran sin el consentimiento del denunciante. Rock no era el responsable de los envíos. No está de acuerdo con el importe de la sanción inicial puesto que en otros supuestos se ha determinado una cuantía inferior. QUINTO: En fecha de 7/06/2017, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, en el que se dio por reproducido a efectos probatorios la denuncia interpuesta por H.H.H. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ROCK INTERNET, S.L., ., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/06651/2016 y las alegaciones al acuerdo de inicio PS/00223/2017 presentadas por ROCK INTERNET, S.L., ., y la documentación que a ellas acompaña. Asimismo se requirió a ROCK INTERNET, S.L., . para que en el plazo C.C.C., acredite las garantías contractuales que ofrece a MEDIA PLANING y que requirió a LEAD y cualquier otra medida tendente a la obtención con consentimiento la dirección de correo del denunciante para el envío publicitario por medios electrónicos denunciado. SEXTO: En fecha de 19/06/2017 tiene entrada en esta Agencia un escrito de ROCK INTERNET, S.L., . en el que aporta documentación tendente a dar por contestado el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 requerimiento de prueba efectuado por el Instructor del Procedimiento. SEPTIMO: En fecha de 07/08/2017 por el Instructor del Procedimiento se emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancione a ROCK INTERNET, S.L., . con multa de 5.000 € (cinco mil euros) por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4
6. d)de dicha norma OCTAVO: En fecha de 6/09/2017, ROCK INTERNET, S.L., . presento escrito de alegaciones, en las que se reitera en las anteriormente formuladas y manifiesta, en síntesis lo siguiente: Actuaba de intermediario entre MEDIAPLANING y LEAD CONVERSION, por lo que no son de aplicación las sentencias que se citan en la propuesta de resolución. La asunción contractual que hace ROCK INTERNET respecto de responsabilidades, no puede sustituir la tipificación de la conducta infractora como entiende la propuesta de resolución. ROCK INTERNET mostro que los hechos que dan lugar al expediente sancionador no muestran fallo en la cadena contractual, y la falta de dirección de la IP es ajena a esta entidad. OCTAVO: De las actuaciones practicadas han resultado acreditados los siguientes HECHOS PROBADOS UNO.- En fechas de 19/11/2016 y 20/12/2016 el denunciante recibe en su cuenta de correo electrónico comunicaciones comerciales que contienen información comercial referente a productos y servicios de A.A.A.. Los referidos envíos tienen como cuenta de origen ***EMAIL.1 DOS.- La marca y el dominio ***EMAIL.1 es utilizado por LEAD CONVERSION que actúa como agente publicitario de diferentes entidades. TRES.- A.A.A. y MEDIAPLANING GROUP firmaron un contrato de fecha 1/01/2015 en virtud de cual, ésta será el agente de aquella para realizar acciones de marketing, teniendo por objeto el asesoramiento e instrumentalización de las campañas de publicidad de A.A.A.. CUATRO.- En fecha de 15/09/2016 firmaron un contrato ROCK INTERNET y MEDIAPLANING GROUP en virtud del cual se establecían los términos y condiciones generales que se aplicarán a la prestación de los servicios de marketing y publicidad para el cliente del primero ( A.A.A.). ROCK INTERNET se compromete a conservar (...) junto con los datos personales de sus clientes de su elección la dirección IP utilizada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 para cada alta a los efectos de que, en su caso, la Agencia Española de Protección de Datos pueda realizar las comprobaciones pertinentes para verificar si dichos datos fueron han sido facilitados por los propios afectados y obtenidos con su consentimiento(...) asimismo consta que ROCK INTERNET actúa por cuenta de MEDIAPLANING GROUP y que lo hará según las instrucciones de ésta. CINCO.- ROCK INTERNET y LEAD CONVERSION firmaron un contrato de fecha 20/10/2016 en virtud del cual, aquel encarga a éste el envío de email y explotación de bases de datos. LEAD garantiza la adecuación a la normativa de las bases de datos que utilice para el envío de los correos comerciales. En el citado contrato no se recogen las garantías que ROCK pone de manifiesto a MEDIA PLANING GROUP respecto del origen de los registros para hacer las campañas. SEIS.- A.A.A. aporto un documento del representante de LEAD en el que manifiesta que el origen de los datos es la inscripción por parte de este en un portal de internet propiedad de ENLARED AUTO 10 S.L.. FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
7. d)e
8. i)y 38.4 d),
9. g)y
10. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II En el presente caso se atribuye a ROCK INTERNET, S.L., ., ( RI en lo sucesivo) la comisión de la infracción de lo dispuesto en el artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en adelante LSSI), que establece lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.” Frente a dicha imputación, RI manifiesta, en síntesis, que no es responsable de los envíos comerciales, y que la obtención de la dirección de correo electrónico se acomoda a la legalidad, por cuanto LEAD/MEDIACOM le garantizo la legalidad de la base de datos a utilizar en los envíos, sin que sea una vulneración de la normativa, que RI no exigiera a dicho proveedor, garantías como la aportación de la dirección IP de los destinatarios, tal como se comprometió con MEDIAPLANING, que es quien le encarga la campaña publicitaria. Pues bien, debe analizarse la responsabilidad de RI en los hechos acaecidos pues entiende que no está sujeto a la comisión de la posible infracción en la medida en que no realiza los envíos comerciales por medios electrónicos y que le garantizan el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 cumplimiento de la normativa. El art. 19.2 de la LSSI, dispone lo siguiente: (…)2. En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales.(…). De la lectura del precepto, se hace posible la aplicación, al presente caso, de las obligaciones y derechos que surgen entre los responsables del tratamiento o fichero y sus encargados del tratamiento, y por tanto el régimen de responsabilidad que prevea el art. 12.4 de la LOPD (4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente) y sus disposiciones de desarrollo reglamentarias. III En primer término, debe tenerse en cuenta que RI mediante contrato de fecha 15/09/2016 se hace depositario del mandato de A.A.A. a través de un agente de este, MEDIAPLANING de los servicios de marketing y publicidad. RI (EL PROVEEDOR según el contrato) se declara (…) 4.1 único responsable respecto a los datos aportados por él o por terceros contratados por él y que se utilicen para la prestación de los servicios objeto del presente Contrato (…) En las clausulas 4.8, y 4.9 se instituye como un verdadero responsable del fichero objeto de explotación e informa a su cliente ( MEDIAPLANING) que conservan (...) junto con los datos personales de sus clientes de su elección la dirección IP utilizada para cada alta a los efectos de que, en su caso, la Agencia Española de Protección de Datos pueda realizar las comprobaciones pertinentes para verificar si dichos datos fueron han sido facilitados por los propios afectados y obtenidos con su consentimiento(...) En la cláusula 4.10 manifiesta que se ha informado a los afectados, en el momento de obtener su consentimiento, de la inclusión en un fichero de su titularidad, y de la finalidad de la obtención de los datos, de la posibilidad de que los datos sean cedidos a terceros con la finalidad de recibir información publicitaria, y de la posibilidad de ejercer los derechos ARCO así como de revocar el consentimiento para la recepción de comunicaciones comerciales por vía electrónica. Asimismo, en la cláusula 6.6 se instituye como encargado del tratamiento de su cliente, MEDIAPLANING en la medida en que trata datos por cuenta de ésta, y entre otros, adquiere los siguientes compromisos:
11. a)Únicamente trata los datos conforme a las instrucciones de la AGENCIA – MEDIAPLANING C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 En segundo término, el contrato entre RI y LEAD de fecha 20/10/2016, aquel encarga a LEAD el envío de correos publicitarios y la explotación de bases de datos, denominado en el contrato “Servicios de Datos”, (Cláusula 1 Objeto del Contrato), asimismo en la Cláusula 5.1 se determina que los Servicios de Datos podrán llevarse a cabo mediante ficheros de los que es responsable LEAD “o terceros” LEAD en las Clausulas 5.1 y 5.2 manifiesta la adecuación de las bases de datos a utilizar a la LOPD y al RLOPD y en especial en lo referente a la obtención del consentimiento informado para ser utilizados con fines publicitarios por medios electrónicos. De lo expuesto puede afirmarse que RI como encargado del tratamiento de MEIDAPLANING,/ A.A.A. ( como responsable del tratamiento), no cumplió con las estipulaciones contractuales, ni con carácter general ni de modo específico: no consta en la documentación contractual con LEAD la solicitud de la dirección IP de los registros, asimismo tampoco consta documentalmente, cómo se verifica la obtención del consentimiento de los titulares de las direcciones de correo destinatarias de las acciones comerciales, tan solo consta una clausula estandarizada en el contrato con LEAD, que se muestra insuficiente y que no puede responder a determinadas preguntas cuyas respuestas son fundamentales en el caso analizado ¿ cómo se ha obtenido el consentimiento, por qué medios? ¿Cuándo se ha obtenido? ¿Para qué se ha obtenido? ¿Cómo se acredita la identidad del potencial destinatario? , etc.,. es decir, de la cláusula estandarizada del contrato con LEAD y de la ausencia de otra documentación adicional, no puede concluirse que RI estaba en condiciones de cumplir la garantía de adecuación normativa a la que se obligó frente a su responsable del tratamiento MEDIAPLANING/ A.A.A.. Es más, incluso admitiendo a efectos puramente dialecticos la recogido en el “pantallazo” aportado a posteriori, respecto de la suscripción en la web, tampoco puede darse respuesta a las preguntas planteadas y que son el verdadero contenido sobre el que ha de operar la garantía que LEAD le daba a RI y la que RI le daba a MEDIAPLANING/ A.A.A.. En orden a determinar la suficiencia o insuficiente de las garantías contractuales ofrecidas por un proveedor de base de datos a su cliente, conviene traer a colación en lo recogido en la Sentencia de la Audiencia Nacional de fecha 30/04/2015 recaída en el Recurso Contencioso-Administrativo núm. 242/2013, se analiza la diligencia prestada por el beneficiario de la publicidad que contrata con un proveedor de bases de datos, señalo que (…)lo estipulado en el contrato sobre el tratamiento de datos personales es genérico, ya que se viene a referir a que Todo Data Integral Services, S.L., debe cumplir las previsiones contenidas al efecto en la LOPD, no estableciendo ninguna medida tendente al cumplimiento de dichas obligaciones por parte de la parte recurrente. Con ello no se excluye, como pretende la parte actora, la responsabilidad de ésta en el tratamiento de datos. En efecto, se olvida dicha parte del apartado 3 del art. 46 del RDLOPD, no habiendo probado, ni siquiera alegado, qué medidas necesarias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 adoptó para asegurarse de que la entidad contratada, Todo Data Integral Services, S.L., había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. Como dijimos en la Sentencia de 3 de octubre de 2007 -recurso nº. 38/2006-, la responsabilidad del tratamiento de datos “le obligaba a extremar la diligencia hasta el punto de que debía informarse de la procedencia de los datos personales utilizados por la responsable del fichero en la campaña publicitaria. Campaña publicitaria que se efectuó en exclusivo beneficio de dicha entidad recurrente…”. (El subrayado es de la Agencia Española de Protección de Datos) Al contrario de lo que manifiesta RI en sus alegaciones formuladas a la propuesta de resolución, es de aplicación la citada Sentencia, puesto que no es un mero intermediario como manifiesta, sino que es el responsable de proveer los datos, cuestión distinta es que en esa prestación, no acuda a sus propias bases de datos y lo haga mediante terceros. En el expediente no consta medida alguna que permita afirmar que RI, tomo cautela alguna para que el tratamiento de datos del denunciante, y en concreto de su dirección de correo electrónico, se hiciera conforme a la LSSI y en su caso, a la LOPD. No puede considerarse como tal el contenido de las clausulas citadas donde se ofrecen garantías de legalidad de la base de datos a utilizar puesto que es un elemento meramente formal sobre el que RI no ha realizado ninguna verificación previa. Asimismo, debe traerse a colación lo recogido en la Sentencia de la Audiencia Nacional de fecha 25/03/2016 recaída en el Recurso Contencioso-Administrativo núm. 847/2015, donde se analiza el régimen de responsabilidad y de culpabilidad de una entidad que no realiza materialmente los envíos, sino que los encarga a un tercero, y que por la similitud con el presente caso, resulta especialmente clarificadora su Fundamento de Derecho Quinto: (…)Considera la actora que en todo caso, de ser imputable a alguien la remisión de los correos posteriores a la baja sería a Ecircle, que es la empresa contratada que prestaba el servicio y asumió determinadas obligaciones para la prestación de los servicios objetos del contrato y tiene la consideración de encargado del tratamiento y debe responder en exclusiva ex artículo 12.4 de la LOPD ( RCL 1999, 3058 ) , sin que pueda considerarse responsable a Synertec de unos hechos en los que no ha intervenido. Es más, esgrime que ni siquiera Synertec tiene la consideración de prestador del servicio porque el servicio lo presta Ecircle y de conformidad con el artículo 37 de la LSSI no estaría sometida al régimen sancionador de la Ley. Pues bien Synertec es una entidad que ejecuta campañas publicitarias para terceros utilizando los datos del fichero "potenciales clientes", y para la remisión de los correos publicitarios utiliza la plataforma tecnológica denominada Ecircle contratada a Ecircle Spain SLU. Como ya hemos dicho el correo electrónico del denunciante constaba en el fichero del que es responsable Synertec habiéndole obtenido a través del sitio web www.altas-movistar.es . La política de privacidad de la página que debe aceptarse para solicitar información informa que el responsable del fichero es Synertec. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 Es un hecho acreditado que la plataforma Ecircle tenía limitaciones que impedían la ejecución concurrente sobre una misma base de datos de varias campañas o grupo de envíos y para soslayar dicha limitación se propuso por Ecircle y admitió por Synertec como solución la replicación de las bases de datos de la entidad. De esa forma Synertec podría hacer envíos sobre cada una de las copias y a tal fin se crearon 5 copias de la base de datos del mercado residencial y de autónomos y otras tantas copias de la base de datos del mercado de PYMES. Las bajas solicitadas sobre una base de datos a través del enlace incluido en los correos remitidos debían de replicarse en el resto de bases de datos, lo que podía incidir en la efectiva materialización de las bajas y así el 3 de julio de 2013 uno de los potenciales clientes se quejó de que las bajas no estaban funcionando correctamente. Synertec se puso en contacto con Ecircle para que subsanase dicha incidencia y al considerar Ecircle la incidencia solucionada, Synertec no realizó ninguna supervisión con posterioridad al objeto de comprobar el adecuado funcionamiento de las bajas solicitadas por los destinatarios de los correos que se había tornado más complejo al tener que replicar la baja en todas las copias de las bases de datos. Debe tenerse en cuenta, por otro lado, que Synertec no ha aportado copia del contrato suscrito con Ecirce sino una propuesta de servicio, aunque si ha remitido el contrato suscrito con otra empresa de su grupo (entre Ecircle y Agora Control y Gestión Empresarial S.L. el 2 de julio de 2013), de lo que cabe colegir que tampoco dispone de un contrato propiamente dicho, por lo que no puede considerarse acreditada la condición de encargado de tratamiento que se le atribuye en la demanda y que aparece regulada en el artículo 12 de la LOPD . Pero es que además, sobre la interpretación del artículo 12.4 de la LO invocado por la actora, esta Sala ha señalado en la SAN de 17 de mayo de 2013 ( PROV 2013, 174961 ) (Rec. 25/2010 ) con cita de la SAN de 3 de abril de 2005 (Rec. 241/2003 ) lo siguiente " Lo que determina la LOPD en el artículo 12.4 es que en el caso de que el encargado del tratamiento utilice los datos incumpliendo las estipulaciones del contrato, responderá de las infracciones en que hubiere incurrido personalmente. El término "también" que utiliza el precepto deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidad sino de agregación, pues el responsable del fichero no pierde su condición de tal ni queda exonerado de responsabilidad por el hecho de que el encargado del tratamiento que incumple lo estipulado se atribuya "también" la consideración de responsable del tratamiento. En el mismo sentido SAN de 14 de marzo de 2007 ( PROV 2007, 104662 ) Rec. 280/2005 )". Por otro lado, la LSSI, en su artículo 37, sujeta al régimen sancionador establecido en dicho título a los prestadores de servicios de la sociedad de la información cuando dicha Ley les sea de aplicación. El apartado
12. c)del Anexo de la LSSI define al "prestador de servicios", como la " persona física o jurídica que proporciona un servicio de la sociedad de la información". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 Y por servicio de sociedad de la información entiende el apartado
13. a)del citado Anexo “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios". Seguidamente señala que son servicios de la información, entre otros, y siempre que representen una actividad económica: " 4º el envío de comunicaciones comerciales". Así las cosas Synertec ha de ser considerada prestador del servicio a los efectos de aplicación del régimen sancionador establecido en la citada Ley, por cuanto es la empresa que decidió realizar las campañas y delimitó el colectivo de personas a que debían remitirse, es decir decidió sobre el contenido y uso de las comunicaciones comerciales por correo electrónico y llevó a cabo las campañas publicitarias utilizando para el envío de los correos los servicios de la plataforma tecnológica Ecircle contratada a Ecircle Spain SLU. (El subrayado es de la AEPD) El régimen de responsabilidad del art. 12.4 LOPD determina que el encargado podrá ser también responsable de las infracciones, lo que no supone per se, que se excluya la responsabilidad del responsable del tratamiento. La responsabilidad de MEDAPLANING/ A.A.A. se ve excluida puesto que exigió a su encargado –ROCK INTERNET- garantías que van más allá de una clausula estandarizada, como es el requisito de la obtención de la dirección IP. Y luego resulto que su encargado no obró con esas cautelas frente a terceros (LEAD), y que por tanto incumplió el citado contrato. RI pone de manifiesto, tanto en sus alegaciones al acuerdo de inicio como las formuladas frente a la propuesta de resolución, la referencia a otras resoluciones de esta Agencia para solicitar una aplicación igualitaria de criterios. Frente a ello, debe señalarse que las citadas resoluciones son referentes al uso de medios de baja, cuestiones que aquí no se dirimen, sino que debe ponerse la atención en el inicio del itering de los datos del correo electrónico utilizados para el envío. Es decir, en cómo llegan a la plataforma de envío y no en qué sucede después como intenta hacer valer RI. IV El art. 21.1 de la LSSI exige que los envíos electrónicos de carácter comercial se realicen con el consentimiento o autorización del destinatario, y en el presente caso no puede obviarse que RI contrato con un tercero, LEAD, la explotación de base de datos y el envío de comunicaciones comerciales por medios electrónicos, resultando que respecto del denunciante, no puede acreditar que disponía del consentimiento o autorización, pues respecto de los pantallazos o reflejos informáticos, como tiene establecido la Audiencia Nacional en la SAN de 9/04/2008, Rec. 235/2006, se muestran C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 insuficientes para acreditar la autorización o consentimiento, al afirmar que “…no se trata más de un simple “pantallazo” informático, que nada acredita ni aporta ninguna información relevante a la hora de poder acreditar el consentimiento del titular de los datos”. Todo lo expuesto sitúa a RI como infractor de lo dispuesto en el art. 21.1 de la LSSI. V La citada infracción se encuentra tipificada como leve en el artículo 38.4.
14. d)de dicha norma, que califica como tal “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave.”, pudiendo ser sancionada con multa de hasta 30.000 euros, de acuerdo con el artículo 39.1.
15. c)de la LSSI. VI Establece el Artículo 40 de la LSSI bajo la rúbrica “Graduación de la cuantía de las sanciones”, lo siguiente “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
16. a)La existencia de intencionalidad.
17. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
18. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
19. d)La naturaleza y cuantía de los perjuicios causados.
20. e)Los beneficios obtenidos por la infracción.
21. f)Volumen de facturación a que afecte la infracción cometida.
22. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. RI pone de manifiesto que en otros supuestos se ha archivado el procedimiento y en otros, se ha establecido una cuantía inferior a la inicialmente determinada en el Acuerdo de inicio, y cita las resoluciones respecto de las que quiere establecer términos comparativos. Pues bien, debe indicarse que si bien las resoluciones citadas analizan la vulneración de la LSSI, no estamos ante hechos similares respecto de los que pudiera reclamar un trato igualitario. Además en el presente caso concurren otras circunstancias que permiten agravar el reproche sancionador en relación con el elemento subjetivo en la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 En concreto, se considera que procede graduar la sanción a imponer en la cuantía de 5.000 euros, de acuerdo con los siguientes criterios que establece el art. 40 de la LSSI, el previsto en el apartado
23. a)la existencia de intencionalidad, expresión que ha de interpretarse como equivalente al grado de culpabilidad de acuerdo con la Sentencia de la audiencia Nacional de 12/11/2007 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad la implantación de sistemas que garanticen a los destinatarios de los Servicios de la Sociedad de la Información los derechos que la norma prevé, así como la diligencia exigible cuyo parámetro es la profesionalidad del presunto infractor, y en concreto la prestación de servicios de publicidad por medios electrónicos, entre los que se incluyen los correos electrónicos comerciales y explotación de bases de datos, y el previsto en el apartado
24. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme, consta que la entidad ha sido sancionada por infracción leve y grave del art. 21 de la LSSI, mediante las resoluciones R/00207/2016 de fecha 16/02/2016, R/00611/2016 de fecha 28/04/2016 y R/02871/2016 de fecha 15/12/2016. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ROCK INTERNET, S.L., ., por una infracción del artículo 21.1 de la LSSI, tipificada como grave en el artículo 38.4
25. d)de la LSSI, una multa de 5.000 € ( cinco mil euros) de conformidad con lo establecido en el artículo 39 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a ROCK INTERNET, S.L., .. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
26. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es