← España

PS-00225-2016

1/14 Procedimiento Nº PS/00225/2016 RESOLUCIÓN: R/02507/2016 En el procedimiento sancionador PS/00225/2016, instruido por la Agencia Española de Protección de Datos a la entidad SELF TRADE BANK, SAU, vista la denuncia presentada por Doña C.C.C., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 24 de febrero de 2016, tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por Doña C.C.C., en adelante la denunciante, en la que manifiesta que ha recibido en su correo electrónico información comercial sobre productos de SELF TRADE BANK, S.A.U., en adelante STB, a pesar de que en el contrato de apertura de cuenta suscrito con dicha entidad indicó que no autorizaba el uso de sus datos personales con fines distintos al mantenimiento, desarrollo o control de las relaciones contractuales suscritas con STB. La denunciante aporta copia del contrato firmado con dicha entidad el 5 de junio de 2015 y de dos correos electrónicos recibidos junto con sus cabeceras completas. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia han tenido conocimiento de los siguientes extremos: 1. La denunciante aporta copia de un contrato de “Apertura de Cuenta” que suscribió como titular con STB, el 5 de junio de 2015. El contrato, en el que figura como dirección de correo electrónico de la denunciante D.D.D., tiene marcada una casilla en la que se indica que “No autorizo/autorizamos el uso de mis datos personales con finalidades distintas al mantenimiento, desarrollo o control de las relaciones contractuales suscritas con Self Bank.” 2. La denunciante recibió en su cuenta de correo D.D.D., dos correos electrónicos remitidos desde B.B.B., los días 24 de noviembre y 15 de diciembre de 2015. Los correos electrónicos contienen información comercial referente a servicios y productos de STB y un enlace en el pie de cada uno mediante el que se puede “Cancelar suscripción”. 3. En la página web www. B.B.B. se informa de que STB es la titular de la misma. 4. El dominio B.B.B. está registrado a nombre de BOUSORAMA, que es el grupo empresarial al que pertenece STB. 5. En respuesta a la solicitud de información realizada durante las actuaciones previas de inspección, los representantes de STB remitieron un escrito en el que manifestaron, en referencia al envío de los dos correos electrónico denunciados, que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 5.1. En el caso objeto de la reclamación el alta del cliente no se produjo por Internet, que conlleva un procesamiento automatizado, sino que la documentación del contrato del denunciante fue recibida por correo postal y el proceso de apertura y activación de las cuentas, se realizó de forma manual. 5.2. Se produjo un error puntual en la verificación de la falta de consentimiento por parte del denunciante en relación al tratamiento de sus datos personales para finalidades distintas al mantenimiento, desarrollo o control de las relaciones contractuales, no habiéndose marcado como tal en su sistema. 5.3. Lamentan las contrariedades que hayan podido causar a su cliente, no obstante STB proporciona a todos sus clientes la posibilidad de cambiar sus preferencias así como de solicitar el cese de las mismas. 5.4. El 5 de abril de 2016 se procedió a la exclusión de los datos del denunciante de los sistemas de información para el envío de comunicaciones. TERCERO: Con fecha 3 de mayo de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SELF TRADE BANK, S.A.U., por la presunta infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 38.4.

  1. d)de dicha norma, pudiendo ser sancionada con multa de hasta 30.000 euros, de acuerdo con el artículo 39.1.
  2. c)de la LSSI. CUARTO: Notificado el citado Acuerdo de inicio, STB presentó alegaciones en las que señaló que reconoce que, por error, se enviaron a la denunciante correos electrónicos los días 24 de noviembre y 15 de diciembre de 2015 y 10 de febrero de 2016, al no constar en su sistema informático la falta de consentimiento de dicha persona al tratamiento de sus datos con finalidades distintas al mantenimiento, desarrollo o control de las relaciones contractuales suscritas con STB. Reiteran que la contratación del producto que solicitó la denunciante no se efectuó mediante el procedimiento automatizado establecido al efecto, sino que el documento en el que se reflejaba dicha contratación fue recibido por SELFBANK por correo postal, marcando la denunciante de forma manual la opción de oponerse al tratamiento de sus datos personales para fines distintos de los propios del contrato, lo que provocó que, debido a un fallo humano puntual y aislado, dicha falta de consentimiento no se trasladase al sistema informático de la entidad. No obstante lo cual, en todas las comunicaciones se incluyó el procedimiento para oponerse al referido tratamiento, a pesar de lo cual SELFBANK nunca recibió una solicitud en tal sentido por parte de la denunciante tras el envío de dichas comunicaciones. Tampoco modificó sus datos personales y las preferencias inicialmente indicadas a través del área privada del Sitio web de la entidad mientras estuvo vigente la relación contractual. Tampoco ejerció su derecho de oposición mediante escrito postal dirigido a la sede social de la entidad o a través de la dirección de correo electrónico establecida a tal efecto .a través del canal ofrecido en el contrato entregado al cliente STB ha subsanó el error tan pronto como conoció del mismo, en concreto el día 5 de abril de 2016 tras recibir solicitud de información de la Subdirección General de Inspección de Datos. No ha existido intencionalidad ni se han ocasionado perjuicios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 relevantes a la denunciante. Se trata de un hecho aislado ya que no se ha recibido ninguna denuncia similar por parte de sus clientes. QUINTO: En fecha 26 de mayo de 2016, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, en el que se realizaron las siguientes: 1. Dar por reproducidos a efectos probatorios la denuncia interpuesta por Doña C.C.C. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante SELF TRADE BANK, S.A.U., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01494/2016. 2. Asimismo, dar por reproducidos a efectos probatorios, las alegaciones al acuerdo de inicio PS/00225/2016 presentadas por SELF TRADE BANK, SAU, y la documentación que a ellas acompaña. SEXTO: Con fecha 31 de agosto de 2016 se formula propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancione a SELF TRADE BANK, S.A.U., con multa de 2.000 € (Dos mil euros) por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  3. d)de dicha norma, de conformidad con lo dispuesto en los artículos 39.1.c y 40 de la LSSI. SÉPTIMO: Con fecha 15 de septiembre de 2016 se registra de entrada escrito de la denunciada solicitando se dicte resolución minorando la sanción en su cuantía mínima apreciando como atenuantes los criterios recogidos en los apartados
  4. c)y
  5. a)del artículo 40 de la LSSI. HECHOS PROBADOS PRIMERO: Con fecha 5 de junio de 2015, la denunciante suscribió contrato de “Apertura de Cuenta” con STB en el que, entre otros datos personales, facilitó la dirección de correo electrónico D.D.D.. (folio 2) SEGUNDO: La denunciante ha aportado copia del mencionado contrato de “Apertura de Cuenta” a cuyo pie figura marcada una casilla en la que se indica que “No autorizo/autorizamos el uso de mis datos personales con finalidades distintas al mantenimiento, desarrollo o control de las relaciones contractuales suscritas con Self Bank.” En la parte superior de la citada leyenda consta la siguiente información: “Marcar con una “X” en caso de no querer recibir información comercial sobre otros productos o servicios de Self Bank”: (folio 2) TERCERO: Con fecha 24 de noviembre de 2015, la denunciante recibió una comunicación comercial en su cuenta de correo electrónico D.D.D. con el asunto: “Fórmate en nuestro Webinar: Iniciación en los Fondos de Inversión” procedente de: Self Bank < A.A.A.> El envío contiene un enlace de baja bajo la leyenda “Cancelar inscripción” (folios 3 y 4) CUARTO: Con fecha 15 de diciembre de 2015, la denunciante recibió una comunicación comercial en su cuenta de correo electrónico D.D.D. con el asunto: “La información financiera más útil en Noviembre” procedente de: Self Bank < A.A.A.> El envío contiene un enlace de baja bajo la leyenda “Cancelar inscripción” (folios 5 a 7) QUINTO: Con fecha 10 de febrero 2016, la denunciante recibió una comunicación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 comercial en su cuenta de correo electrónico D.D.D. con el asunto: “La información financiera más útil en enero” procedente de: Self Bank < A.A.A.> El envío contiene un enlace de baja bajo la leyenda “Cancelar inscripción” (folios 18 a 20) SEXTO: En la página web www. B.B.B. se informa de que STB es la titular de la misma. (folios 29 a 38) SÉPTIMO: El dominio B.B.B. está registrado a nombre de BOUSORAMA, que es el grupo empresarial al que pertenece STB. (folios 58 y 59) OCTAVO: Con fecha 5 de abril de 2015 STB procedió a la exclusión de los datos de la denunciante en sus sistemas de información para el envío de comunicaciones comerciales. (folios 56, 70) FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
  6. d)e
  7. i)y 38.4 d),
  8. g)y
  9. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Por lo tanto, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. A su vez, el artículo 22.1 de la LSSI, que establece como “Derechos de los destinatarios de los servicios” que: “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos” De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
  10. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
  11. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
  12. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. A continuación, la Ley pasa a determinar los supuestos, recogidos en el párrafo segundo del Anexo
  13. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
  14. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 Son servicios de la sociedad de la información, entre otros representen una actividad económica, los siguientes: (…) y siempre que 4º El envío de comunicaciones comerciales. ” (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
  15. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV En el presente supuesto, de la valoración del conjunto de elementos fácticos obrantes en el procedimiento, se acredita que la mercantil STD remitió desde el correo electrónico A.A.A., con fechas fechas 24 de noviembre y 15 de diciembre de 2015, y 10 de febrero de 2016, un total de tres comunicaciones comerciales a la cuenta de la denunciante D.D.D., en los que promocionaba productos y servicios de la entidad. Estos envíos se efectuaron sin mediar el consentimiento previo y expreso de la destinataria, en este caso la denunciante, quien se había opuesto expresamente al firmar el contrato de apertura de cuenta suscrito con esa entidad a que utilizasen los datos personales facilitados con finalidades distintas al mantenimiento, desarrollo o control de la relación contractual suscrita, entre ellos su cuenta de correo electrónico. Es decir, las tres comunicaciones comerciales estudiadas se remitieron por STB a pesar de que la denunciante nunca consintió en su envío, lo que queda patente en el contrato de “Apertura de cuenta” suscrito con STB en fecha 5 de junio de 2015 aportado por la denunciante, circunstancia, por otra parte, reconocida por STB. En consecuencia, las tres comunicaciones comerciales reseñadas en los Hechos Probados se remitieron por la imputada incumpliendo la voluntad de la denunciante de no recibir publicidad en sus señas electrónicas, cuestión señalada por ésta en su denuncia al manifestar, en referencia a dichos envíos, que había recibido en su correo electrónico información comercial sobre productos de STB, a pesar de que en el contrato de apertura de cuenta suscrito con dicha entidad indicó que no autorizaba el uso de sus datos personales con fines distintos al mantenimiento, desarrollo o control de las relaciones contractuales suscritas con STB. (folio 1) De lo razonado, ha quedado probado que la mencionada entidad financiera ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI, toda vez que envió tres C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 comunicaciones comerciales al correo electrónico de la denunciante que no habían sido previamente autorizadas o expresamente solicitadas por ésta, y respecto de los cuales no operaba la excepción recogida en el artículo 21.2 de dicha norma relativa a la existencia de una relación contractual entre las partes ante la negativa expresa a recibir información comercial manifestada por la afectada, precisamente, en el momento de contratar . V El hecho de que la denunciante no haya utilizado el enlace de baja ofrecido por STB al pie de cada una de las comunicaciones comerciales denunciadas para que los destinarios de los envíos puedan oponerse al uso de sus datos con esa finalidad o, en su caso, revocar el consentimiento que inicialmente hubieran podido prestar para ello, no anula ni modula la negativa que indicó al uso de sus datos personales, en este caso sus señas electrónicas con fines publicitarios, desde el mismo momento en que firmó el contrato de apertura de cuenta con STB y que manifestó utilizando el medio que dicha entidad le proporcionó en el propio documento contractual que les vinculaba. A este respecto, señalar que si bien los artículos 21.2 y 22.1 de la LSSI obligan al prestador de servicios de la sociedad de la información a incluir en las comunicaciones comerciales remitidas por correo electrónico un mecanismo sencillo y gratuito de oposición y/o revocación, consistente en una dirección de correo electrónico u otra dirección electrónica válida, a fin de garantizar que los destinatarios de tales comunicaciones dispongan de un medio para poder negarse a continuar recibiendo las mismas en sus señas electrónicas, sin embargo dicha norma no establece que tales medios sean las únicas alternativas válidas para que los destinatarios de los correos electrónicos puedan expresar su voluntad de no recibir este tipo de envíos, ni tampoco obliga al uso exclusivo de los mismos a tales destinatarios. La norma favorece el ejercicio de un derecho de los destinatarios de este tipo de comunicaciones comerciales sin obligarles a utilizar el mecanismo concreto ofrecido con tales finalidades en cada uno de las comunicaciones comerciales recibidas. Por lo que éstos pueden también ejercitar ante el responsable del fichero los derechos de cancelación y oposición contemplados en la LOPD en evitación de que sus datos de carácter personal, entre los que se encuentran las direcciones de correo electrónico, sean personales o profesionales, sigan tratándose por el responsable del fichero con finalidades comerciales y o publicitarias. En todo caso, se considera que no usar el mecanismo de baja ofrecido en los correos comerciales no modifica el hecho fundamental de que dichos envíos estudiados se produjeron sin contar con el consentimiento previo y expreso de su destinataria, razonamiento que también responde el alegato relativo a que la denunciante tampoco utilizó ninguno de los restantes medios de oposición puestos a disposición de los clientes de la entidad que se citan en el escrito de alegaciones de STB. En relación con esta cuestión no puede obviarse que la denunciante al contratar manifestó en forma clara y expresa su negativa a la recepción de información comercial en la forma descrita en los Hechos Probados números 1) y 2). De hecho, el artículo 21.2 de la LSSI dispone que: “ En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 recogida de los datos como en cada una de las comunicaciones comerciales que le dirija.” VI El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 de la LSSI especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos), considerándose como tal, según definición contenida en el apartado
  16. c)del Anexo de la citada norma a la “ persona física o jurídica que proporciona un servicio de la sociedad de la información”. De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  17. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
  18. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, a la vista de los elementos fácticos que han resultado acreditados en la tramitación del procedimiento sancionador, la conclusión que se despende de los hechos y fundamentos de derecho anteriores es que la infracción del artículo 21.1 de la LSSI que se imputa a la denunciada ha de calificarse como infracción leve a lo previsto en el artículo 38.4.
  19. d)de la vigente LSSI, puesto que la remisión de tres comunicaciones comerciales no autorizadas a la cuenta de correo electrónico de la denunciante no puede calificarse como envío insistente o sistemático por parte de la entidad responsable de los reseñados envíos. Todo lo cual lleva a considerar la existencia del elemento subjetivo de culpabilidad en la conducta de la denunciada en el ilícito administrativo imputado, ya que la misma responde a una acción típica, antijurídica, culpable y punible que constituye, tal y como se ha razonado, vulneración al artículo 21.1 de la LSSI por parte de la denunciada. No cabe duda que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables” sin que pueda obviarse que STB es una entidad habituada a la realización de comunicaciones comerciales por medios de comunicación electrónica a los efectos de promocionar sus servicios, motivo por el cual, en razón de la diligencia que le resulta exigible por su profesionalidad, debió extremar el cuidado para comprobar, con anterioridad a la realización de los envíos, que contaba con el consentimiento expreso y previo de la destinataria de las comunicaciones comerciales exigido en el artículo 21.1 de la LSSI. Asimismo, se considera que por la misma razón, le resultaba también exigible la cautela de implementar los procedimientos adecuados para garantizar que serían atendidas, en forma efectiva y en cualquier momento del tratamiento, las solicitudes de oposición de los destinatarios de tales envíos al uso de sus señas electrónicas realizadas por cualquier medio habilitado a tales efectos por esa empresa, ello en cumplimiento tanto de la normativa de protección de datos como con arreglo a los requisitos fijados por la LSSI a los efectos de garantizar los derechos de los destinatarios de los servicios de la sociedad de información. La concurrencia de un supuesto error humano como justificante de la remisión indebida de los tres correos electrónicos comerciales analizados no elimina la antijuridicidad de la conducta analizada, puesto que no resulta suficiente para entender justificada la conducta de la imputada, toda vez que el referido error genera responsabilidad cuando produce daños a los titulares de otros bienes jurídicos, como, en el caso presente, el derecho a oponerse al tratamiento de sus datos con fines promocionales. De este modo, el error humano invocado no resta culpabilidad a la conducta de STB, ya que, en todo caso cae bajo la órbita de su responsabilidad la remisión de los envíos denunciados y el tratamiento de los datos de la afectada analizado. VI Según establece el art. 39.1.c), de la LSSI, las infracciones leves podrán ser sancionadas con multa de hasta 30.000 €, fijando los criterios para su graduación los artículos 39 bis y 40 de la misma norma, que disponen lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  25. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  26. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador, por dicho incumplimiento.” “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  27. a)La existencia de intencionalidad.
  28. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  29. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  30. d)La naturaleza y cuantía de los perjuicios causados.
  31. e)Los beneficios obtenidos por la infracción.
  32. f)Volumen de facturación a que afecte la infracción cometida.
  33. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. Se significa que la subsanación del error cometido y proceder a la baja de la denunciante para el envío de comunicaciones comerciales tan pronto como fueron C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 alertados por la Inspección de Datos debe encuadrarse en la obligación que le incumbe a STB, en su condición de prestador de servicios de la sociedad de la información, de adoptar las medidas necesarias para no vulnerar lo previsto en el artículo 21.1 de la LSSI, haciendo efectivo el derecho de la denunciante a no recibir comunicaciones comerciales no deseadas por vías de comunicación electrónica o similares, máxime cuando ésta ya había manifestado su negativa a recibir información comercial sobre otros productos o servicios de STB al formalizar el contrato de fecha 5 de junio de 2015 mediante la marcación de la casilla correspondiente. Sentado lo anterior , la multa a imponer deberá graduarse de conformidad con los criterios de graduación de las sanciones recogidos en el transcrito artículo 40 de la LSSI y lo dispuesto en el artículo 131 de la LRJ-PAC, precepto este último que en relación con el principio de proporcionalidad establece que: “3. En la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
  34. a)La existencia de intencionalidad o reiteración.
  35. b)La naturaleza de los perjuicios causados.
  36. c)La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme.” Con arreglo a los cuales se considera que en este supuesto operan como agravantes los criterios
  37. a)y
  38. b)del mencionado artículo 40 de la LSSI. En concreto, si bien no puede hablase de intencionalidad en la conducta descrita, sin embargo si se ha producido una evidente falta de diligencia por STB, ya que ésta en su condición de responsable de la remisión de los tres correos electrónicos comerciales analizados y del tratamiento de los datos del afectado utilizados para su remisión debió establecer mecanismos de control que aseguren, en supuestos como el que nos ocupa, en los que no se emplean procedimientos automatizados, que el traspaso de la información contenida en los contratos presentados vía postal se realice íntegra y correctamente a sus sistemas de información. Esta falta de cuidado dio lugar a que la negativa manifestada por la denunciante a recibir información comercial sobre otros productos o servicios de STB, la cual constaba marcada en su correspondiente casilla en el contrato de apertura de cuenta de fecha 5 de junio de 2015, no se hiciese efectiva, en la práctica, hasta el 5 de abril de 2016, fecha en que se excluyeron los datos personales de la afectada de los sistemas de la denunciada a efectos publicitarios, dando lugar a la remisión no autorizada de tres correos electrónicos comerciales a la denunciante entre el 24 de noviembre de 2015 y el 10 de febrero de 2016. En todo caso, la inclusión de un mecanismo de oposición en dichas comunicaciones para evitar nuevos envíos publicitarios por medios electrónicos responde a las exigencias contempladas en el artículo 21.2 de la LSSI, sin que el hecho de que la denunciante no ejercitase su derecho de oposición a través del procedimiento automatizado ofrecido en los tres correos electrónicos analizados modifique, en forma alguna, que fueron enviados desatendiendo la negativa previa de la denunciante a recibir este tipo de comunicaciones comerciales. Se reitera que ésta había manifestado con fecha 5 de junio de 2015 en forma expresa su voluntad de no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 recibir información comercial de productos o servicios de STB, por lo que el ilícito cometido cae bajo la directa órbita de responsabilidad de STB, sin que la inexistencia de ninguna otra resolución firme declarando la comisión de infracciones de la misma naturaleza por parte de esa empresa pueda considerarse como criterio atenuante. Paralelamente, se valoran como atenuantes los criterios d),
  39. e)y
  40. f)recogidos en el citado artículo 40 de la LSSI, y ello ante la falta de constancia tanto de que la denunciante haya sufrido perjuicios derivados de la comisión de la infracción imputada, como de que la entidad denunciada haya obtenido beneficios o algún impacto en su volumen de facturación con motivo de la comisión de la infracción del artículo 21.1 de la LSSI. Por lo tanto, con arreglo a lo previsto en los artículos 40 de la LSSI y 131 de la LRJ-PAC, se estima adecuado a la gravedad de los hechos analizados imponer una sanción de 2.000 €, multa comprendida en la horquilla inferior de la escala prevista por la LSSI para las infracciones leves. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SELF TRADE BANK, SAU, por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  41. d)de la LSSI, una multa de 2.000 €, de conformidad con lo establecido en los artículos 39.1.
  42. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a SELF TRADE BANK, SAU y a Doña C.C.C. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/12015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.