← España

PS-00226-2016

1/12 Procedimiento Nº PS/00226/2016 RESOLUCIÓN: R/02180/2016 En el procedimiento sancionador PS/00226/2016, instruido por la Agencia Española de Protección de Datos a la entidad TRAVELGENIO, S.L., vista la denuncia presentada por Don A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 23 de diciembre de 2015 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por Don A.A.A., en lo sucesivo el denunciante, en la que éste manifiesta que desde que compró un billete de avión a través de la página "travel2be.com", el día 14/04/2015 (cuya copia adjunta), empezó a recibir publicidad en su correo electrónico "........@gmail.com" desde el dominio "travelgenio.com". Los correos electrónicos que recibe dan la posibilidad de contestar con la palabra "borrar" para dejar de recibirlos, pero aunque lo ha hecho sigue recibiéndolos. El denunciante adjunta cinco correos publicitarios recibidos en su cuenta ........@gmail.com remitidos desde el dominio travelgenio.com. También indica que ha enviado a travelgenio.com dos reclamaciones a través del apartado "atención al cliente" de su página web. Una el día 03/11/2015 de la que recibió el acuse de recibo. Otra el día 14/11/2015, de la cual recibió respuesta el 16/11/2015 indicando que en el plazo de 7 días darían de baja su correo electrónico de su base de datos. Sin embargo, todavía recibe correos publicitarios. Como respuesta a la solicitud de subsanación remitida por esta Agencia, con fecha de 26 de enero de 2016 tiene entrada en esta Agencia un escrito del denunciante en el que aporta las cabeceras completas de los correos electrónicos adjuntados a su anterior escrito. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia tuvieron conocimiento de los siguientes extremos: 1. El denunciante recibió en su cuenta de correo ........@gmail.com electrónicos cuyas características se listan a continuación: los correos Cuenta origen IP origen Fecha ......@es.travelgenio.com ***IP.1 3/11/2015 Hora 13:49+01 ......@es.travelgenio.com ***IP.1 5/11/2015 8:44+01 ......@es.travelgenio.com ***IP.1 30/11/2015 10:42+01 ......@es.travelgenio.com ***IP.1 13/11/2015 13:43+01 ......@es.travelgenio.com ***IP.1 18/12/2015 13:41+01 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Los correos electrónicos contenían información comercial referente a ofertas en productos relacionados con vuelos y viajes. Los correos electrónicos disponen de información sobre el cómo solicitar la baja de la lista de destinatarios en forma de “¿Quieres cancelar tu suscripción? Responde a este email con la palabra “borrar” en el asunto”. En el campo “Replay” (dirección receptora cuando se responde a un correo) del correo electrónico consta la dirección de correo electrónico .....@corp.tavelgenio.com. 2. El denunciante aporta copia del billete electrónico adquirido el día 14 de abril de 2015, en el que consta como remitente Travel2be.com. 3. El denunciante solicitó la cancelación de la suscripción a los correos electrónicos promocionales mediante correo electrónico a TRAVELGENIO, S.L., en adelante la denunciada o TRAVELGENIO. Aporta copia del correo electrónico de confirmación de la recepción de la solicitud de cancelación fechado el día 14 de noviembre de 2015 y copia de otro correo electrónico de fecha 16 de noviembre de 2015, remitido desde TRAVELGENIO, S.L. al correo del denunciante, en el que le informan de que han recibido su solicitud de baja y procederán a tramitar la baja en un plazo de 7 días. 4. En respuesta a la solicitud de información realizada por el inspector actuante, los representantes de TRAVELGENIO, S.L. remitieron un escrito en el que manifestaron, en referencia al envío de los correos electrónicos en cuestión, que: 4.1. El titular de la dirección de e-mail ........@gmaii.com realizó, con fecha 14/04/15, la compra de unos billetes de avión en Travelgenio.es, durante la cual manifiestan que aceptó recibir newsletters. Aportan impresión de pantalla del proceso de compra en la que aparece la dirección de correo electrónico ........@gmaii.com y marcada la casilla de consentimiento para el envío de publicidad. 4.2. El dato de la dirección de correo electrónico fue facilitado por el cliente en el momento de hacer la compra. 4.3. En relación con las solicitudes de cancelación remitidas por el denunciante manifiestan que, una vez recibidas, se procesó la baja de la dirección de correo electrónico del cliente en el servicio de newsletter. 5. El día 20 de abril de 2016 se realizó una visita de inspección en la sede de TRAVELGENIO, S.L., poniéndose de manifiesto los siguientes hechos recogidos así en el Acta de Inspección: 5.1. TRAVELGENIO S.L. es titular, entre otros, de los dominios travelgenio.com, travelgenio.es, travel2be.es y travel2be.com, bajo los cuales dispone de páginas de internet a través de las que se pueden adquirir billetes de avión y reservas de hotel. 5.2. Los correos electrónicos publicitarios enviados por TRAVELGENIO S.L. incluyen al pie información del procedimiento para solicitar la baja de publicidad, que consiste en responder al mismo correo anotando la palabra BORRAR en el asunto. Una vez recibida la solicitud de baja se envía una respuesta automática confirmando la recepción de la solicitud y se procede a anotar la baja en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 fichero de clientes. 5.3. En el fichero de clientes de la entidad, consta que el cliente titular de la dirección de correo electrónico ..........@gmail.com se encuentra dado de baja de publicidad, no constando información sobre la fecha de la baja. 5.4. En el buzón de correo electrónico ..........@corp.travelgenio.com, consta la existencia de un correo saliente de fecha 16 de noviembre de 2015 dirigido a ..........@gmail.com en el que le informan de que han recibido su solicitud de baja de ofertas y promociones y que van a proceder a dar de baja la dirección de correo electrónico. TERCERO: En fecha 5 de mayo de 2016, la Directora de la Agencia Española de Protección de Datos, acordó iniciar procedimiento sancionador al denunciado por la posible infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como leve en el artículo 38.4.

  1. d)de la citada norma, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1.
  2. c)de la citada ley. Dicho acuerdo fue notificado a la denunciada el día 10 de mayo de 2016, según consta en la prueba de entrega emitida por la Sociedad Estatal Correos y Telégrafos, SA. CUARTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas, el citado acuerdo se considera propuesta de resolución, por lo que procede a elevar el procedimiento a la resolución de la Directora de la Agencia Española de Protección de Datos, en virtud de lo previsto en el artículo 13.2 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, en adelante REPEPOS. HECHOS PROBADOS PRIMERO: Con fecha 14 de abril de 2015, el denunciante, Don A.A.A., compró unos billetes de avión a través de la página web "travel2be.com", facilitando su dirección de correo electrónico ........@gmail.com para realizar dicha reserva (folios 1, 3, 4, 20, 81, 83 a 85) SEGUNDO: TRAVELGENIO, S.L. ha acreditado que en el proceso de compra de dichos billetes el denunciante marcó la casilla: “Marca esta casilla si deseas recibir nuestra newsletter con las mejores promociones de la web”. (folio 83). TERCERO: El denunciante envió a través del apartado "atención al cliente" de la página web travelgenio.com dos solicitudes de baja para no continuar recibiendo correos electrónicos. (folios 5 al 10, 23 al 30, 87, 91). La primera, el día 3 de noviembre de 2015, con el texto: “Baja de la suscripción”, recibiendo acuse de recibo automático de la misma con esa misma fecha. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 La segunda, el día 14 de noviembre de 2015, de la cual recibió respuesta el 16 de noviembre de 2015 indicando que “Hemos recibido su solicitud de baja de nuestras Ofertas y Promociones. Nuestro departamento informático dará de baja su correo electrónico de nuestra base de datos en el plazo de 7 días. “ . CUARTO: Transcurridos diez días hábiles desde la confirmación por TRAVELGENIO, S.L. al denunciante de la recepción de las dos solicitudes de baja citadas , el denunciante recibió con fechas 30 de noviembre y 18 de diciembre de 2015 en su cuenta ........@gmail.com dos comunicaciones comerciales procedentes de la cuenta de correo electrónico ......@es.travelgenio.com. (folios 11 a 15, 52 al 63). Dichos envíos, que contenían información comercial referente a ofertas en productos relacionados con vuelos y viajes, incluían de un enlace para solicitar la baja de la lista de destinatarios. QUINTO: Con fecha 20 de abril de 2016, Inspectores de esta Agencia constataron que en el fichero clientes de TRAVELGENIO, S.L., la dirección de correo electrónico ........@gmail.com se encontrabas dada de baja de publicidad, no constando información sobre la fecha en que se registró dicha baja. (folios 87 y 90). SEXTO: TRAVELGENIO, S.L. es titular de los dominios travelgenio.com, travelgenio.es, travel2be.es y travel2be.com, bajo los cuales dispone de páginas de internet, a través de las que se pueden adquirir billetes de avión y reservas de hotel. (folio 86). FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
  3. d)e
  4. i)y 38.4 d),
  5. g)y
  6. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II El artículo 13.2 del del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, dispone que: “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: • Que dicha posibilidad sea advertida expresamente al inculpado en el acuerdo de notificación. • Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el apartado primero del citado artículo. • Que el inculpado no presente alegaciones en plazo sobre el contenido de la iniciación. • Que como consecuencia de la instrucción no resulte modificada la determinación inicial de los hechos, de su posible calificación, de las sanciones imponible o de las responsabilidades susceptibles de sanción. (Art. 16.3 del citado Reglamento). La STS de 19 de diciembre de 2001 (RJ 2001, 2617) recaída en recurso de casación en interés de ley, interpretando el artículo 13.2 arriba trascrito, declara que basta que el interesado no haya formulado alegaciones sobre el contenido del boletín de denuncia que inicia el procedimiento, para que no sea preceptiva la notificación de la propuesta de resolución, ni necesario, en consecuencia, el trámite de audiencia, al servir el acuerdo de iniciación como propuesta de resolución. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. III Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. La LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. La Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), modificada por la Directiva 2009/136/CE del Parlamento Europeo y del Consejo, de 25 de noviembre, introdujo en el conjunto de la Unión Europea el principio de “opt in”, es decir, la necesidad de contar con el consentimiento previo del destinatario para el envío de comunicaciones electrónicas con fines comerciales. De este modo, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica, equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
  7. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. IV Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
  8. f)Comunicación comercial»: toda forma de comunicación dirigida a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
  9. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
  10. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario”. Dicha definición se refiere, tal y como se expresa en el Considerando 17 de la citada Directiva 2000/31/CE del parlamento Europeo y del Consejo, de 8 de junio, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior (Directiva sobre el comercio electrónico), a “cualquier servicio prestado normalmente a título oneroso, a distancia, mediante un equipo electrónico para el tratamiento (incluida la comprensión digital) y el almacenamiento de datos, y a petición individual de un receptor de un servicio”, añadiendo que estos servicios cuando “no implica tratamiento y almacenamiento de datos no están incluidos en la presente definición”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional, y, además, ha de realizarse dicha comunicación en los términos que señala el Considerando 17 de la Directiva 2000/31/CE. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
  11. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. V En el presente supuesto, de la valoración conjunta de los elementos fácticos obrantes en el procedimiento, se evidencia que el denunciante recibió en su cuenta de correo electrónico ........@gmail.com, con fechas 30 de noviembre y 18 de diciembre de 2015 un total de dos comunicaciones comerciales no deseadas remitidas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 desde la dirección ......@es.travelgenio.com. Estos envíos, con ofertas de viajes y vuelos, se llevaron a cabo por TRAVELGENIO no sólo después de que dicha entidad hubiera recibido los días 3 y 14 de noviembre de 2015 las solicitudes de baja que el denunciante le remitió, con esas mismas fechas, al objeto de no continuar recibiendo la newsletter de la entidad, sino que, además, se produjeron cuando la entidad denunciada ya había procedido a contestar la segunda de las solicitudes confirmando que en el plazo de siete días le darían de baja de su base de datos. (folio 7) Así, consta acreditado en el procedimiento que los dos envíos objeto de análisis se remitieron transcurridos más de diez días hábiles desde las fechas en que la entidad denunciada confirmase la recepción de las dos solicitudes de cancelación de la newsletter y contestase las mismas en los términos que figuran en el Hecho Probado Tercero. Dicho plazo se viene aplicando por la AEPD conforme a lo dispuesto en el artículo 19.2 de la LSSI por analogía con lo dispuesto en el artículo 35 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, al no fijarse en el artículo 21.2 de la LSSI plazo alguno para que el prestador de servicios de la sociedad de la información atienda el derecho de oposición manifestado por el destinatario de los envíos al tratamiento de sus señas electrónicas con fines publicitarios. De lo que se colige que cuando la entidad denunciada, titular del dominio travelgenio.com, remitió las dos comunicaciones electrónicas comerciales reseñadas en el Hecho Probado Cuarto ya conocía la voluntad del destinatario afectado de que su cuenta de correo electrónico no se siguiese utilizando para enviarle publicidad de sus servicios, puesto que mediante el envío de las solicitudes de baja había revocado el consentimiento inicialmente prestado a su recepción. Además, al manifestar tal negativa tampoco resultaba de aplicación la excepción contenida en el párrafo primero del apartado 2 del artículo 21 de la LSSI derivada de la relación contractual existente entre ambas partes. A la luz de lo expuesto, se estima que los dos correos electrónicos comerciales señalados carecían del consentimiento expreso de su destinatario para su envío, por lo que su remisión por parte de la empresa denunciada vulnera la prohibición contenida en el artículo 21.1 de la LSSI de enviar comunicaciones comerciales por correo electrónico que no hayan sido autorizadas previamente o expresamente solicitadas por el destinatario de las mismas. VI El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 de la LSSI especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos), considerándose como tal, según definición contenida en el apartado
  12. c)del Anexo de la citada norma a la “ persona física o jurídica que proporciona un servicio de la sociedad de la información”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  13. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
  14. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, a la vista de los hechos que han resultado acreditados en la tramitación del procedimiento sancionador, la conclusión que se despende de los hechos y fundamentos de derecho anteriores es que la infracción del artículo 21.1 de la LSSI que se imputa a la denunciada ha de calificarse como infracción leve a lo previsto en el artículo 38.4.
  15. d)de la vigente LSSI, puesto que la remisión de dos comunicaciones comerciales no autorizadas a la cuenta de correo electrónico del denunciante no puede calificarse como envío insistente o sistemático por parte de la entidad responsable de los reseñados envíos. Todo lo cual lleva a considerar la existencia del elemento subjetivo de culpabilidad en la conducta de la denunciada en el ilícito administrativo imputado, ya que la misma responde a una acción típica, antijurídica, culpable y punible que constituye, tal y como se ha razonado, vulneración al artículo 21.1 de la LSSI por parte de la denunciada. VII A tenor de lo establecido en el artículo 39.1.
  16. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma que dispone lo siguiente: “Artículo 40. Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  17. a)La existencia de intencionalidad.
  18. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  19. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  20. d)La naturaleza y cuantía de los perjuicios causados.
  21. e)Los beneficios obtenidos por la infracción.
  22. f)Volumen de facturación a que afecte la infracción cometida
  23. g)La adhesión a un código de conducta o aun sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 En este supuesto, resulta de especial relevancia que los dos correos electrónicos comerciales analizados se remitieron a pesar de que el denunciante había revocado en esas fechas el consentimiento que prestó a la recepción de la newsletter de la entidad cuando marco la correspondiente casilla en el momento de contratar la reserva de los billetes de avión, circunstancia que, además, se reitera conocía perfectamente esa entidad al haber acusado recibo de las mismas y confirmado la realización de las gestiones pertinentes para su tramitación. Por otro lado, la entidad imputada no ha justificado que la situación se solucionase de forma inmediata en sus sistemas. Por lo tanto, a la vista de las fechas de los envíos analizados, las solicitudes de las bajas recibidas por TRAVELGENIO, con fechas 3 y 14 de noviembre de 2015 se tramitaron con posterioridad al 18 de diciembre de 2015, fecha de remisión del último envío denunciado, sin que el hecho de que a fecha 20 de abril de 2016, la ficha correspondiente a los datos del usuario tuviera la celda de suscriptor no marcada suponga una regularización diligente. Sentado lo anterior, la sanción a imponer deberá ponderarse de conformidad con los criterios de graduación de las sanciones recogidos en el transcrito artículo 40 de la LSSI y lo dispuesto en el artículo 131 de la LRJ-PAC, precepto este último que en relación con el principio de proporcionalidad establece que: “3. En la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
  24. a)La existencia de intencionalidad o reiteración.
  25. b)La naturaleza de los perjuicios causados.
  26. c)La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme.” De esta forma, se considera que en este supuesto actúan como agravantes los criterios
  27. a)y
  28. b)del mencionado artículo 40 de la LSSI. En cuanto al criterio a), se estima que, si bien no ha existido intencionalidad en la conducta de la entidad denunciada, sin embargo se ha producido una falta en la diligencia que le resultaba exigible al no adoptar, como entidad habituada a la remisión de envíos comerciales por medios electrónicos, las cautelas que resultaban necesarias para hacer un seguimiento de la gestión de tramitación de la baja solicitada por dos veces por el afectado a fin de poder comprobar, con anterioridad a la remisión de los dos envíos comerciales objeto de estudio, que se habían efectuado las modificaciones necesarias en los ficheros y herramientas de marketing de la entidad para hacer efectiva la misma en evitación de nuevos envíos de publicidad de la entidad a las señas electrónicas del denunciante, falta de rigor que de haberse adoptado hubiera evitado el incumplimiento de la prohibición recogida en el artículo 21.1 de la LSSI. Respecto del criterio
  29. b)se tiene en cuenta que en el plazo de 18 días comprendido entre el 30 de noviembre y el 18 de diciembre de 2015 se remitieron al denunciante un total de dos correos electrónicos comerciales no autorizados, ello no obstante que el denunciante había reiterado con fecha 14 de noviembre de 2015 su voluntad, ya manifestada con fecha 3 de noviembre de 2015, de no recibir este tipo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 envíos comerciales en sus señas electrónicas. Paralelamente, se valoran como atenuantes los criterios d),
  30. e)y
  31. f)recogidos en el citado artículo 40 de la LSSI, y ello ante la falta de constancia tanto de que el denunciante haya sufrido perjuicios derivados de la comisión de la infracción imputada, como de que la entidad denunciada haya obtenido beneficios o algún impacto en su volumen de facturación con motivo de la comisión de la infracción del artículo 21.1 de la LSSI. Por lo tanto, con arreglo a los criterios de graduación recogidos en los preceptos transcritos se estima adecuado a la gravedad de los hechos analizados la imposición de una sanción de 1.500 € a TRAVELGENIO, S.L. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TRAVELGENIO, S.L., por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  32. d)de la LSSI, una multa de 1.500 € (Mil quinientoseuros), de conformidad con lo establecido en los artículos 39.1.
  33. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a TRAVELGENIO, S.L. y a Don A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.