← España

PS-00234-2021

1/7  Procedimiento Nº: PS/00234/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/0234/2021, instruido por la Agencia Española de Protección de Datos, a la entidad, la entidad, STAROFSERVICE SAS, con número de identificación extranjero:***NIE.1, (en adelante, “la parte reclamada”), en virtud de denuncia presentada por D. A.A.A. (en adelante, “la parte reclamante”), por presunta infracción de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 25/01/21, tiene entrada en esta Agencia, escrito presentado por la parte reclamante, en la que indicaba, entre otras, lo siguiente: “He recibido correos electrónicos de la empresa denunciada ofreciéndome sus servicios sin mi consentimiento”. Al escrito de reclamación se acompaña copia de los correos electrónicos enviados desde la dirección, <<***EMAIL.1, los días 19, 21 y 22 de enero del año 2021, a la dirección de correo electrónico de la parte reclamante, conteniendo mensajes publicitarios o comerciales. SEGUNDO: Con fecha 05/03/21, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). Según certificado de la Sociedad Estatal Correos y Telégrafos, el requerimiento enviado a la entidad reclamada, el día 05/03/21 a través del servicio de SICER, fue entregado en destino el día 17/03/

  1. TERCERO: Con fecha 12/05/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la denuncia presentada por el reclamante, de conformidad con el artículo 65 de la LPDGDD. CUARTO: Con fecha 24/05/21, la entidad reclamada presentó escrito de contestación al requerimiento realizado por esta Agencia, en el cual, entre otras, indicaba: “El primer correo electrónico se envió con el propósito de una promoción comercial dirigida a profesionales. La base jurídica sobre la que se envió el correo electrónico es en virtud del artículo 6.1 del RGPD de interés legítimo perseguido por el responsable del tratamiento. Estos intereses legítimos incluyen la prospección comercial dirigida a profesionales tal y como autoriza explícitamente el RGPD (considerando 47) -El tratamiento de los datos personales con fines de mercadotecnia puede considerarse como interés legítimo. Como lo exige la legislación todos estos correos electrónicos tienen un enlace directo y válido para darse de baja C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 El demandante no utilizó el enlace para darse de baja, sino que respondió a un correo enviado el 21/01/21 (se adjunta una copia), solicitando más información sobre nuestros servicios. Por tanto, el segundo correo electrónico enviado el 21/01/21 fue como respuesta a la pregunta realizada por el reclamante. El día siguiente, el 22/01/21, el reclamante nos pidió que dejáramos de enviarle correos electrónicos. Sin embargo, este correo electrónico se envió a las 21:37 horas, por lo que el servicio de atención al cliente no pudo gestionar su solicitud y el demandante recibió otro correo electrónico dos días más tarde, el domingo. La baja se tramitó al día siguiente, el lunes 25/01/
  2. El demandante no utilizó en enlace existente en todos los correos electrónicos enviados, lo que habría sido efectivo de inmediato. Naturalmente, tiene toda la legitimidad para enviar un correo electrónico solicitando la baja, pero no puede esperar a que se le tramite su solicitud al día siguiente, sábado”. QUINTO: Con fecha 18/06/21, por la Directora de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador a la parte reclamada, por infracción del artículo 21) de la LSSI, sancionable conforme a lo dispuesto en los art. 39) y 40) de la citada Ley, por el envío de correos electrónicos publicitarios sin el consentimiento expreso del interesado, con una sanción inicial de 3.000 euros (tres mil euros). SEXTO: Notificado el acuerdo de inicio a la parte reclamada, ésta mediante escrito de fecha 15/07/21, formuló, en síntesis, las siguientes alegaciones: “Es cierto que se han enviado al reclamante tres correos electrónicos: El primer correo electrónico se envió el 19/01/21 con fines de prospección comercial dirigida a profesionales. La base jurídica sobre la que se envió el correo electrónico es en virtud del artículo 6.1 del RGPD de interés legítimo perseguido por el responsable del tratamiento. Estos intereses legítimos incluyen la prospección comercial dirigida a profesionales tal y como autoriza explícitamente el RGPD (considerando 47) -El tratamiento de los datos personales con fines de mercadotecnia puede considerarse como interés legítimo. Según el principio de primacía del Derecho Europeo a la ley estatal, se suele aceptar la interpretación de la ley nacional de acuerdo con el RGPD. Es por ello por lo que la Autoridad Francesa de Protección de Datos ha autorizado este tipo de prospección comercial si y solo si se dirigen a profesionales y no a consumidores. Como empresa francesa seguimos este principio. En este caso, nos dirigimos al reclamante como profesional. Quien respondió como tal, solicitando más información sobre nuestra oferta. No puede pretender actuar como consumidor sin contradecirse a sí mismo. Como exige la legislación, todos nuestros correos contienen un enlace directo y válido para darse de baja. El demandante no utilizó el enlace directo para darse de baja, sino que respondió solicitando más información sobre nuestros servicios en un correo electrónico enviado el 21/01/
  3. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 El segundo correo electrónico enviado el 21/01/21, al reclamante fue, por tanto, como respuesta a su petición información. Al día siguiente, el 22/01/21, el demandante envió un correo electrónico solicitando que no se le enviara más correos. Este correo se envió el viernes a las 21:37, pero el departamento de atención al cliente no pudo tramitar esa solicitud ese día y a esa hora y el demandante recibió otro correo electrónico dos días después, el domingo. La baja se tramitó al día siguiente, el lunes 25 de enero, no enviando más correos electrónicos desde ese día. El demandante no utilizó en enlace existente en todos los correos electrónicos enviados, lo que habría sido efectivo de inmediato. Naturalmente, tiene toda la legitimidad para enviar un correo electrónico solicitando la baja, pero no puede esperar a que se le tramite su solicitud al día siguiente, sábado”. SÉPTIMO: Con fecha 07/09/21, se da traslado a la entidad reclamada de la propuesta de resolución, en la cual, se propone que, por parte de la Directora de la Agencia Española de Protección de Datos se sancione a la entidad reclamada, por la infracción de artículo 21 de la LSSI, respecto del envío de correos electrónicos publicitarios sin la legitimación y/o consentimiento expreso del interesado, con una multa de 3.000 euros (tres mil euros). OCTAVO: Notificado la propuesta de resolución a la parte reclamada, ésta, con fecha 14/10/21, presenta escrito de alegaciones, indicado, entre otras, lo siguiente: “En respuesta a la argumentación del Instructor del Procedimiento, nos gustaría enfatizar los siguientes puntos legales, además de los previamente indicados: El Reglamento General de Protección de Datos (RGPD) explícitamente permite el envío de correos electrónicos con el propósito comercial a profesionales, basándose en el artículo 6.1 f/: <<El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo» (Considerando

(47)del RGPD). Aun si la LSSI es aplicable, esta ley nacional será interpretada en conformidad a la Ley Europea. Una ley nacional no puede ser más restrictiva que una Regulación Europea. al menos que dicha Regulación permite que los estados miembros lo sean. Con respecto del Articulo 6.1 f, del RGPD no permite ninguna excepción a los estados miembros ( en referencia al RGPD, Artículo 6.2). Por lo tanto, como nuestro comportamiento estuvo bajo estricto cumplimiento con la Regulación Europea, la propuesta del Instructor, basada en una interpretación ampliada del LSSI, no deberá ser seguido por el AEPD en el presente caso”. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados lo siguiente: HECHOS PROBADOS 1º.- Según el reclamante, ha recibido correos electrónicos de la entidad STAROFSERVICE SAS con mensajes publicitarios sin su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Al escrito de reclamación se acompaña copia de los correos electrónicos enviados desde la dirección, <<***EMAIL.1 , los días 19, 21 y 22 de enero del año 2021, a su dirección de correo electrónico conteniendo mensajes publicitarios o comerciales. 2º.- Según manifiesta la entidad reclamada en sus alegaciones: - El primer correo electrónico se envió el 19/01/21 fue con fines de prospección comercial dirigida a profesionales atendiendo a que, como empresa francesa, la Autoridad Francesa de Protección de Datos ha autorizado este tipo de prospección comercial si y solo si se dirigen a profesionales y no a consumidores. - El segundo correo electrónico enviado el 21/01/21 al reclamante, fue como respuesta a la petición que hizo éste de más información sobre los servicios prestados por la entidad. - El 22/01/21, el demandante envió un correo electrónico solicitando que no se le enviara más correos publicitarios, pero, según alega la entidad reclamada, “Este correo se envió el viernes a las 21:37 y el departamento de atención al cliente no pudo tramitar esa solicitud ese día y a esa hora por lo que la baja se tramitó el lunes 25 de enero. - No obstante, el reclamante recibió otro correo electrónico el día 24/01/21, domingo, conteniendo mensajes publicitarios o comerciales. FUNDAMENTOS DE DERECHO I-Competencia: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 43.1, párrafo segundo, de la de la LSSI. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. No obstante, en respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: a).- Sobre la afirmación de que “el RGPD permite el envío de correos electrónicos con el propósito comercial a profesionales, basándose en el artículo 6.1 f”. Indica el artículo 6.1. del RGPD que, el tratamiento de los datos personales solo será lícito si se cumple al menos una de las condiciones indicadas, entre las que se encuentra, en el apartado
  1. f)lo siguiente: (…)
  2. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Por su parte, el considerando 47 del RGPD expone que: “El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en las que el interesado es cliente o está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior(…). (…)El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo”. Esta afirmación general de que “El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo”, como alega la entidad, está supedita específicamente a una prueba de sopesamiento adicional cuyo objetivo es proteger los intereses y los derechos de los interesados. Esto es, el RGPD establece que, el interés legítimo del responsable del tratamiento debe sopesarse en relación con los intereses o los derechos y libertades fundamentales del interesado. Así tenemos como el considerando 47 indica que, el interés legítimo de un responsable, de un cesionario o de un tercero, “puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable”, añadiendo posteriormente que “en cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior”. Por tanto, cuando las comunicaciones comerciales, (mercadotecnia directa), como en el caso que nos ocupa, se llevan a cabo por medios electrónicos, hay que atenerse a lo establecido en el art. 21 de la Ley 34/2002, de 11 de julio, de Servicios de la sociedad de la información y de comercio electrónico (LSSI), en aplicación de lo indicado en el considerando 47 del RGPD: “(…) En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior”. Pues bien, el artículo 21 de la LSSI dispone lo siguiente, sobre el envío por medios electrónicos de comunicaciones comerciales: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Por tanto, se prohíbe expresamente enviar correos electrónicos publicitarios sin tener el consentimiento expreso del destinatario, con la excepción de que previamente se haya tenido una relación contractual con el mismo. No existen más excepciones, en cuyo caso, se podría haber considerado, como base legal para el tratamiento de los datos personales el art. 6.1.b del RGPD, esto es: ”el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales”, pero siempre y cuando hubiera existido una relación contractual previa entre ambas partes, situación que no se ha dado en presente caso. A la vista de lo expuesto se procede a emitir la siguiente: RESUELVE: PRIMERO: IMPONER, a la entidad, STAROFSERVICE SAS, con número de identificación extranjero:***NIE.1, una multa de 3.000 euros, (tres mil euros), por la infracción del artículo de artículo 21 de la LSSI, respecto del envío de correos electrónicos comerciales o publicitarios sin el consentimiento o base legal para ello. SEGUNDO: NOTIFICAR la presente resolución a la entidad STAROFSERVICE SAS, y a la reclamante sobre el resultado de la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  3. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  4. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.