PS-00255-2021

1/9  Procedimiento Nº PS/00255/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 20 de febrero de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Telefónica de España, S.A.U. con CIF A82018474 (en adelante, el reclamado). El reclamante manifiesta que no ha sido atendido su derecho de oposición al envío de comunicaciones comerciales y publicitarias. Añade, que es cliente de Movistar y que no les ha dado su consentimiento para el envío de comunicaciones comerciales, pese a ello ha estado recibiendo en su dirección electrónica de correo: ***EMAIL.1, numerosas comunicaciones comerciales. Se ha dado de baja de las mismas a través del enlace que se incluye en las propias comunicaciones sin éxito pues ha seguido recibiéndolas. Ante la imposibilidad de darse de baja, el reclamante ha ejercitado su derecho de oposición a través de correo electrónico dirigido a: DPO_Movistar@telefonica.com, los días 20 y 26 de enero de 2021. El 10 de febrero de 2021, recibe acuse de su correo ejercitando la oposición y solicitándole (a pesar de ser cliente de la entidad y disponer de este documento) copia de su DNI. Ha seguido recibiendo comunicaciones comerciales y en el momento de interponer la presente reclamación no había sido atendido su derecho de oposición. Aporta la siguiente documentación: - Primer correo: Impresión de pantalla del correo recibido el día 18 de noviembre de 2020 desde Movistar Likes ***EMAIL.2 en la dirección ***EMAIL.1 con información comercial. En el enlace de pie de correo, le envían un correo de confirmación de no recepción de envíos publicitarios “Haz clic en el botón Aceptar. Dejarás de recibir comunicaciones de Movistar en esta dirección de correo electrónico”, le envían un correo de confirmación de darse de baja y confirma. - Segundo correo: Impresión de pantalla del correo recibido el día 25 de noviembre de 2020 desde Movistar Likes ***EMAIL.2 en la dirección ***EMAIL.1 con información comercial. En el enlace de pie de correo, le envían un correo de confirmación de no recepción de envíos publicitarios “Haz clic en el botón Aceptar. Dejarás de recibir comunicaciones de Movistar en esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 dirección de correo electrónico” le envían un correo de confirmación de darse de baja y confirma. - Tercer correo: Impresión de pantalla del correo recibido el día 2 de diciembre de 2020 desde Movistar Likes ***EMAIL.2 en la dirección ***EMAIL.1 con información comercial. En el enlace de pie de correo, le envían un correo de confirmación de no recepción de envíos publicitarios “Haz clic en el botón Aceptar. Dejarás de recibir comunicaciones de Movistar en esta dirección de correo electrónico” y confirma. Contesta a la cuenta comunicacion@movistar.es indicada como dirección para respuestas. Recibe aviso de correo devuelto no entregado. - Cuarto correo: Impresión de pantalla de correo recibido el día 9 de diciembre de 2020 desde Movistar Likes ***EMAIL.2 en la dirección ***EMAIL.1 con información comercial. En el enlace de pie de correo, le envían un correo de confirmación de no recepción de envíos publicitarios “Haz clic en el botón Aceptar. Dejarás de recibir comunicaciones de Movistar en esta dirección de correo electrónico” le envían un correo de confirmación de darse de baja y confirma. - Quinto correo: Impresión de pantalla de correo recibido el día 23 de diciembre de 2020 desde Movistar Likes ***EMAIL.2 en la dirección ***EMAIL.1 con información comercial. En el enlace de pie de correo, le envían un correo de confirmación de no recepción de envíos publicitarios “Haz clic en el botón Aceptar. Dejarás de recibir comunicaciones de Movistar en esta dirección de correo electrónico” le envían un correo de confirmación de darse de baja y confirma. - Sexto correo: Impresión de pantalla de fecha 20 de enero de 2021 contesta a la cuenta ***EMAIL.3 indicada como dirección del DPO. Recibe confirmación de recepción. - Séptimo correo: Impresión de pantalla de fecha 26 de enero de 2021, contesta indicando que acudirá a la AEPD”. - Octavo correo: Impresión de pantalla de correo recibido el día 27 de enero de 2021 desde Movistar Likes ***EMAIL.2 en la dirección ***EMAIL.1 con información comercial. En el enlace de pie de correo, le envían un correo de confirmación de no recepción de envíos publicitarios “Haz clic en el botón Aceptar. Dejarás de recibir comunicaciones de Movistar en esta dirección de correo electrónico” y confirma. - Noveno correo: Impresión de pantalla de correo recibido el día 3 de febrero de 2021 desde Movistar Likes ***EMAIL.2 en la dirección ***EMAIL.1 con información comercial. En el enlace de pie de correo, le envían un correo de confirmación de no recepción de envíos publicitarios “Haz clic en el botón Aceptar. Dejarás de recibir comunicaciones de Movistar en esta dirección de correo electrónico” y confirma. - Impresión de pantalla de fecha 10 de febrero de 2021 recibe contestación de la cuenta TE_datos@movistar.es. Me solicitan Fotocopia del documento nacional de identidad o Tarjeta de Residente en España Si la tramitación es para una empresa, necesitamos que se nos aporte CIF y escrituras donde conste el administrador de la misma y DNI del administrador para darme de baja. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 - Decimo correo: Impresión de pantalla de correo recibido el día 17 de febrero de 2021 desde Movistar Likes ***EMAIL.2 en la dirección ***EMAIL.1 con información comercial. En el enlace de pie de correo, le envían un correo de confirmación de no recepción de envíos publicitarios “Haz clic en el botón Aceptar. Dejarás de recibir comunicaciones de Movistar en esta dirección de correo electrónico” y confirma. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado el día 30 de marzo de 2021, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), en las actuaciones con referencia E/03507/2021. La notificación se realiza electrónicamente, y figura entregada el día 5 de abril de 2021 y contesta al requerimiento el día 6 de mayo del mismo año. Posteriormente, el 7 de mayo de 2021 se solicita información complementaria al reclamado, contestando al requerimiento el 14 de mayo de 2021. TERCERO: Con fechas 6 y 14 de mayo de 2021, el reclamado manifiesta que: “en este sentido, se ha procedido a remitir escrito al reclamante en contestación a la reclamación que ha dado origen al presente procedimiento, a la dirección de correo electrónico facilitado por la Agencia que se adjunta como documento anexo Nº 1. Al tener conocimiento de la solicitud del reclamante, se contestó con la carta de respuesta que consta en la reclamación y que se adjunta como documento anexo Nº 2. El reclamante, reclama que había solicitado la baja de Movistar Likes, para dejar de recibir comunicaciones sobre premios o sorteos, y que no se había gestionado la misma. He de informar que no se ha producido incidencia alguna, puesto que, cuando se tuvo conocimiento de la solicitud del reclamante, se desactivó el envío de las mencionadas comunicaciones a su dirección de correo electrónico. Interesa poner de relieve que se facilitó respuesta al ejercicio del derecho de oposición que ejerció el reclamante mediante la solicitud dirigida al DPO, solicitando la documentación necesaria para estar en condiciones de identificar al interesado, tal como consta en la documentación aportada. Respecto a la baja en la newsletter de movistar likes, consistente en la recepción de comunicaciones referidas a premios o sorteos, se tramitó en el momento de tener conocimiento de la solicitud del reclamante. En este sentido, se solicitó la documentación necesaria para estar en condiciones de identificar al interesado, al amparo de lo dispuesto en el artículo 12.2 del RGPD, quien ejerció su derecho de oposición mediante comunicación dirigida al DPO”. CUARTO: De conformidad con lo dispuesto en el artículo 65.2 de la Ley Orgánica 3/2018, de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), en fecha 19 de mayo de 2021 se firma el acuerdo de admisión a trámite de la reclamación. QUINTO: Con fecha 12 de julio de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 21.1 de la LSSI, tipificada en el Artículo 38.4.

1. d)de la LSSI. SEXTO: Notificado el citado acuerdo de inicio, y la concesión de la ampliación del plazo presentó escrito de alegaciones en el que, en síntesis, manifestaba: que el reclamado dio respuesta al ejercicio del derecho de oposición solicitado por el reclamante, con fecha 10 de febrero de 2021, solicitando copia del documento de identidad, con el objeto de identificar al interesado, al amparo del artículo 12.2 del RGPD. Adjuntan copia de la solicitud de ejercicio del derecho y la respuesta mencionada. Que la situación expuesta por el reclamante se debe a la confusión en relación con su suscripción a las newsletters o boletín informativo sobre sorteos y premios, respecto a la que supuestamente solicitó la baja. Asimismo, alegan presunción de inocencia y ausencia de culpabilidad. SÉPTIMO: Con fecha 17 de septiembre de 2021, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/03507/2021, así como los documentos aportados por el reclamado. OCTAVO: En fecha 6 de octubre de 2021 por el Instructor del Procedimiento se emitió la Propuesta de Resolución solicitando que se proceda a sancionar a la entidad Telefónica de España, S.A.U. con CIF A82018474, por una infracción del Artículo 21.1 de la LSSI, tipificada como leve en el Artículo 38.4.
2. d)de la LSSI, con multa de 15.000 euros (quince mil euros). NOVENO: El 26 de octubre de 2021 tiene entrada en esta Agencia un escrito del reclamado, en el que formula alegaciones a la propuesta de resolución señalando que se reafirma en la totalidad de lo manifestado en sus anteriores alegaciones. - Se dio respuesta al ejercicio del derecho de oposición solicitado por el reclamante el 10 de febrero de 2021, solicitando copia del documento de identidad. Respecto a la baja de las newsletters o comunicaciones, señalan que en el procedimiento no consta documentación acreditativa que confirme la solicitud de baja. Manifiestan la ausencia de la infracción, de la responsabilidad y la ausencia de la intencionalidad. DECIMO De las actuaciones practicadas en el presente procedimiento han quedado acreditados los siguientes HECHOS PROBADOS PRMERO – El reclamante manifiesta con fecha 20 de febrero de 2021 que el reclamado no ha atendido su derecho de oposición al envío de comunicaciones comerciales y publicitarias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 SEGUNDO- Que es cliente del reclamado, pero no les ha dado su consentimiento para el envío de comunicaciones comerciales, pese a ello ha estado recibiendo en su dirección electrónica de correo: ***EMAIL.1, numerosas comunicaciones comerciales. Se ha dado de baja de las mismas a través del enlace que se incluye en las propias comunicaciones sin éxito pues ha seguido recibiéndolas. TERCERO- Ante la imposibilidad de darse de baja, el reclamante ha ejercitado su derecho de oposición a través de correo electrónico dirigido a: DPO_Movistar@telefonica.com, los días 20 y 26 de enero de 2021. El 10 de febrero de 2021, recibe acuse de su correo ejercitando la oposición y solicitándole (a pesar de ser cliente de la entidad y disponer de este documento) copia de su DNI. Ha seguido recibiendo comunicaciones comerciales y en el momento de interponer la presente reclamación no había sido atendido su derecho de oposición. CUARTO- Desde al menos, la fecha de 18 de noviembre de 2020, el reclamado, es conocedora de la voluntad de cursar la baja en la recepción de envíos en la cuenta de ***EMAIL.1 constando la recepción de correos electrónicos con contenido comercial en fechas de 18/11/2020, 25/11/2020, 2/12/2020, 9/12/2020, 23/12/2020, 20/01/2021, 27/01/2021, 3/02/2021 y 17/02/2021. QUINTO- Consta que en el envío de las comunicaciones comerciales le envían un correo de confirmación de no recepción de envíos publicitarios “Haz clic en el botón Aceptar. Dejarás de recibir comunicaciones de Movistar en esta dirección de correo electrónico” y confirma el reclamante y a pesar de ello sigue recibiendo los mensajes. FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
3. d)e
4. i)y 38.4 d),
5. g)y
6. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II Se imputa al reclamado la comisión de una infracción por vulneración del 21.1 de la LSSI. El tenor literal de este artículo es el siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. “2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 “En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. “Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” La infracción se tipifica en el artículo 34.4 de la citada norma que dispone: 4. Son infracciones leves: […]
7. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave.” Esta infracción puede ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1.
8. c)de la LSSI. A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior prescribe a los 6 meses, conforme al artículo 45 de la LSSI. III El artículo 21.1 de la LSSI prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo. Esta prohibición así referida, parte de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y para definir estos conceptos, será necesario acudir a los anexos de la propia LSSI. La LSSI, en su anexo a), define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: […] 4º El envío de comunicaciones comerciales […]”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 Y posteriormente, en el Anexo
9. f)define el concepto de comunicación comercial de la siguiente manera: “
10. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. Como puede observarse, será en aquellos supuestos en los que la comunicación comercial no reúna los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, cuando pierda el carácter de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. No obstante, en respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: Respecto de los correos electrónicos enviados al reclamante sin legitimación para ello, esto es, el primer correo electrónico enviado el 18 de noviembre de 2020 sin la legitimación necesaria para ello y el décimo correo electrónico enviado al reclamante, el 17 de febrero de 2021, tras haber recibido su solicitud de oposición a recibir más correos electrónicos publicitarios, se debe aplicar el artículo 21 de la LSSI, antes mencionado. A este respecto, se recuerda que el artículo 22.1 de la LSSI establece que: “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente.” V A efectos de fijar la sanción a imponer al reclamado, se considera que procede graduar la sanción a imponer de acuerdo con los criterios que establece el artículo 40 de la LSSI. Se considera que concurren las siguientes circunstancias agravantes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 · La existencia de intencionalidad (artículo 40, letra a), por cuanto se ha producido una falta de diligencia por parte de la entidad reclamada al remitir correos electrónicos al reclamante sin que conste el consentimiento expreso para el envío de comunicaciones comerciales. Asimismo, se considera que concurre la siguiente circunstancia atenuante: · La naturaleza y cuantía de los perjuicios causados (artículo 40, letra d): no existe constancia de otros perjuicios sufridos por el reclamante, aparte de la recepción no solicitada de la comunicación. En base a lo anterior, se considera que la sanción que corresponde imponer es de quince mil euros (15.000 €). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a TELEFÓNICA DE ESPAÑA, S.A.U. con CIF A82018474, por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
11. d)de la LSSI, una multa de 15.000 € (quince mil euros), de conformidad con lo establecido en los artículos 39.1.
12. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a TELEFÓNICA DE ESPAÑA, S.A.U. con CIF A82018474. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
13. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
14. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es