PS-00256-2013

1/14 Procedimiento Nº PS/00256/2013 RESOLUCIÓN: R/02246/2013 En el procedimiento sancionador PS/00256/2013, instruido por la Agencia Española de Protección de Datos a la entidad ENDESA, S.A.., vista la denuncia presentada por de Dña. C.C.C. , y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 9 de enero de 2013 tiene entrada en esta Agencia un escrito de Dña. C.C.C., en adelante la denunciante, en el que manifiesta que continúa recibiendo correos comerciales procedentes de ENDESA, S.A.., ello a pesar de que con fecha 15 de marzo de 2012 remitió a dicha entidad un escrito de solicitud de cancelación de su email y número de teléfono con fines publicitarios y de que con fecha 13 de noviembre de 2012 remitió nuevo escrito, también a dicha entidad, de solicitud de cancelación de la totalidad de sus datos personales al haber dejado de ser cliente con motivo de la venta del piso. Señala la denunciante que aunque la primera petición fue contestada por la entidad denunciada con fecha 24 de abril de 2012 en el sentido de que se había eliminado su correo electrónico, pero no su número de teléfono que debía conservarse para la gestión del contrato de suministro electrónico, y no obstante que la segunda petición fue contestada con fecha 23 de noviembre de 2012 en el sentido de que había sido atendida, sigue recibiendo correos electrónicos comerciales de dicha entidad tal y como se desprende del mensaje recibido en su dirección de correo con fecha 13 de diciembre de 2012, cuya copia aporta al igual que presenta copia de todos los documentos mencionados con anterioridad. Con fecha 30 de enero de 2013, y en respuesta a la solicitud de subsanación remitida por esta Agencia, tiene entrada un escrito de la denunciante aportando copia de las cabeceras del correo electrónico comercial presentado en el escrito anterior. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia tienen conocimiento de los siguientes extremos: 1. Con fecha 13 de diciembre de 2012 la denunciante recibió en su dirección de correo electrónico B.B.B. una comunicación comercial cuya dirección IP de origen era D.D.D.. El correo electrónico fue remitido el mismo día a las 18:42 horas desde la dirección A.A.A. y contenía información publicitaria para darse de alta en la facturación electrónica de ENDESA y ganar un iPhone 5. El correo denunciado dispone de un enlace para poder darse de baja de la lista de destinatarios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 2. La dirección IP D.D.D. es una de las direcciones que el proveedor de servicios de Internet ACENS TECGHNOLOGIES pone a disposición de MICRODELTA INVESTIGACIÓN Y DESARROLLO, S.L, en adelante MICRODELTA, una sociedad que presta servicios entre los que se encuentra el marketing mediante correo electrónico. 3. El dominio endesaonline.com está registrado a nombre del ENDESA, S.A.., sociedad que se identifica como responsable del sitio web www.endesaonline.com. 4. En respuesta a la solicitud de información realizada por la AEPD, los representantes de MICRODELTA remitieron un escrito en el que manifestaron, en referencia al envío del correo electrónico en cuestión, que: 4.1. MICRODELTA mantiene una relación contractual con ENDESA OPERACIONES Y SERVICIOS COMERCIALES, S.L., en adelante EOSC, entidad que garantiza que los servicios que subcontrata a MICRODELTA están previstos expresamente en el contrato originario celebrado entre el responsable del fichero, en este caso ENDESA, S.A.., y EOSC, empresa que, a su vez, actúa como encargada del tratamiento. 4.2. El contrato firmado entre MICRODELTA y EOSC establece que el acceso a los datos del fichero objeto del contrato se limitará a la gestión de los envíos de correos electrónicos de acuerdo con las instrucciones de EOSC. 4.3. MICRODELTA recibió el 3 de diciembre la base de datos para la campaña de efactura (factura electrónica), realizándose el envío ese mismo día. El día 13 de diciembre se solicitó por correo electrónico a MICRODELTA que se remitiese de nuevo el correo electrónico a quienes no hubiesen abierto el correo anterior, realizándose el envío con esa misma fecha. El envío denunciado consta como remitido en sus sistemas. 5. MICRODELTA no tiene encomendada la gestión de las bajas, constando en el contrato que la gestión de altas o bajas de destinatarios que figuran en la base de datos aportadas por EOSC serán realizadas exclusivamente por dicha sociedad.. 6. En respuesta a la solicitud de información realizada por la AEPD a ENDESA, S.A., los representantes de ENDESA ENERGIA, S.A.U. remitieron un escrito en el que manifestaron, en referencia al envío del correo electrónico en cuestión, que: 6.1. El envío denunciado se trató de un error, conforme se comunicó a la denunciante con fecha 24 de diciembre de 2012 en respuesta a su correo electrónico de fecha 13 de diciembre de 2012. Aportan copia de la respuesta en la que confirman la cancelación de sus datos y se disculpan con la denunciante. 6.2. Han verificado que desde diciembre de 2012 no se ha vuelta a remitir publicidad al correo electrónico de la denunciante. Aportan impresión de pantalla de los sistemas de información de la entidad en la que el campo del correo electrónico del cliente está en blanco. TERCERO: Con fecha 20 de mayo de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ENDESA, S.A.. por la presunta infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como leve en el artículo 38.4.

1. d)de dicha norma, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1.
2. c)de la LSSI. CUARTO: Notificado el citado Acuerdo de inicio, y con posterioridad al acuerdo de ampliación de plazo y obtención de copia a ENDESA, S.A.. de la documentación obrante en el procedimiento, la representación de dicha empresa presentó alegaciones solicitando el archivo de las actuaciones al no haberse producido por su parte ningún comportamiento calificable como ilícito por la LSSI. Para ello se aduce lo siguiente: - No obstante que el envío denunciado, en el que se ofrecía al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales, se remitió tras ejercerse por la denunciante su derecho de cancelación, tal circunstancia se debió a un error material involuntario, adoptándose inmediatamente por ENDESA las medidas oportunas para evitar que en lo sucesivo se produjera dicha situación en relación tanto a ese como a oros posibles clientes. Se incide en que la subsanación de dicho error se produjo de manera voluntaria y con anterioridad al inicio del expediente sancionador y a cualquier actuación inspectora realizada por la AEPD. - Falta de concurrencia de los principios de antijuricidad y tipicidad al no caber hablar de comunicación comercial. Se añade que el correo electrónico de la afectada se obtuvo de forma lícita al darse de alta como usuaria en la Oficina Online de Endesa, aceptando así las condiciones legales en las que se hace referencia expresa al envío de publicidad y ofertas comerciales, y se incide, además, en la existencia de una relación contractual previa reconocida por la afectada. - Falta de concurrencia en su conducta del requisito de culpabilidad inherente a cualquier infracción administrativa en atención a que:
3. a)la entidad respondió inmediata y diligentemente la solicitud de la interesada de fecha 13/12/2012 de no recibir más mensajes mediante correo electrónico, estando a fecha 24/12/2012 subsanado el error cometido;
4. b)falta de reincidencia;
5. c)el correo electrónico obedeció a un error puntual que carece de toda intencionalidad, no habiendo producido ningún tipo de perjuicio al reclamante ni generado a la entidad beneficio alguno;
6. d)diligencia en la subsanación del error y respuesta a la reclamación de la afectada;
7. e)el correo electrónico de la denunciante no figura en los ficheros de ENDESA. QUINTO: Con fecha 25 de junio de 2013, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, en el que se daban por reproducidos, a efectos probatorios, la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante la imputada, el Informe de actuaciones previas de Inspección que forman parte del expediente E/00266/2013, las alegaciones al acuerdo de inicio PS/00256/2013 presentadas por ENDESA y la documentación que a ellas acompaña. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 SEXTO: Con fecha 29 de julio de 2013 se formuló propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionase a ENDESA, S.A.. con multa de 600 € por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
8. d)de dicha norma. Notificada dicha propuesta de resolución, con fecha 2 de septiembre de 2013 se registra de entrada en esta Agencia escrito de alegaciones a la misma en la que la representación de ENDESA solicita el archivo de las actuaciones practicadas por inexistencia de vulneración alguna a la LSSI. Para ello se reitera en los mismos argumentos que fueron manifestados en sus anteriores alegaciones, a saber: el envío denunciado obedeció a un error material involuntario subsanado con carácter inmediato, ausencia de tipicidad y de antijuridicidad en su conducta al no caber hablar de comunicación comercial al tratarse de un correo que no promocionaba la imagen ni ningún bien o servicio de la empresa y, por último, falta de culpabilidad en su conducta. HECHOS PROBADOS PRIMERO: Con fecha 24 de abril de 2012 el Departamento de Protección de Datos Personales de Clientes de ENDESA, S.A.. comunicó a Dña. C.C.C., en respuesta a su solicitud de fecha 15 de marzo de 2012 de cancelación de determinados datos, la eliminación de su correo electrónico y la imposibilidad de cancelar su número de teléfono por resultar necesario para la gestión del contrato de suministro eléctrico. (folios 1 y 2) SEGUNDO: Con fecha 23 de noviembre de 2012 el Departamento de Protección de Datos Personales de Clientes de ENDESA, S.A.. comunicó a Dña. C.C.C., en respuesta a su solicitud de fecha 13 de noviembre de 2012 ante la finalización de la relación contractual entre ambas partes, que su petición de cancelación total de sus datos personales había dado lugar a la supresión definitiva de los mismos. (folios 4 y 5) TERCERO: Con fecha 13 de diciembre de 2012 se remitió un correo comercial desde la dirección A.A.A. a la cuenta de correo electrónico B.B.B. conteniendo información publicitaria para darse de alta en la facturación electrónica de ENDESA y ganar un iPhone 5. (folios 5, 10 y 11) CUARTO: En la parte superior del cuerpo del mencionado correo, que cuenta con un enlace para poder darse de baja de la lista de destinatarios, aparece la indicación “PUBLICIDAD” junto al anagrama de Endesa. (folios 5, 10 y 11) QUINTO: El dominio endesaonline.com está registrado a nombre del ENDESA, S.A.., sociedad que se identifica como responsable del sitio web www.endesaonline.com. (folios 20 al 22) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 SEXTO: La gestión del envío del correo electrónico se realizó por MICRODELTA INVESTIGACIÓN Y DESARROLLO, S.L. utilizando los datos contenidos en un fichero cuyo titular y responsable es ENDESA, S.A.. (folios 32 al 38) SÉPTIMO: Con fecha 24 de diciembre de 2012 ENDESA, S.A.. comunicó por correo electrónico a la denunciante, en respuesta a nueva solicitud de ésta vía email de cancelación de sus datos de fecha 13 de diciembre de 2012, que el error cometido había sido subsanado, no volviendo a recibir más información comercial. (folio 79) OCTAVO: Con fecha 16 de abril de 2013 el campo del correo electrónico de la denunciante figuraba en blanco en los sistemas de información de ENDESA, S.A... (folio 78) FUNDAMENTOS DE DERECHO I El artículo 43.2, segundo párrafo, de la LSSI, otorga a la Agencia Española de Protección de Datos la facultad para imponer sanciones por la comisión de la infracción del artículo 21 de la citada Ley. II A los efectos de examinar si los hechos objeto de procedimiento sancionador pueden constituir infracción al artículo 21.1 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a la comunicación comercial remitida por correo electrónico por ENDESA a la denunciante. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, modificado por el Real Decreto-Ley 13/2012, de 30 de marzo, señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI, también en la redacción dada por el citado Real Decreto-Ley 13/2012, de 30 de marzo, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección . Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. A su vez, el apartado
9. d)del anexo de la LSSI define al “Destinatario del servicio” o ”destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información.”. De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 constituir una infracción leve o grave de la LSSI. La Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), modificada por la Directiva 2009/136/CE del Parlamento Europeo y del Consejo, de 25 de noviembre, introdujo en el conjunto de la Unión Europea el principio de “opt in”, es decir, la necesidad de contar con el consentimiento previo del destinatario para el envío de comunicaciones electrónicas con fines comerciales. De este modo, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
10. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
11. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 “
12. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
13. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
14. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales. ” (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
15. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV En el presente supuesto se imputa el envío de una comunicación comercial con fecha 13 de diciembre de 2012 desde la cuenta de correo electrónico A.A.A. a la cuenta de correo electrónico B.B.B. con posterioridad a que ENDESA hubiera confirmado a la denunciante, en respuesta a sus solicitudes de cancelación de datos, la eliminación de su correo electrónico con fecha 24 de abril de 2012 y la cancelación total de sus datos con fecha 23 de noviembre de 2012. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 Según ENDESA no se ha cometido la infracción imputada por no concurrir los principios de tipicidad y antijuridicidad dado que el envío no tenía naturaleza comercial sino informativa al no promocionar la imagen de ningún bien o servicio, tratándose únicamente de poner en conocimiento del receptor la opción de convertir las facturas actuales en papel en facturas electrónicas, sin que ello conllevase ningún tipo de contraprestación económica. Frente a dicho alegato la mera lectura del mensaje objeto de análisis contradice dicha afirmación al incluir en su contenido la palabra “Publicidad” vinculada a los servicios de luz y gas de Endesa, definiendo de esta forma la propia naturaleza del correo enviado por esa empresa. En consecuencia, el mensaje no se limita a informar sobre la conversión de las facturas actuales en facturas electrónicas, sino que la remisión del mismo por parte de ENDESA supone la promoción comercial de la imagen y de los servicios de luz y gas que son objeto de la actividad económica y empresarial de dicha compañía, y para cuya facturación publicita el alta en el servicio de factura electrónica. De este modo, el correo electrónico recibido por la denunciante con fecha 13 de diciembre de 2012 constituye una forma de promoción de la imagen de la compañía y de sus servicios que se ajusta al amplio concepto de comunicación comercial recogido en la LSSI. A la vista de lo expuesto debe rechazarse que tal afirmación responda, como alega ENDESA, a una valoración subjetiva realizada por esta Agencia. Por otro lado, el hecho de que los datos de la denunciante se hubieran obtenido lícitamente con ocasión de una relación contractual previa no anula que se tratase de una comunicación comercial no autorizada, ya que fue enviada con posterioridad a que la denunciante solicitara en dos ocasiones la cancelación de sus datos y ENDESA hubiera confirmado a la afectada la eliminación del dato de su correo electrónico en un primer momento y la cancelación total de sus datos con posterioridad, lo que suponía, a los efectos que nos ocupan, que dicha entidad no podía utilizar las señas electrónicas de la denunciante con finalidades comerciales. En este mismo sentido se expresaba ENDESA en el escrito remitido a la denunciante el 23 de noviembre de 2012 al indicarle a ésta, en contestación a su solicitud de 13 de noviembre de 2013 , que “La cancelación dará lugar a la supresión o, en su caso, al bloqueo de los datos, conservándose únicamente aquellos que por obligación legal deban mantenerse a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidad nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo procederemos a la supresión definitiva de los datos.” Tampoco el hecho de mantener o haber mantenido una relación contractual entre ambas partes ampara el envío de publicidad por correo electrónico de productos similares a los contratados cuando el titular de los datos ha ejercido su derecho a la cancelación del correo electrónico, ya que este dato, tal y como la propia ENDESA comunicó al afectado, debía permanecer bloqueado o ser suprimido definitivamente, según correspondiera, pero en ningún caso podía ser utilizado para remitir publicidad. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
16. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente o el envío, en el plazo de un año, de más de tres comunicaciones comerciales por los medios aludidos a un mismo destinatario, cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
17. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o más de tres a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción tipificable como grave a los efectos de la LSSI. El presente supuesto se ajusta al tipo de infracción establecido en el artículo 38.4.
18. d)de la LSSI, calificado como infracción leve, al tratarse del envío por parte de la entidad imputada de un correo electrónico comercial no autorizado por su destinataria, a quien con anterioridad a la remisión de dicho mensaje comercial ENDESA le había comunicado la cancelación en sus ficheros del dato de su correo electrónico. VI De esta forma el mencionado envío se remitió sin cumplir los requisitos recogidos en el artículo 21.1 de la LSSI, toda vez que no contaba con el consentimiento previo y expreso de la denunciante para su emisión. Tampoco estaba amparado en la aplicación la salvedad recogida en el primer párrafo del artículo 21.2 de la LSSI, ya que la denunciante ejerció su derecho a la cancelación del dato de su correo electrónico en marzo de 2012, es decir, mientras era cliente de la entidad, como un mecanismo de oposición a la utilización de su cuenta de correo para el envío de publicidad. A la vista de lo expuesto, concurre la tipicidad en la conducta cuya infracción se imputa, pues hay predeterminación normativa, que desempeña la función de garantía mediante la cual se tiene una predicción razonable de la conducta ilícita y de las consecuencias jurídicas que lleva aparejada la comisión de dicha conducta, dicho de otra forma, la tipicidad es suficiente si consta en la norma una predeterminación inteligible de la infracción, de la sanción y de la correlación entre una y otra. En consonancia con lo expuesto, la sentencia de la Audiencia Nacional de fecha 4 de septiembre de 2008, Recurso nº 349 2006 señala: “Tal y como esta Sala ha reiterado en múltiples ocasiones, la tipicidad de la conducta sancionada, en relación con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 el principio de legalidad, comporta, además de la vertiente formal de la reserva de Ley una garantía material que impone una previa determinación normativa de los ilícitos administrativos con suficiente grado de certeza, es decir, de las conductas constitutivas de infracciones administrativas (artículo 129.1 de la Ley 30/1992) y de las sanciones aplicables a las mismas (artículo 129.2 de la expresada Ley). Esta predeterminación desempeña una función de garantía mediante la cual se tiene una predicción razonable de la conducta ilícita y de las consecuencias jurídicas que lleva aparejadas la comisión de dicha conducta, dicho de otra forma, la tipicidad es suficiente si consta en la norma una predeterminación inteligible de la infracción, de la sanción y de la correlación entre una y otra (STS de 5 de diciembre de 1990). En definitiva, la tipicidad es el medio de garantizar el principio constitucional de seguridad jurídica y de hacer realidad que junto a la exigencia de una “lex previa”, hay también una “lex certa” (STS 20 de diciembre de 1999)” Predeterminación en base a la cual no puede ser atendida la alegación consistente en falta de concurrencia del principio de tipicidad recogido en el artículo 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en adelante LRJAP). VII De igual modo, y con motivo de lo razonado hasta ahora debe rechazarse la falta de concurrencia de antijuridicidad también alegada por ENDESA, toda vez que ha quedado probado que dicha entidad envío a la denunciante un correo electrónico comercial sin contar con su autorización previa y expresa para ello, siendo esta acción constitutiva de una vulneración a la prohibición establecida en el artículo 21 de la LSSI de enviar comunicaciones comerciales no solicitadas o autorizadas por los destinatarios de las mismas. Sobre esta cuestión no puede dejar de recordarse ENDESA procedió a su remisión después haber confirmado a la denunciante la eliminación de su correo electrónico en sus ficheros. Lo que dota al presente caso de especial antijuricidad y excluye el error sin culpa de la entidad denunciada. Una vez acreditada la comisión de los hechos, en relación con la atribución del elemento subjetivo de la culpabilidad, cuya falta de concurrencia en su conducta defiende ENDESA, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En esta línea, el Tribunal Supremo (STS 16/04/91 y STS 22/04/91) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23/01/98). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 En el mismo sentido la Audiencia Nacional en Sentencia de fecha 14 de febrero de 2007, Recurso nº 195/2005, señalaba en cuanto a la culpabilidad de la entidad imputada lo siguiente: ”En el presente caso, no puede basarse la exculpación frente a un comportamiento típicamente antijurídico (tal como resulta de la simple lectura del precepto aplicado por la resolución) con la invocación de ausencia de culpa sino que es preciso que se haya empleado la diligencia que era exigible por quien aduce su inexistencia (STS 23.1.98), y si bien no se puede hablar en el expediente administrativo de que el hecho se cometiese dolosamente con plena intención, es lo cierto que su realización pone de manifiesto una evidente negligencia o falta de celo en el cumplimento de la norma. La Jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus sentencias de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional (después de su STC 76/1990) destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y prohibición de exceso (artículo 25.1 CE), o de la exigencias inherentes a un Estado de Derecho, y requieren la existencia de dolo o culpa. Precisamente el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia, sin que esta simple inobservancia pueda ser entendida, por la razón antes indicada, como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva. Las exigencias derivadas del principio de culpabilidad se traducen en la necesidad de exigir una especial diligencia a las entidades gestoras de los datos, y en el caso de autos dicha diligencia faltó desde el momento en que (…) remitió un correo electrónico con destinatario múltiple sin comprobar que los destinatarios ó habían solicitado la información remitida ó habían consentido en la utilización de sus correos electrónicos para estos fines.” El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor, etc. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. En el mismo sentido, el Alto tribunal viene entendiendo que en la valoración del grado de dicha diligencia, ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda que, en el caso ahora examinado, cuando la actividad de la entidad denunciada de constante y abundante manejo de de datos y envío de comunicaciones comerciales, ha de insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto ( STS de 5 de junio de 1998). En este caso ENDESA a los efectos de eximir su responsabilidad alega que el envío se debió a un error material puntual e involuntario, sin embargo no específica la naturaleza exacta de dicho error ni la incidencia concreta del mismo en el caso que nos ocupa, debiendo añadirse que su rápida subsanación en respuesta a la nueva solicitud de la denunciante de cancelación total de datos de fecha 24 de diciembre de 2012 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 respondía al deber de la entidad de hacer efectivo el derecho de la denunciante a no recibir mensajes publicitarios por medios de comunicación electrónica que se recoge en la LSSI, y que ésta ejerció solicitando la cancelación de su correo electrónico y más tarde de la totalidad de sus datos ante ENDESA. Por todo lo cual, la conducta imputada responde a una acción típica, antijurídica, culpable y punible que constituye vulneración al artículo 21.1 de la LSSI por parte de ENDESA, y encuentra su tipificación en el artículo 38.4.
19. d)de dicha norma. VIII A tenor de lo establecido en el artículo 39.1.
20. c)de la LSSI, las infracciones leves podrán ser sancionadas con multa de hasta 30.000 €, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma que dispone: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
21. a)La existencia de intencionalidad.
22. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
23. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
24. d)La naturaleza y cuantía de los perjuicios causados.
25. e)Los beneficios obtenidos por la infracción.
26. f)Volumen de facturación a que afecte la infracción cometida”. Teniendo en cuenta que el uso habitual por parte de la entidad imputada de medios de comunicación electrónica para el envío de publicidad, lo que la obliga a ser especialmente conocedora de las exigencias recogidas en la LSSI, y de conformidad con los criterios de graduación de las sanciones recogidos en el citado artículo 40, en especial, la falta de intencionalidad, la ausencia de perjuicios causados y de beneficios obtenidos por ENDESA, S.A.., acreditados en el presente procedimiento, se estima procedente imponer una sanción de 600 € . Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ENDESA, S.A.., por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
27. d)de la LSSI, una multa de 600 € (Seiscientos euros), de conformidad con lo establecido en los artículos 39.1.
28. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a ENDESA, S.A.., y a Dña. C.C.C. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es