PS-00256-2014

1/16 Procedimiento Nº PS/00256/2014 RESOLUCIÓN: R/02354/2014 En el procedimiento sancionador PS/00256/2014, instruido por la Agencia Española de Protección de Datos a Don A.A.A., vista la denuncia presentada por Don B.B.B., en representación de la entidad Albareda Enginyeria Projectes, S.L.P., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 10 de enero de 2014 tiene entrada en la Agencia Española de Protección de Datos (AEPD) escrito presentado por Don B.B.B. (en adelante denunciante), en representación de la entidad Albareda Enginyeria Projectes, S.L.P., manifestando que recibe publicidad por correo electrónico en la dirección <info@......> de la empresa ECONATURALIA <novedades@........> después de haber solicitado la baja. El escrito adjunta la siguiente documentación: - Impresión de pantalla del correo electrónico remitido De: <novedades@........> Para: <info@......>, el día 27 de noviembre de 2013 00:58, en el Asunto consta: EcoNaturalia – Importantes ofertas en productos de Control de Peso. En el pie de página se indica el siguiente texto: “En cumplimiento de la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico y de la vigente Ley Orgánica 15/1999, le comunicamos que su dirección de correo electrónico forma parte de la base de datos de EcoNaturalia, cuya suscripción es gratuita. Así mismo le notificamos la posibilidad de cancelación o modificación de estos datos a través de su panel de control. - Impresión de pantalla del correo electrónico remitido De: C.C.C. Para: <novedades@........>, el día 27 de noviembre de 2013 5:10, en el asunto consta: RE: EcoNaturalia – Importantes ofertas en productos de Control de Peso. En el cuerpo del mensaje se indica lo siguiente: Sol-licito la baixa de totes les notres dades de la seva base de dades. Salut, ...@... - Impresión de pantalla del correo electrónico remitido De: C.C.C. Para <novedades@........>, el día 2 de enero de 2014 7:22, en cuyo Asunto consta: RE: EcoNaturalia – Salud y belleza. En el cuerpo del mensaje se indica lo siguiente: Sol-licito la baixa de la seva base de dades de totes les dades de la nostra organització, ja que, en cap momento s¨habilia sol.licitat formar-ne part. Salut, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 ...@... El denunciante aporta los encabezados de internet del citado mensaje en el que consta como remitente del citado correo From <...@...>. También, aporta publicidad recibida de <novedades@........> el 1 de enero de 2014 a las 23:58, no constando la dirección destinataria. - Impresión de pantalla del correo electrónico remitido De: <novedades@........> Para: <info@......>, el día 10 de enero de 2014 2:39, en cuyo asunto consta: EcoNaturalia – Controla los excesos navideños. En el pie de página de la publicidad se ofrece el mismo procedimiento de baja que el transcrito en el envío del 27 de noviembre de 2013. Se aportan encabezados de internet del citado mensaje. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tiene conocimiento de los siguientes extremos: 1. Con fecha 20 de enero de 2014 se ha verificado que en la página web <domain.com> asociados al dominio <econaturalia.com> consta como registrante y administrador Don A.A.A.. 2. Con fecha 27 de marzo de 2014 se comprueba que en el Registro General de Protección de Datos figura inscrito el fichero denominado “CONTROL DE MOVIMIENTOS Y CLIENTES”, con el código ***CÓD.1, cuyo responsable es Don A.A.A. y la finalidad del mismo es gestión, facturación y publicidad de la actividad. 3. Con fecha 27 de marzo de 2014 se ha verificado que en el sitio web <www.econaturalia.com>, consta un apartado denominado Aviso Legal en el que se detalla la siguiente información: A.A.A. ***DNI.1 c/ Penedes, 24. 08233 Vacarisses. Barcelona. Tel. ***TEL.1 webmaster@...... También, consta en el sitio web un apartado denominado Política sobre Privacidad 4. Con fecha de 14 de abril de 2014, Don A.A.A. (en adelante el imputado) ha comunicado a la inspección de Datos, en relación con los correos electrónicos recibidos por el denunciante lo siguiente: - En primer lugar confirma que es el responsable y titular de la tienda virtual <econaturalia.com>. - La actividad principal es la de informático. EcoNaturalia es una actividad comercial que desarrolla de manera paralela a dicho trabajo por su afición a la alimentación equilibrada y los productos naturales. - Los métodos para ejercitar los derechos de acceso, rectificación, cancelación y oposición en la web econaturalia.com son dos: 1.- A través del panel de control de usuario, que se puede comprobar con los siguientes datos de prueba desde el acceso http://www.econaturalia........... con usuario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 - - - - test@..... y password ***PASSWORD.1. 2.- Solicitando la baja a través de la dirección de correo webmaster@...... tal como indica en el texto que se encuentra aquí: http://www.econaturalia............ Los procedimientos de recopilar datos de sus clientes son: 1.- Directamente de los clientes que se dan de alta en el sistema al realizar una compra. 2.- A través de un formulario que se encuentra en la página principal <http:www.econaturalia.com> y cuyo encabezado dice “Newsletter”. 3.- De manera esporádica tomando direcciones de email de páginas web a las que les envía una presentación de la web y que a menos que muestren algún interés en el servicio no se le vuelve a enviar ninguna notificación más. La dirección del denunciante pasó a formar parte de la lista de clientes de forma equivocada. Dicha cuenta se ha eliminado y ha sido remitido un escrito de disculpas vía correo electrónico, cuya copia se adjunta. La cuenta de correo <novedades@........> es la cuenta desde la que se realizan los envíos por medio de un programa (GroupMail), gestor de diseño y de configuración de correos, pero no recibe las respuestas actuando como cuenta tipo “no-reply”. Las notificaciones solo se reciben en <webmaster@......>. Añade, que lo ocurrido es un conjunto de despropósitos y que no se dedica ni se ha dedicado a hacer spam y que es un defensor activo de la privacidad de datos. TERCERO: Con fecha 22 de mayo de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a Don A.A.A. (en adelante el imputado) por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como leve en el artículo 38.4.

1. d)de la citada Ley, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1.
2. c)de la LSSI. El citado acuerdo de inicio consta como notificado al imputado con fecha 28 de mayo de 2014. CUARTO: Con fecha 16 de octubre de 2014 se accede a la Política sobre Privacidad de la página web www.econaturalia..........., enla que figura que el ejercicio de los derechos de acceso, rectificación, cancelación y oposición de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, puede ejercerse desde el panel de control de cliente y usuario o enviado un mail a .....@econaturlia.com se ofrece aparece QUINTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas, el citado acuerdo se considera propuesta de resolución, por lo que procede a elevar el procedimiento a la resolución del Director de la Agencia Española de Protección de Datos, en virtud de lo previsto en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 PRIMERO: Consta que con fechas 27 de noviembre de 2013, 1 de enero de 2014 y 10 de enero de 2014 se enviaron sendas comunicaciones comerciales desde el correo electrónico <novedades@........> a la cuenta de correo electrónico <info@......> del denunciante. (folios 3 al 5, 7,9, al 10) SEGUNDO: Los tres envíos citados en el Hecho Probado Primero publicitaban ofertas de diversos productos ecológicos comercializados desde la página web <http:www.econaturalia.com>, mostrándose en el pie de página de los mismos el siguiente tenor literal: (folios 3 al 5, 7, 9, 10) “En cumplimiento de la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico y de la vigente Ley Orgánica 15/1999, le comunicamos que su dirección de correo electrónico forma parte de la base de datos de EcoNaturalia, cuya suscripción es gratuita. Así mismo le notificamos la posibilidad de cancelación o modificación de estos datos a través de su panel de control.” (el subrayado es un enlace) TERCERO: Con fechas 27 de noviembre de 2013 y 2 de enero de 2014 el denunciante remitió a la dirección de correo novedades@........ solicitud de baja de los datos de su empresa de las bases de datos del remitente en las que estuvieran incluidas. El denunciante no ha acreditado la cuenta de correo desde la que solicitó la baja el día 27 de noviembre de 2013, mientras que consta que la solicitud de baja de fecha 2 de enero de 2014 se realizó desde una cuenta diferente a la que se recibieron los envíos comerciales denunciados, en concreto desde la cuenta de correo C.C.C. <...@...>, constando en el misma que en ningún momento había requerido su inclusión en sus ficheros. (folios 6 y 8) CUARTO: Don A.A.A. (el imputado) ha comunicado que la dirección de correo electrónico novedades@........ no está habilitada como medio de baja, actuando únicamente como cuenta no-reply, sin capacidad para recibir respuestas, recibiéndose las solitudes de cancelación y oposición en la cuenta de correo .....@econaturlia.com , que junto con el panel de control de cliente y usuario son los mecanismos habilitados para ejercitar los derechos ARCO de la LOPD, tal y como aparece en el texto del Aviso Legal de la página web www.econaturalia.com . (folios 40 y 44) QUINTO: El mecanismo de oposición ofrecido por el remitente de los tres envíos comerciales denunciados (panel de control) al destinatario de los mismos, en este caso el denunciante, requiere la utilización de clave de usuario y de password. (folios 5, 7,10 y 38 ) SEXTO: El denunciante no es cliente de la tienda virtual econaturalia.com, habiéndose manifestado por el imputado, en su condición de remitente de los envíos denunciados, que incluyó por error la dirección de correo electrónico del denunciante en su lista de clientes, circunstancia que comunico al afectado mediante correo electrónico de fecha 10 de abril de 2014. (folios 38 al 40 y 44) SÉPTIMO: Con fecha 27 de marzo de 2014 se constata que en la Política sobre Privacidad de la página web http://www.econaturalia........... la dirección de correo webmaster@...... no aparece incluida como mecanismo de oposición a la recepción de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 comunicaciones comerciales. (folios 20 y 21) OCTAVO: Con fecha 16 de octubre de 2014 se constata que en la Política sobre Privacidad de la página web http://www.econaturalia........... se indica que se podrán ejercitar los derechos ARCO de la LOPD desde el panel de control de cliente y usuario o enviando un mail a webmaster@...... . (folios 58 al 60) NOVENO: Don A.A.A. es registrante y administrador del dominio <econaturalia.com>, apareciendo también sus datos personales en el Aviso Legal del sitio web www.econaturalia.com asociados a la tienda virtual <econaturalia.com>, de la que ostenta la condición de responsable y titular. (folios 11 al 13, 20 y 38 ) DÉCIMO: El imputado ha comunicado a la AEPD denunciante en su lista de clientes (folio 40) la cancelación de los datos del FUNDAMENTOS DE DERECHO I Con carácter previo al análisis del fondo del asunto, debemos indicar que las modificaciones introducidas por Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones en la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), resultan de aplicación al presente expediente sancionador en virtud de la aplicación del principio de retroactividad de la norma sancionadora más favorable. II La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
3. d)e
4. i)y 38.4 d),
5. g)y
6. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de la citada Ley en su redacción actual.. III El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora., dispone que “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: - C/ Jorge Juan, 6 28001 – Madrid Que dicha posibilidad sea advertida expresamente al inculpado en el acuerdo www.agpd.es sedeagpd.gob.es 6/16 de notificación. - Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el apartado primero del citado artículo. - Que el inculpado no presente alegaciones en plazo sobre el contenido de la iniciación. - Que como consecuencia de la instrucción no resulte modificada la determinación inicial de los hechos, de su posible calificación, de las sanciones imponibles o de las responsabilidades susceptibles de sanción. (Art. 16.3 del citado Real decreto. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que resulta conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. IV A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la mencionada Ley 9/2014, de 9 de mayo, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. De ese modo la LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
7. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
8. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 V Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
9. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. El concepto de comunicación comercial, de acuerdo con la definición recogida en el Anexo f), párrafo primero de la LSSI, engloba todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. Por otro lado, la LSSI en su Anexo
10. a)define “Servicio de la Sociedad de la Información” como “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios”. Añade el referido apartado que el envío de comunicaciones comerciales es un servicio de la sociedad de la información, siempre que represente una actividad económica. Según el apartado
11. d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
12. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 VI Descrito el marco normativo aplicable a las comunicaciones comerciales remitidas a través de medios electrónicos, y en cuanto al análisis de los hechos concretos objeto de imputación, conviene precisar en primer término que, de lo actuado, no ha quedado acreditado que el imputado recibiera las dos solicitudes de baja enviadas por el denunciante los días 27/11/2013 y 02/01/2014 a la cuenta de correo novedades@........, toda vez que éste no ha acreditado su efectiva recepción en la cuenta de destino, la cual, según las manifestaciones del imputado no admite respuestas al funcionar como no-reply. Además, se ignora la cuenta de correo desde que el afectado solicitó la primera baja, mientras que la segunda solicitud de baja consta como efectuada desde una dirección de correo electrónico distinta de aquélla en la que se recibieron los correos electrónicos denunciados, lo que, en caso de haberse recibido dicha petición no permitiría asociar correctamente la dirección de correo electrónico ...@... desde la que se efectuó tal solicitud de baja con la cuenta info@...... a la que se enviaron los mensajes denunciados. Efectuada dicha puntualización, en segundo término, y pasando a estudiar los hechos objeto de imputación, de las actuaciones practicadas en el presente procedimiento sancionador se desprende que el imputado ha incumplido no sólo la prohibición recogida en el apartado 1 del artículo 21 de la LSSI al enviar tres comunicaciones comerciales sin contar con el consentimiento previo y expreso del destinatario para ello, ni existir, tampoco, una relación contractual previa entre ambas partes que hubiera podido amparar su remisión sin mediar dicho consentimiento, sino que también ha vulnerado el requisito recogido en los apartados segundo y tercero del artículo 21.2 de la LSSI al no ofrecer al destinatario de dichos mensajes comerciales, enviados con fechas 27/11/2013, 01/01/2014 y 10/01/2014, un mecanismo de baja consistente en un correo electrónico o una dirección electrónica válida. Así, y en lo que se refiere al incumplimiento de la prohibición prevista en el artículo 21.1 de la LSSI, resulta fundamental recordar que el imputado reconoció, durante las actuaciones previas de inspección, que incluyó por error las señas electrónicas de ALBAREDA ENGINYERIA PROJECTES, SLP en la lista de clientes de la tienda virtual econaturalia.com. Esta manifestación prueba por sí misma que el denunciante no se había registrado como usuario en el sitio web titularidad del imputado, autorizando de esta forma la remisión de comunicaciones comerciales por correo electrónico al aceptar la Política de privacidad del citado sitio web, y confirma, a su vez, que el denunciante no había sido cliente de la reseñada tienda virtual. Por lo tanto, en el presente supuesto ha quedado acreditado que en las fechas anteriormente señaladas el imputado remitió tres comunicaciones comerciales a la dirección de correo electrónico info@...... desde la cuenta novedades@........, en los que publicitaba productos comercializados en la página web www.econaturalia.com de su titularidad, sin haber sido solicitados previamente por el denunciante ni mediar una autorización previa y expresa del destinatario que habilitase su remisión al mismo. Igualmente, dado que el imputado no ha indicado el origen exacto de los datos del denunciante incluidos en su lista de clientes, debe observarse que la posesión o conocimiento de una dirección de correo electrónico de un tercero no implica, incluso cuando aparezca difundida en páginas web de Internet o figure incluida en bases de datos empresariales o tenga su origen en fuentes accesibles al público, considerando como tales las contempladas en el artículo 3.
13. j)de la Ley Orgánica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y entre las que no se incluyen las páginas de Internet, una autorización del titular de la dirección de correo electrónico en cuestión para recibir publicidad a través de medios de comunicación electrónica o similares, pues precisamente ese derecho a no recibir comunicaciones comerciales por esos medios que no hayan sido previamente solicitadas o expresamente autorizadas es el que protege el artículo 21 LSSI. Únicamente eximiría a Don A.A.A. del cumplimiento de contar con tal consentimiento la existencia de una relación contractual previa con el denunciante, tal y como se recoge en el primer párrafo del apartado 2 del artículo 21 de la LSSI, y ello siempre y cuando el imputado, como prestador de servicios de la sociedad de la información, hubiera obtenido de forma lícita los datos de contacto de la entidad destinataria de los envíos, los utilizase para enviarle comunicaciones comerciales relativas a productos o servicios similares a los inicialmente adquiridos por su cliente, y además, le hubiera ofrecido tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales enviadas con posterioridad al mismo un mecanismo sencillo y gratuito para poder oponerse al tratamiento de sus datos con fines promocionales. En este supuesto no resulta de aplicación dicha excepción en atención a las propias manifestaciones del imputado reconociendo la inclusión indebida de los datos del denunciante en su lista de clientes. De este modo , a la luz de los elementos fácticos obrantes en el procedimiento cabe concluir que el imputado ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI al enviar tres correos electrónicos de tipo comercial al denunciante sin contar con la autorización expresa o solicitud previa del mismo para ello, y sin que quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 al haber quedado justificada la inexistencia de una relación contractual previa entre remitente y destinatario de los envíos analizados. VII En lo que respecta al incumplimiento del deber de ofrecer un mecanismo de baja al destinatario de los envíos, la redacción del párrafo tercero del artículo 21.2 de la LSSI en el momento de la comisión de los hechos establecía que cuando las comunicaciones comerciales se remitían por correo electrónico, dicho mecanismo debía consistir, necesariamente, en una dirección electrónica válida, habiéndose añadido en la actual redacción del precepto la posibilidad de que también pueda ser una dirección de correo electrónico, quedando prohibido el envío de comunicaciones que no incluyan alguna de esas direcciones. De lo actuado se ha constatado que el mecanismo de oposición incluido en las tres comunicaciones comerciales objeto de estudio, aunque gratuito, no ofrecía a la entidad destinataria de las mismas un sencillo que le permitiera oponerse, en forma efectiva y real, al tratamiento de sus señas electrónicas con fines promocionales, toda vez que el enlace facilitado para darse de baja a través del panel de control de la web requiere la utilización de clave de usuario y password, no resultando, por tanto, un procedimiento viable ni operativo cuando el destinatario no está registrado como cliente y/o usuario del sitio web www.econaturalia.com, como ocurre en el presente caso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 En este sentido, la Audiencia Nacional, en su Sentencia de fecha 22 de enero de 2014, Rec. nº 110/2013, señalaba: “Y en definitiva, la cuestión principal pasa a ser si resultaba bastante, a efectos de excluir la antijuridicidad de la conducta, con el mantenimiento, en su página web, de una específica zona para darse de baja en el perfil o si, dado que la propia actora estableció una serie de correos electrónicos como cauce de comunicación, tenía el deber de que éstos estuvieran en efecto operativos para canalizar la revocación del consentimiento para la recepción de comunicaciones comerciales Esta es, a juicio de la Sala, la alternativa jurídicamente correcta puesto que, en efecto, si la empresa consignaba unos correos electrónicos como cauce de comunicación, tenía el deber jurídico de mantenerlos abiertos y operativos para la recepción en ellos de comunicaciones de sus clientes; dado que además con ello infundía a los interesados confianza legítima de que ese era un cauce correcto de comunicación. No puede, por el contrario, escudarse en un pretendido error tipográfico (cometido por ella misma) o en el cambio de la página web (que habrían impedido la recepción de los correos electrónicos de la denunciante) pues, ya decimos, una vez ofrecido dicho cauce de comunicación, era deber jurídico de la recurrente mantenerlo abierto y operativo. A partir de ello que concurra, cuanto menos la manifestación culposa de la culpabilidad de la infracción.” Además, de la simple lectura de los citados envíos se evidencia que éstos no incluían tampoco una dirección de correo electrónico a través de la que el denunciante pudiera haberse opuesto al tratamiento de sus señas electrónicas con fines publicitarios que hubiera podido hacer efectivo el ejercicio de dicho derecho de oposición. Por otro lado, durante las actuaciones previas de inspección, concretamente el día 27/03/2014, es decir, en fecha posterior a la de la última comunicación comercial recibida por el denunciante (folios 20 y 21), se comprobó que en la Política sobre Privacidad de la Web no se hacía mención a ninguno de los dos mecanismos que el imputado ha habilitado, con posterioridad a los hechos objeto de denuncia, para facilitar el ejercicio de los derechos ARCO de la LOPD, a saber, desde el panel de control de cliente y usuario o enviando un mail a webmaster@....... En todo caso, la inclusión de dichos mecanismos respondería, desde la perspectiva de la LSSI, a lo previsto en el artículo 22.1 de dicha norma, que bajo la rúbrica “Derechos de los destinatarios de servicios”, establece lo siguiente en cuanto a los mecanismos de revocación del consentimiento otorgado para la recepción de comunicaciones comerciales: “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos” Con arreglo a lo expuesto, el ofrecimiento del mecanismo consistente en el panel de control no conlleva, en lo que al supuesto analizado se refiere, el cumplimiento “de facto” de la exigencia establecida en el segundo y tercer párrafo del citado artículo 21.2 de la LSSI, habida cuenta que no constituye un procedimiento válido cuando el destinatario no es usuario o cliente de la web, como si lo hubiera sido la inclusión en dichos envíos de una dirección de correo electrónico que cualquier destinatario hubiera podido utilizar con la finalidad descrita en el mencionado precepto. En consecuencia, de lo expuesto con anterioridad, ha quedado probado que el imputado también ha incurrido en la infracción del artículo 21.2, párrafos segundo y tercero, de la LSSI, al no ofrecer en las mencionadas comunicaciones comerciales dirigidas a la cuenta de correo electrónico del denunciante una dirección electrónica válida o una dirección de correo electrónico que el destinatario de los envíos pudiera utilizar para no continuar recibiendo publicidad por dicha vía. VII VIII No obstante haber quedado acreditado el envío inconsentido de las tres comunicaciones comerciales reseñadas, en este caso debe declararse la prescripción respecto de los hechos derivados del primer envío recibido por el denunciante. Conforme a lo previsto en el artículo 45 de la LSSI “las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves a los seis meses”, estableciéndose, a su vez, en el artículo 132.2 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, que “2. El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, (…)”. Aplicando dicha normativa, el mensaje comercial remitido con fecha 27 de noviembre de 2013 desde novedades@........ a la cuenta de correo electrónico info@...... estaba prescrito cuando el imputado recibió la notificación del acuerdo de inicio del presente procedimiento sancionador, toda vez que habían transcurrido más de seis meses desde su remisión el día 27 de noviembre de 2013 hasta la fecha en que se practicó al imputado tal notificación con fecha 28 de mayo de 2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 IX Conforme al artículo 9.3 de la Constitución Española, “La Constitución garantiza (…) la irretroactividad de las disposiciones sancionadoras no favorables o restrictivas de derechos individuales”. Y en este sentido constante jurisprudencia ha mantenido el principio de retroactividad de la ley sancionadora más favorable. Destacamos así la Sentencia del Tribunal Constitucional 131/1986 de 29 de octubre que señala refiriéndose al principio de retroactividad de la ley penal más favorable “es que, además, dicho principio supone la aplicación íntegra de la ley más beneficiosa, incluidas aquellas de sus normas parciales que puedan resultar perjudiciales en relación con la ley anterior, que se desplaza en virtud de dicho principio, siempre que el resultado final, como es obvio, suponga beneficio para el reo, ya que en otro caso la ley nueva carecería de esa condición de más beneficiosa que justifica su aplicación retroactiva”. Y en este sentido el artículo 128.2 de la ley 30/1992, de 28 de noviembre, dispone: “Las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”, dado que, como señala el apartado 17 de su Exposición de motivos, es objeto de la misma la aplicación de "los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia". En consecuencia, en aplicación del anterior criterio jurisprudencial procede aplicar de forma retroactiva el régimen sancionador de la LSSI introducido por la modificación operada en dicha norma por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, al resultar éste en su conjunto más favorable que el vigente en el momento de la comisión de los hechos objeto de imputación. X El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos) La definición de prestador del servicio se contiene en el apartado
14. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”, y dentro de la cual se encuadra el imputado como remitente de comunicaciones comerciales que publicitan una actividad económica de venta on- line. De acuerdo con lo establecido en los apartados 3.
15. c)y 4.
16. d)del artículo 38 de la LSSI actualmente en vigor, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
17. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
18. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b), se producirá una infracción de carácter grave a los efectos de la LSSI. A partir del conjunto de hechos y circunstancias constatadas en el procedimiento sancionador y vistos los fundamentos de derecho anteriores, la conclusión que se despende es que el presente supuesto se ajusta al tipo de infracción establecido en el artículo 38.4.
19. d)de la LSSI, calificado como infracción leve, al tratarse de la remisión de dos correos electrónicos comerciales con fechas 1 y 10 de enero de 2014 al denunciante sin contar con el consentimiento previo y expreso del mismo y sin ofrecerle una dirección electrónica válida de baja como obligatoriamente debía incluir en la fecha de los hechos o, en su caso, una dirección de correo electrónico de baja como actualmente también se permite, conducta que no puede calificarse como envío insistente o sistemático de comunicaciones comerciales por medios electrónicos por parte del imputado al denunciante, sin que en este caso, quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 al no producirse la existencia de una relación contractual previa entre las partes en los términos señalados en dicho precepto. XI A tenor de lo establecido en el artículo 39.1.
20. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma que dispone lo siguiente: “Artículo 40. Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
21. a)La existencia de intencionalidad.
22. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
23. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
24. d)La naturaleza y cuantía de los perjuicios causados.
25. e)Los beneficios obtenidos por la infracción.
26. f)Volumen de facturación a que afecte la infracción cometida
27. g)La adhesión a un código de conducta o aun sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 En relación a los criterios de graduación de las sanciones recogidos en el citado artículo 40 de la LSSI, se estima que, si bien no ha existido intencionalidad en la conducta del imputado, sin embargo la falta de diligencia observada al no haber adoptado las cautelas y medidas necesarias, con anterioridad a los envíos, para asegurarse de que las direcciones de correo electrónico incluidas en su lista de clientes de la tienda virtual econaturalia.com se correspondían, efectivamente, con destinatarios que gozaban de tal condición o se habían registrado como usuarios de la misma, así como de que incluían un procedimiento de oposición que pudiera utilizarse de forma sencilla, gratuita y efectiva por aquellos destinatarios que no eran clientes o usuarios de la web, opera como agravante. Paralelamente, se valoran como circunstancias atenuantes en la comisión de la infracción, los criterios relativos a la falta de constancia de que el denunciante haya sufrido perjuicios derivados de la recepción de los correos comerciales electrónicos denunciados y ausencia de beneficios obtenidos por el imputado con motivo de la comisión de la infracción del artículo 21 de la LSSI. Por todo lo cual, se entiende como ajustado a la gravedad de los hechos imponer al imputado una sanción de 1.400 € . Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Don A.A.A., por una infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4.
28. d)de la LSSI, una multa 1.400 € (Mil cuatrocientos euros), de conformidad con lo establecido en los artículos 39.1.
29. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A. y a Don B.B.B. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es