← España

PS-00272-2018

1/21 Procedimiento Nº PS/00272/2018 RESOLUCIÓN: R/01593/2018 En el procedimiento sancionador PS/00272/2018, instruido por la Agencia Española de Protección de Datos a la entidad ADGOALS MEDIA S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 21/12/2017, tuvo entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que pone de manifiesto que, con fecha 20/12/2017, ha recibido un SMS publicitario con origen en “LunaCredit” sin tener relación previa con la entidad. Añade que estos mensajes no ofrecían ningún método para darse de baja. En el mismo escrito indica el denunciante que la línea en la que ha recibido los SMS (***TELEFONO.1) figura inscrita en el Servicio de Lista Robinson, por lo que es un claro supuesto de publicidad no deseada. Afirma que se puso en contacto con la entidad responsable de “LunaCredit” a través de su perfil de Facebook para que eliminaran sus datos y aporta el texto de la conversación que mantuvo con la misma mediante mensajería instantánea, durante la cual le informan que el origen de sus datos puede ser la suscripción a través de un proveedor externo de marketing. En relación con el procedimiento de baja frente a “LunaCredit” le informan que debe enviar una copia del DNI o NIE a arco@lunacredit.es. El denunciante advierte que no es cliente de “LunaCredit”, por lo que le manifiestan que debe solicitar la baja a aquellos proveedores a los que esté suscrito. Según la información aportada, el texto del mensaje recibido es el siguiente: “Hola, Lunacredit te presta hasta 1000eur para que tengas las mejores Navidades http://bit.ly/PrestamosLunaCredit Este año los regalos pídeselos a la luna!”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las comprobaciones siguientes: 1. La entidad Telefónica Móviles España, S.A.U (en lo sucesivo TME) confirmó que, en fecha 20/12/2017, la línea ***TELEFONO.1 recibió un SMS con identificación del emisor “LunaCredit”. 2. La titularidad de la web “lunacredit.es” corresponde a la entidad RAPIDO FINANCE, S.L.U. (en lo sucesivo RAPIDO FINANCE). En respuesta al requerimiento de información que le fue remitido por los Servicios de Inspección de esta Agencia, RAPIDO FINANCE informó lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 Que RAPIDO FINANCE, cuya marca comercial es “LunaCredit”, tiene por objeto la prestación de créditos al consumo. RAPIDO FINANCE tiene formalizada una relación con la entidad ADGOALS MEDIA, S.L. (en lo sucesivo ADGOALS), dedicada a la prestación de servicios de comparación de entidades crediticias dedicadas a la prestación de microcréditos, así como la intermediación de usuarios y entidades prestatarias, para la solicitud de préstamos personales a través de una plataforma online de su titularidad. En relación con la actividad de ADGOALS, dice RAPIDO FINANCE que deben diferenciarse dos escenarios: - - ADGOALS es titular de una plataforma que ofrece servicios a los consumidores que hayan solicitado la información acerca de la contratación de un microcrédito. En caso de tramitar una solicitud, el interesado proporciona sus datos a ADGOALS y acepta los términos y condiciones de dicha plataforma. Asimismo, ADGOALS determina la segmentación sobre la que desea impactar comercialmente en caso de remitirle comunicaciones comerciales sobre los productos y servicios ofertados por medio de la plataforma, sin que los terceros sobre los que versa tengan constancia de la misma. En los casos en los que el interesado decida continuar con la contratación, los datos de los interesados son trasladados a la empresa prestamista, con la finalidad de gestionar la contratación del servicio. En este supuesto, como ADGOALS presta un servicio de intermediación a RAPIDO FINANCE, se firmó un contrato de acceso a datos, en el que ADGOALS es encargado de tratamiento de RAPIDO FINANCE, de fecha 12/12/2017. Los datos personales del denunciante fueron obtenidos conforme al primero de los escenarios descritos, es decir, a través de la plataforma gestionada por ADGOALS, según los procedimientos definidos por ésta y de acuerdo a los términos y política de privacidad de la misma. ADGOALS le informó que los datos del titular de la línea a la que se refiere la denuncia se inscribieron en sus bases de datos el 17/01/2017, es decir, doce meses antes de que se iniciara la relación entre RAPIDO FINANCE y ADGOALS. Según RAPIDO FINANCE, las campañas emitidas por ADGOALS son diseñadas y gestionadas exclusivamente por la misma, aunque se reflejen en tales campañas productos relativos a LunaCredit. La gestión referida implica tanto aquellos aspectos relativos a diseño de la campaña como a la elección de los destinatarios de las mismas, dado que el impacto se efectúa sobre la base de datos de esta, sobre la que RAPIDO FINANCE no tiene información. La entidad responsable de cumplir las previsiones de la LOPD y de la LSSI es en todo caso ADGOALS, por aplicación de lo dispuesto en el art. 46 RDLOPD y en su condición de Prestador de Servicios de la Sociedad de la Información. Añade RAPIDO FINANCE que en sus bases de datos no consta ninguno relativo al denunciante. Asimismo, señala que ADGOALS le ha informado que los datos del denunciante fueron obtenidos por medio de la plataforma online, a través de la url C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 http://www.1credito.es/, a partir de la cual alimenta su base de datos y define el público objetivo al que realiza campañas contratada por terceros. Según la información aportada por ADGOALS a RAPIDO FINANCE, el número de campañas emitidas por la primera entidad citada en el mes de diciembre de 2017 supuso el envío aproximado de 687.000 SMS. “RAPIDO FINANCE no interviene en la definición ni envío sobre los que se realizaron las campañas, ni participaba en su definición o realización de manera directa”. Respecto de los contactos del denunciante con RAPIDO FINANCE, señala esta entidad que se tuvo conocimiento de la solicitud de oposición formulada por aquel el 20/12/2017 a través de mensaje privado en el perfil corporativo de la red social Facebook. A estos efectos se gestionó con total celeridad la solicitud efectuada. Tras verificar que los datos no constaban en la base de datos se dio traslado a ADGOALS a fin de garantizar el derecho de oposición del titular de la línea. La solicitud fue gestionada en el plazo de 24 horas A tal efecto, se acompaña copia de las conversaciones mantenidas con ADGOALS, fechadas el 21/12/2017, relativas a la gestión del derecho ejercido por el denunciante. Con su respuesta, RAPIDO FINANCE aporta la documentación siguiente: . Copia de un contrato de “acceso a datos de ADGOALS por cuenta de RAPIDO FINANCE de 12/12/2017, en el que se indica, entre otras cuestiones, lo siguiente: El Responsable del fichero (RAPIDO FINANCE) es una entidad dedicada a la oferta y comercialización de créditos al consumo, cuya solicitud, gestión y concesión a distancia, a través de medios electrónicos (plataforma online, SMS y teléfono) y el Encargado del tratamiento (ADGOALS) es una entidad dedicada a la prestación de servicios de comparación de entidades crediticias dedicadas a la prestación de microcréditos, así como a la intermediación entre usuarios y entidades prestatarias, para la solicitud de préstamos personales a través de una plataforma online de su titularidad. (…) Las partes han alcanzado un acuerdo para la oferta de los servicios comercializados por el Responsable del Fichero a través de la plataforma titularidad del Encargado del tratamiento, así como para la intermediación en la solicitud y concesión del crédito al consumidor (…) (…) el encargado del tratamiento, como consecuencia de la prestación de los servicios descritos a favor del responsable del fichero, podrá acceder y procede al tratamiento de determinados ficheros de titularidad del Responsable del fichero (…) La finalidad del tratamiento es llevar a cabo las (…) actuaciones que resulten necesarias para prestar al Responsable del fichero los Servicios contratados, de conformidad con lo establecido en el Contrato de Prestación de Servicios (…) también recoge que el encargado se ajustara a las (…) instrucciones que, en cada momento, le indique el Responsable del fichero (…). 3. Mediante escrito de fecha 03/05/2018, por los servicios de inspección de la Agencia se solicitó a RAPIDO FINANCE que aportara el contrato entre ADGOALS y aquella respecto del que se deriva el tratamiento de datos objeto de análisis, es decir el Contrato de Prestación de Servicios al que se hace referencia en el contrato de acceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 a datos arriba referenciado, y en el que se recogiera, en especial, el envío de SMS y la obligación de identificar como remitente a RAPIDO FINANCE, así como las garantías contractuales que ADGOALS ofrecía a aquella y las órdenes de trabajo o instrucciones que se hubiesen dictado en ejecución del mencionado contrato. Mediante escrito de fecha de entrada 29/05/2018, RAPIDO FINANCE informó que no existe contrato de prestación de servicios que regule con detalle los servicios prestados; a estos efectos, para cada campaña se mantienen conversaciones privadas mediante las cuales son concretados los aspectos básicos de la misma. Aporta ejemplo de conversaciones entre RAPIDO FINANCE y ADGOALS en las que se determinan los criterios de la campaña publicitaria de que se trate y factura en la que se detallan las directrices básicas de la campaña. En cuanto a las garantías ofertadas por ADGOALS, se remiten al contrato de 12/12/2017, que obliga a ADGOALS al cumplimiento de la normativa de protección de datos y reserva a RAPIDO FINANCE el derecho a verificar y supervisar dicho cumplimiento; y en cuanto a las órdenes de trabajo, instrucciones o cualquier documentación que acote o determine la prestación de los servicios, se remiten a la existencia de conversaciones llevadas a cabo a través de Skype, en las que se acuerdan los aspectos de la campaña. Sobre el origen de los datos, aportan un correo electrónico de ADGOALS, en el que se manifiesta que el registro relativo al denunciante, en el que constan los datos relativos a nombre, apellido, email (***EMAIL.1) y teléfono (***TELEFONO.1), se incorporó a la base de datos en fecha de 17/02/2017 desde www.1credito.es, (cuya página web es un afiliado de ADGOALS), aceptando la política de privacidad en zen.creditozen.es/template/privacy. Informan que no utilizan verificación. 4. En la página web zen.creditozen.es/template/privacy consta lo siguiente: (…) inmediatamente después de que el Cliente envíe su solicitud para obtener un microcrédito, Zen Finance Ltd: procesará y enviará estos datos personales a uno o más de los Socios que colaboran con Zen Finance Ltd. Mediante el envío de la solicitud a través de Zen Finance Ltd., el Cliente acepta todos los principios de esta Política, permitiendo así que Zen Finance Ltd. o sus Socios se comuniquen con el Cliente utilizando la dirección de correo electrónico y el número de teléfono para procesar la solicitud y ofrecer sus servicios, de la manera más adecuada para el Cliente. Los Socios de Zen Finance Ltd se reservan el derecho de verificar y evaluar la situación financiera del Cliente con la participación de terceros. Zen Finance Ltd. no ofrece ningún tipo de servicios financieros por sí misma (…) La información que recopilamos Zen Finance Ltd. acumula la información personal de los usuarios del Sitio web mediante el procesamiento de las solicitudes de los clientes potenciales y reales. La información de contacto y financiera que es procesada por Zen Finance Ltd. se utiliza para proporcionar los servicios de información descritos anteriormente. Los datos técnicos de los ordenadores de los usuarios, así como el progra***B, son recogidos y procesados automáticamente por Zen Finance Ltd., y pueden ser transferidos a terceros para su análisis. Estos datos incluyen: la dirección IP, el tipo de navegador, el nombre de dominio, las horas de acceso y las direcciones de las páginas web a través de cuales el usuario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 llega al Sitio web de Zen Finance Ltd... La información mencionada anteriormente se utiliza para mejorar la calidad de nuestros servicios y generar estadísticas de uso del Sitio web de Zen Finance Ltd. 5- En fecha de 03/05/2018 se accede al sitio web www.1credito.es verificándose que el responsable de la página web es LOMBER CAPITAL, S.L. En dicho sitio web se indica la dirección de correo electrónico clientes@1credito.es. Se verifica que la página web tiene habilitado un procedimiento de solicitud de créditos en el que se requiere que el usuario complete determinados campos mediante los que se solicitan datos personales (nombre y apellidos, DNI/NIE, Nacionalidad, género, estado civil, cantidad de hijos, Fecha y lugar de nacimiento, dirección de correo electrónico, teléfono móvil, etc...). Las condiciones generales de la página web, respecto de la protección de datos de carácter personal, constan incorporadas a las actuaciones. Mediante escrito de fecha 03/05/2018, se solicitó información a LOMBER CAPITAL, a la dirección que figura en la página web y en el Registro Mercantil Central, figurando devuelto por “desconocido”. 6. En fecha de 16/05/2018, se recibió escrito de ADGOALS, que responde al requerimiento que le fue realizado por los Servicios de Inspección de esta Agencia. En dicho escrito, la citada entidad se limitó a manifestar que no ha recibido oposición ni desistimiento por parte del titular de la línea ***TELEFONO.1, el cual aceptó su uso dando el consentimiento en la solicitud de una compra de vehículo. Con su escrito de respuesta, ADGOALS aportó la siguiente documentación: . Factura de compra de la base de datos de la empresa Iahorro Businnes Solutions, S.L. (emisor de la factura) por parte de Zen Media Internacional OU (Cliente), fechada el 18/12/2017. A este respecto, los Servicios de Inspección destacan en su Informe de Actuaciones que Zen Media Internacional OU y ADGOALS tienen el mismo administrador. . Aportan copia de un contrato, de fecha 18/12/2017, suscrito por Zen Media Internacional OU (identificado en el contrato como EL COLABORADOR) y Iahorro Businnes Solutions, S.L. (el CLIENTE), en virtud del cual EL COLABORADOR presta un servicio de acciones de marketing y generación de leads por cuenta del CLIENTE, cuyo destinatario (EL BENEFICIARIO) será la sociedad que figure en la correspondiente orden de compra (en la que se especificaran cada uno de los servicios a prestar por el COLABORADOR, en cada caso). La fotocopia aportada incluye una “Orden de compra” de 18/12/2017, en la que se encarga la realización de una campaña mediante “Acción SMS List Broker” para los días “Entre el 19 y 22”. Entre otras estipulaciones, en el mencionado contrato se conviene lo siguiente: Cláusula PRIMERA -objeto y servicios: Los servicios que el COLABORADOR prestara a IAHORRO consistirán en campañas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 de captación de leads para EL CLIENTE, a través de (

  1. i)campañas de display, (
  2. ii)campañas de emailmarketing, (iii) campañas de afiliación y otros servicios especificados en la orden de compra correspondiente. Cláusula SEPTIMA- Protección de Datos y cookies, 7.2 Datos captados por el colaborador y cesión de datos, figura lo siguiente: (…) el COLABORADOR, podrá recabar directamente datos personales de usuario y cederlos a IAHORRO y/o al BENEFICIARIO. EL COLABORADOR declara actuar y se compromete a cumplir conforme a los principios establecidos por la legislación vigente en materia de protección de datos personales y, en concreto, por la LOPD y RDLOPD, la LSSI y la LGT. Específicamente, el COLABORADOR garantiza: i Que los datos de carácter personal han sido facilitados u obtenidos por los propios titulares de los datos con su consentimiento para la cesión de los datos a IAHORRO y/o al BENEFICIARIO, como cesionarios de los datos. (…) 7.3 BBDD generadas mediante Co-registro figura lo siguiente: (…) el COLABORADOR podrá llevar a cabo la generación de registros para IAHORRO y/o el BENEFICIARIO a través de la incorporación de la Política de Privacidad de IAHORRO y/o el BENEFICIARIO en fórmulas de captación de datos online, de forma que los usuarios acepten expresamente tanto la Política de Privacidad de IAHORRO como la del BENEFICIARIO, obteniendo así el co-registros de dichos datos. En estos casos, ambas partes declaran conocer y respetar las obligaciones establecidas en la LOPD, en su calidad de responsables del fichero. En caso de que la generación de registros se realice para el BENEFICIARIO a través de la incorporación de su Política de Privacidad en formularios de captación de datos online gestionados por el COLABORADOR, en este tipo de colaboración comercial IAHORRO tendrá la consideración de mero intermediario, y solo tratara los datos responsabilidad del BENEFICIARIO a los que, en su caso, pudiera tener acceso en su condición de encargado del tratamiento, conforme al art. 12 de la LOPD. (…) IAHORRO deberá facilitar al COLABORADOR la política de privacidad correspondiente para su implementación en la landing de captación. Sobre el origen del dato de la línea telefónica citada y de los datos asociados a dicha línea: Aportan una comunicación sin ninguna identificación sobre su emisor ni del destinatario, en la que se detalla la captación de los datos personales relativos al denunciante mediante la cumplimentación de un formulario de contacto para la solicitud de información sobre un vehículo en la web auto10.com, en fecha 29-112017, con los siguientes registros Nombre: ***B Apellido: ***C Email: ***EMAIL.1 Teléfono: ***TELEFONO.1 En relación con dicha web, se indica expresamente lo siguiente: “En sus condiciones legales… tenemos incluido que estos datos los podemos ceder a terceros para el uso y la explotación para canales como el SMS”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 Y se añade: “(…) solo hacemos optim del Email, por lo que no hay validación del teléfono (…)”. Al pie de este escrito incluye un “http://www.auto10.com/estatica/condiciones-legales”. enlace a la url 7- La página web www.auto10.com es titularidad de ENLARED AUTO10, S.L. En el sitio web http://www.auto10.com/estatica/condiciones-legales figura la política de privacidad de la entidad, que consta incorporada a las presentes actuaciones. TERCERO: Con fecha 19/06/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ADGOALS por presunta infracción del artículo 21 de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 38.4.
  3. d)de dicha norma, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1.
  4. c)de dicha Ley. CUARTO: Notificado el acuerdo de inicio ADGOALS no formulo alegaciones, por lo que es de aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que en su apartado
  5. f)establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. HECHOS PROBADOS PRIMERO. En fecha 21/12/2017 tiene entrada en la AEPD escrito del denunciante en el que manifiesta que ha recibido un SMS publicitario cuyo remitente es “LunaCredit” sin que tenga relación alguna con la citada entidad, desconociendo de donde han podido sacar la información acerca de su móvil, puesto que la línea asociada al mismo en la que ha recibido el SMS (***TELEFONO.1) figura inscrita en el Servicio de Lista Robinson, por lo que es un claro supuesto de publicidad no deseada. SEGUNDO. El denunciante ha aportado impresión de captura de pantalla de móvil en el que figura el nombre del remitente: LunaCredit, el día y hora: miércoles 20/12/2017, a las 16:44, señalando “Hola, Lunacredit te presta hasta 1000eur para que tengan las mejores Navidades http://bit.ly/PrestamosLunaCredit. ¡Este año los regalos pídeselos a la luna!” TERCERO. Telefónica Móviles España, S.A.U en escrito de 02/03/2018 ha confirmado que el 20/12/2017 la línea telefónica móvil asociada al número ***TELEFONO.1 recibió un SMS con identificación del emisor “LunaCredit”. CUARTO. ADIGITAL, Asociación Española de la Economía Digital, entidad que gestiona el fichero de exclusión denominado Lista Robinson ha señalado: “Que el denunciante, con DNI… se dio de alta en el Servicio de Lista Robinson en las fechas que se relacionan a continuación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 En el canal para no recibir llamadas Móvil ***TELEFONO.2 con fecha 26/06/2012 Fijo ***TELEFONO.3 con fecha 28/06/2012 En el canal para no recibir sms/mms Móvil ***TELEFONO.1 con fecha 28/06/2012 En el canal para no recibir correo postal (…) En el canal para no recibir correo electrónico gi_nrok@hotmail.com con fecha 28/06/2012 QUINTO. Consta diligencia del inspector actuante de 24/01/2018 en la que adjunta información obtenida de internet relacionada con la denuncia relativa a LunaCredit en la que se señala que “RAPIDO es la compañía española con NIF número B93.366.862 y domicilio en la calle Plaza Carlos Trías Bertrán, 4, 28020 Madrid, España (…) titular de la web LunaCredit.es. A través del Sitio Web LunaCredit ofrece sus servicios de préstamos online a consumidores a los usuarios de Internet”. SEXTO. RAPIDO en escrito de 14/03/2018 ha manifestado que los datos personales del denunciante fueron obtenidos de la plataforma gestionada por ADGOALS, empresa con la que RAPIDO tiene suscrito un contrato de acceso a datos, prestándole un servicio de intermediación, adquiriendo la condición de encargado de tratamiento de RAPIDO, como responsable del tratamiento, de fecha 12/12/2017, de acuerdo con los procedimientos definidos por ADGOALS y de acuerdo a los términos y política de privacidad de la misma. RAPIDO añade que en sus bases de datos no consta dato alguno relativo al denunciante y que ADGOALS le ha informado que los datos del titular de la línea a la que se refiere la denuncia se inscribieron en sus bases de datos el 17/01/2017, antes de que se iniciara la relación entre RAPIDO y ADGOALS. SEPTIMO. El 03/05/2018 se ha accedido a la web www.1credito.es cuyo responsable es LOMBER CAPITAL, S.L. En dicho sitio web se indica la dirección de correo electrónico clientes@1credito.es tiene habilitado un procedimiento de solicitud de créditos en el que se requiere que el usuario complete determinados campos mediante los que se solicitan datos personales (nombre y apellidos, DNI/NIE, Nacionalidad, género, estado civil, cantidad de hijos, Fecha y lugar de nacimiento, dirección de correo electrónico, teléfono móvil, etc.). Las condiciones generales de la página web, respecto de la protección de datos de carácter personal, constan incorporadas a las actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 OCTAVO. ADGOALS en escrito de 16/05/2018 ha aportado comunicación sobre el registro del origen de los datos de la línea asociada al número ***TELEFONO.1, sin identificación alguna acerca del emisor ni del destinatario y que fueron captados al rellenar un formulario de contacto para un coche nuevo en la web auto10.com; figuran los datos relativos al nombre (***B), apellidos (***C), email (***EMAIL.1) y teléfono (***TELEFONO.1), se incorporó a la base de datos en fecha de 17/02/2017 desde www.1credito.es, (cuya página web es un afiliado de ADGOALS), aceptando la política de privacidad en zen.creditozen.es/template/privacy. Informan que no utilizan verificación. ADGOALS no ha aportado evidencia alguna ni indicio que justifique la inscripción o registro señalado anteriormente. La página web www.auto10.com es titularidad de ENLARED AUTO10, S.L. NOVENO. ADGOALS en escrito de 16/05/2018 ha informado que el origen del dato del denunciante es la compra de una base de dato a Iahorro Bussienes Solutions, S.L. el 18/12/2017 como consecuencia de la inscripción de este en la web www.1credito.es incorporándose a su base de datos el 17/02/2017. ADGOALS aporta factura de compra de la base de datos de la empresa Iahorro Businnes Solutions, S.L. (emisor de la factura) por parte de Zen Media Internacional OU (Cliente), fechada el 18/12/2017. Zen Media Internacional OU y ADGOALS tienen el mismo administrador. Aportan copia de un contrato, de fecha 18/12/2017, suscrito por Zen Media Internacional OU (identificado en el contrato como EL COLABORADOR) y Iahorro Businnes Solutions, S.L. (el CLIENTE), en virtud del cual EL COLABORADOR presta un servicio de acciones de marketing y generación de leads por cuenta del CLIENTE, cuyo destinatario (EL BENEFICIARIO) será la sociedad que figure en la correspondiente orden de compra (en la que se especificaran cada uno de los servicios a prestar por el COLABORADOR, en cada caso). La fotocopia aportada incluye una “Orden de compra” de 18/12/2017, en la que se encarga la realización de una campaña mediante “Acción SMS List Broker” para los días “Entre el 19 y 22”. En el mencionado contrato se conviene lo siguiente: Cláusula PRIMERA -objeto y servicios: Los servicios que el COLABORADOR prestara a IAHORRO consistirán en campañas de captación de leads para EL CLIENTE, a través de (
  6. i)campañas de display, (
  7. ii)campañas de emailmarketing, (iii) campañas de afiliación y otros servicios especificados en la orden de compra correspondiente. Cláusula SEPTIMA- Protección de Datos y cookies, 7.2 Datos captados por el colaborador y cesión de datos, figura lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 (…) el COLABORADOR, podrá recabar directamente datos personales de usuario y cederlos a IAHORRO y/o al BENEFICIARIO. EL COLABORADOR declara actuar y se compromete a cumplir conforme a los principios establecidos por la legislación vigente en materia de protección de datos personales y, en concreto, por la LOPD y RDLOPD, la LSSI y la LGT. Específicamente, el COLABORADOR garantiza: (i)Que los datos de carácter personal han sido facilitados u obtenidos por los propios titulares de los datos con su consentimiento para la cesión de los datos a IAHORRO y/o al BENEFICIARIO, como cesionarios de los datos. (…) 7.3 BBDD generadas mediante Co-registro figura lo siguiente: (…) el COLABORADOR podrá llevar a cabo la generación de registros para IAHORRO y/o el BENEFICIARIO a través de la incorporación de la Política de Privacidad de IAHORRO y/o el BENEFICIARIO en fórmulas de captación de datos online, de forma que los usuarios acepten expresamente tanto la Política de Privacidad de IAHORRO como la del BENEFICIARIO, obteniendo así el co-registros de dichos datos. En estos casos, ambas partes declaran conocer y respetar las obligaciones establecidas en la LOPD, en su calidad de responsables del fichero. En caso de que la generación de registros se realice para el BENEFICIARIO a través de la incorporación de su Política de Privacidad en formularios de captación de datos online gestionados por el COLABORADOR, en este tipo de colaboración comercial IAHORRO tendrá la consideración de mero intermediario, y solo tratara los datos responsabilidad del BENEFICIARIO a los que, en su caso, pudiera tener acceso en su condición de encargado del tratamiento, conforme al art. 12 de la LOPD. (…) IAHORRO deberá facilitar al COLABORADOR la política de privacidad correspondiente para su implementación en la landing de captación. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en el artículo 43.1, párrafo segundo, de la LSSI es competente para iniciar este Procedimiento Sancionador la Directora de la Agencia Española de Protección de Datos. II La Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en su artículo 64 “Acuerdo de iniciación en los procedimientos de naturaleza sancionadora”, dispone: “1. El acuerdo de iniciación se comunicará al instructor del procedimiento, con traslado de cuantas actuaciones existan al respecto, y se notificará a los interesados, entendiendo en todo caso por tal al inculpado. Asimismo, la incoación se comunicará al denunciante cuando las normas reguladoras del procedimiento así lo prevean. 2. El acuerdo de iniciación deberá contener al menos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21
  8. a)Identificación de la persona o personas presuntamente responsables.
  9. b)Los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
  10. c)Identificación del instructor y, en su caso, Secretario del procedimiento, con expresa indicación del régimen de recusación de los mismos.
  11. d)Órgano competente para la resolución del procedimiento y norma que le atribuya tal competencia, indicando la posibilidad de que el presunto responsable pueda reconocer voluntariamente su responsabilidad, con los efectos previstos en el artículo 85.
  12. e)Medidas de carácter provisional que se hayan acordado por el órgano competente para iniciar el procedimiento sancionador, sin perjuicio de las que se puedan adoptar durante el mismo de conformidad con el artículo 56.
  13. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada. 3. Excepcionalmente, cuando en el momento de dictar el acuerdo de iniciación no existan elementos suficientes para la calificación inicial de los hechos que motivan la incoación del procedimiento, la citada calificación podrá realizarse en una fase posterior mediante la elaboración de un Pliego de cargos, que deberá ser notificado a los interesados”. En aplicación del anterior precepto y teniendo en cuenta que no se han formulado alegaciones al acuerdo de inicio, procede resolver el procedimiento iniciado. III Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI, también en la redacción dada por la mencionada Ley de Telecomunicaciones, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. A su vez, el apartado
  14. d)del anexo de la LSSI define al “Destinatario del servicio” o” destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
  15. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo, resulta aplicable lo previsto en el artículo 45.1.
  16. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad”. Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
  17. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
  18. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
  19. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
  20. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV De las actuaciones practicadas y de la documentación obrante en el procedimiento, consta que el miércoles 20/12/2017, a las 16:44, se recibió en la línea ***TELEFONO.1 titularidad del denunciante un SMS comunicación comercial promocionando productos y servicios financieros de RAPIDO que incumplían las exigencias recogidas en el artículo 21 de la LSSI. Hay que señalar que RAPIDO tiene formalizada relación con ADGOALS, mediante contrato de prestación de servicios, entidad dedicada a la prestación de servicios de comparación de entidades crediticias dedicadas a la prestación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 microcréditos, así como la intermediación de usuarios y entidades prestatarias, para la solicitud de préstamos personales a través de una plataforma online de su titularidad - En el caso examinado, se imputa a ADGOALS el envío del SMS de tipo comercial o publicitario, tal como se señala en el hecho probado segundo, a la línea de teléfono móvil asociada al número ***TELEFONO.1 titularidad del denunciante en el que se indica: “Hola, Lunacredit te presta hasta 1000eur para que tengan las mejores Navidades http://bit.ly/PrestamosLunaCredit. ¡Este año los regalos pídeselos a la luna!”, sin mediar el consentimiento previo y expreso del destinario del mensaje y sin ofrecer un mecanismo sencillo y gratuito para poder oponerse al tratamiento, señalando. ADGOALS entidad remitente del SMS comercial ha señalado en escrito de 16/05/2018 que el origen de los datos de la línea asociada al número ***TELEFONO.1 habían sido captados al rellenar un formulario de contacto para la adquisición de un coche nuevo en la web auto10.com; en el documento aportado, email donde no figura identificación alguna acerca del emisor ni del destinatario, constan los datos relativos al nombre (***B), apellidos (***C), email (***EMAIL.1) y teléfono (***TELEFONO.1); el formulario se rellenó el 29/11/2017, indicándose que “Como sabes solo hacemos optim del Email, por lo que no hay validación del teléfono”. Los citados datos fueron incorporados a la base de datos en fecha de 17/02/2017 desde www.1credito.es, (cuya página web corresponde a un afiliado de ADGOALS), aceptando la política de privacidad en zen.creditozen.es/template/privacy. Datos que procederían de la compra de la base de datos de la empresa Iahorro Businnes Solutions, S.L. por parte de Zen Media Internacional OU, fechada el 18/12/2017 y que habrían sido utilizados para nutrir la base de datos de ADGOALS y que son ajenos al denunciante (no coinciden el nombre, apellido ni dirección de correo electrónico), por lo que no se acredita que el denunciante hubiera registrado sus datos en web alguna, ni evidencia alguna que acredite que los registros indicados. A mayor abundamiento en la comunicación aportada se indica que “Como sabes solo hacemos optim del Email, por lo que no hay validación del teléfono”, es decir, solo existe la autorización para recibir comunicaciones por e-mail pero no en relación con la línea telefónica. ADGOALS no ha acreditado que mediara autorización expresa o solicitud previa del denunciante para la realización del reseñado envío, puesto que no ha aportado ningún medio de prueba que justifique la concurrencia de alguna de estas circunstancias ni que tampoco resulta de aplicación la excepción al consentimiento contenida en el primer párrafo del artículo 21.2 de dicha norma por evidenciar que no existe una relación contractual previa entre la entidad remitente y el destinatario del SMS en cuestión. No debe olvidarse que la LSSI, que es la norma específica aplicable al supuesto estudiado, estableciendo que la remisión de comunicaciones comerciales por SMS precisa del consentimiento previo y expreso de sus destinatarios. Dicho lo cual, la remisión de la comunicación comercial denunciada constituye una acción que ha respondido únicamente a la voluntad de ADGOALS dando un uso publicitario a los datos obtenidos sin mediar para ello el consentimiento previo y expreso del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 denunciante, no estando tampoco amparada legalmente dicha conducta en la existencia de una relación contractual entre ambas partes en los términos del artículo 21.2 de la LSSI. En definitiva, a la luz de los elementos fácticos obrantes en el procedimiento cabe concluir que la denunciada incumplió la prohibición recogida en el artículo 21.1 de la LSSI al enviar un mensaje de tipo comercial al denunciante sin contar con la autorización expresa o solicitud previa del mismo para ello y sin que quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 de dicha norma al no existir una relación contractual previa entre remitente y destinatario del envío en cuestión. - En otro orden de coas, consta en los hechos probados RAPIDO y ADGOALS suscribieron contrato de prestación de servicios el 12/12/2017. En su expositivo se señala que el Responsable del Fichero (RAPIDO) es una entidad dedicada a la oferta y comercialización de créditos al consumo, mientras que el Encargado del Tratamiento (ADGOALS) es una entidad dedicada a la prestación de servicios de comparación de entidades crediticias dedicadas a la prestación de microcréditos; dichas entidades alcanzaron un acuerdo para la oferta de los servicios comercializados por el responsable del fichero a través de la plataforma titularidad del encargado del tratamiento, comprometiéndose este último a realizar el tratamiento de los datos ajustándose a las instrucciones que en cada momento le indicara el responsable del fichero, así como lo dispuesto en la normativa de protección de datos personales; el encargado podrá acceder y procederá al tratamiento de determinados ficheros de titularidad del responsable del fichero y que con el fin de dar cumplimiento a la normativa sobre protección de datos y en concreto el artículo 12 de la LOPD ambas partes firman el presente contrato de encargo del tratamiento. Asimismo, se indica que el encargado se compromete a guardar bajo su control y custodia el fichero y/o los datos personales titularidad del responsable del fichero, a los que acceda con motivo de la prestación del servicio y a no divulgarlos, comunicarlos o transferirlos, etc. prohibiéndose expresamente la subcontratación de terceros para la prestación del servicio descrito salvo que exista autorización expresa del responsable. En la estipulación 16 se señala que “El presente Contrato recoge la totalidad de los pactos existentes entre las partes, y anula y revoca, en su caso, cuantos otros pactos o acuerdos, verbales o escritos que estuvieren vigentes a la fecha de su suscripción en lo relativo al tratamiento de datos personales” (los subrayados son de la Agencia Española de Protección de datos). RAPIDO ha manifestado que las campañas emitidas por ADGOALS son diseñadas y gestionadas exclusivamente por la misma, por lo que se le solicitó el documento que justificara el tratamiento de datos objeto de análisis, es decir el Contrato de Prestación de Servicios en el que se recogiera, en especial, el envío de SMS y la obligación de identificar como remitente a RAPIDO, así como las garantías contractuales que ADGOALS ofrecía a aquella y las órdenes de trabajo o instrucciones que se hubiesen dictado en ejecución del mencionado contrato. El 29/05/2018, RAPIDO informó que no existe tal contrato de prestación de servicios que regule con detalle los servicios prestados; que para cada campaña se mantienen conversaciones privadas mediante las cuales son concretados los aspectos básicos de la misma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 El SMS fue remitido el miércoles 20/12/2017, a las 16:44, es decir, con posterioridad a la fecha del contrato suscrito el 12/12/2017, por tanto, lo manifestado por el responsable del tratamiento contradice lo estipulado en el contrato que anula cualquier pacto que hubiera sido suscrito a la fecha del mismo. V En lo que respecta al incumplimiento por ADGOALS del deber de ofrecer en el SMS estudiado un medio de oposición al tratamiento de los datos del destinatario con fines promocionales, la mera lectura del SMS comercial remitido el miércoles 20/12/2017, a las 16:44, por ADGOALS al número de teléfono móvil del denunciante permite comprobar que no ofrece ningún mecanismo o procedimiento sencillo y gratuito a través del cual el destinatario pueda manifestar al remitente su negativa a continuar recibiendo publicidad a través de la línea de teléfono receptora de los mensajes, tal y como se establece en el segundo párrafo del artículo 21.2 de la LSSI. Es decir, si la LSSI impone una formalidad específica a fin de garantizar el derecho de los destinatarios a no recibir comunicaciones de naturaleza comercial por medios de comunicación electrónica o similares, como serían los SMS, el hecho de que por parte del prestador de servicios remitente del mencionado envío publicitario denunciado, en este caso ADGOALS, no se incluyese un procedimiento de baja en el SMS promocional estudiado conculca la obligación establecida en el mencionado precepto de la LSSI. A mayor abundamiento, fue el propio denunciante como el mismo señala y consta acreditado, el que a través de su perfil Facebook contacto con RAPIDO quien en su respuesta de 14/03/2018 señalaba que tuvo conocimiento de la solicitud de oposición el 20/12/2017 a través de un mensaje privada con el perfil corporativo de la red social Facebook, gestionándose con celeridad la solitud efectuada. Tras verificar que los datos no constaban en la base de datos se dio traslado a ADGOALS a fin de garantizar el derecho de oposición del titular de la línea, siendo gestionada su solicitud en el plazo de 24 horas. Además, como consta en el hecho probado cuarto, ADIGITAL, Asociación Española de la Economía Digital, entidad que gestiona el fichero de exclusión denominado Lista Robinson ha informado en escrito de 13/06/2018 que el denunciante se dio de alta en el Servicio de Lista Robinson para no recibir sms/mms en su línea de telefonía móvil asociada al número ***TELEFONO.2 como para no recibir llamadas tanto en el la línea anterior como en su línea de telefonía fija, con fecha 28/06/2012. En conclusión, de lo expuesto con anterioridad, queda probado que ADGOALS también ha incurrido en la infracción del artículo 21.2, párrafo segundo, de la LSSI. III El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 La definición de prestador del servicio se contiene en el apartado
  21. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De acuerdo con lo establecido en los apartados 3.
  22. c)y 4.
  23. d)del artículo 38 de la LSSI actualmente en vigor, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  24. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
  25. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción de carácter grave a los efectos de la LSSI. De los hechos y circunstancias acreditados en el procedimiento sancionador y con arreglo a lo dispuesto en los citados preceptos, la conclusión que se desprende es que la conculcación del artículo 21 de la LSSI que se imputa a ADGOALS se ajusta al tipo de infracción calificada como leve en el artículo 38.4.
  26. d)de la vigente LSSI, el envío de SMS sin contar con el consentimiento previo y expreso para ello del denunciante y sin un mecanismo para ejercitar su oposición cuando no se cumplen los requisitos del artículo 21 anterior. IV Según establece el art. 39.1 las infracciones leves, con multa de hasta 30.000 €, fijando los criterios para su graduación el artículo 40 de la misma norma, que dispone lo siguiente: “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  27. a)La existencia de intencionalidad.
  28. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  29. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  30. d)La naturaleza y cuantía de los perjuicios causados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21
  31. e)Los beneficios obtenidos por la infracción.
  32. f)Volumen de facturación a que afecte la infracción cometida.
  33. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes”. De conformidad con la instrucción del presente procedimiento sancionador, se determina la sanción a imponer en la cuantía de 1.500 € (mil quinientos euros) de acuerdo con los siguientes criterios que establece el art. 40 de la LSSI, el previsto en el apartado
  34. a)La existencia de intencionalidad, en relación con el elemento subjetivo en la comisión de la infracción y la diligencia desplegada en el cumplimiento de la normativa que regula los derechos de los usuarios de los servicios de la sociedad de la información, puesto que remitir sms similar al recibido por el denunciante, sin su autorización previa y expresa, era contrario a la LSSI. Además, ha quedado acreditado que deseo del denunciante no recibir comunicaciones comerciales y publicitarios no deseadas y que figuraba registrado en la lista de exclusión publicitaria. Paralelamente, se valora como atenuante el criterio
  35. d)recogido en el citado artículo 40 de la LSSI, ante la falta de constancia de que el denunciante haya sufrido perjuicios diferentes de los derivados de la recepción de las dos comunicaciones. La Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  36. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. Por su parte, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible, y en la valoración del grado de dicha diligencia, ha de ponderarse especialmente la profesionalidad o no del sujeto, y en el presente caso no puede dejar de observarse que la denunciada es conocedora de los mandatos de la LSSI porque buena parte del objeto de la actividad de la entidad, es la prestación de servicios de la sociedad de la información definidos en la citada ley, lo que le hace tributaria del conocimiento de la norma que regula dicho sector, es decir la LSSI, por lo que ha de insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto ( STS de 5 de junio de 1998). Por lo expuesto y en relación con los criterios de graduación de las sanciones recogidos en el artículo 40, tanto favorables como adversos, se propone a ADGOALS una sanción de 1.500 €. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ADGOALS MEDIA S.L. con NIF B93575603, por una infracción del artículo 21.1 y 2 de la LSSI, tipificada como leve en el artículo 38.4.
  37. d)de la LSSI, una multa de 1.500 €, de conformidad con lo establecido en el artículo 39.1.
  38. c)de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a ADGOALS MEDIA S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  39. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  40. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.