← España

PS-00282-2016

1/20 Procedimiento Nº PS/00282/2016 RESOLUCIÓN: R/02762/2016 En el procedimiento sancionador PS/00282/2016, instruido por la Agencia Española de Protección de Datos a la entidad CEPSA COMERCIAL PETROLEO, SAU, vista la denuncia presentada por Don E.E.E. , y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 12 de enero de 2016, tuvo entrada en esta Agencia un escrito interpuesta por Don E.E.E., cuyos aspectos más relevantes se describen a continuación: 1. Es titular de la tarjeta de fidelización de COMPAÑIA ESPAÑOLA DE PETRÓLEOS SOCIEDAD ANÓNIMA,S.A. del programa “Porqué tú vuelves”., en la actualidad gestionado por CEPSA COMERCIAL PETROLEO, SAU, en adelante CEPSA o la denunciada. 2. Recibe correos electrónicos en su cuenta K.K.K. con origen en la dirección F.F.F. de manera tan frecuente que solicita la baja de la lista de destinatarios el 5 de noviembre de 2015. 3. A pesar de haber solicitado la baja de la lista de destinatarios continúa recibiendo correos electrónicos por lo que reitera su solicitud hasta que, el 16 de diciembre de 2015, recibió confirmación de que su baja será tramitada en un plazo de 30 días desde su recepción. 4. A pesar de todo, continúa recibiendo correos electrónicos de dicha compañía. La denuncia aporta copia de la siguiente documentación:

  1. a)Correos electrónicos recibidos junto con sus cabeceras.
  2. b)Solicitud/es de baja enviadas.
  3. c)Respuesta recibida a la/s solicitud/es de baja enviada/s. Como respuesta a la solicitud de subsanación remitida por esta Agencia, con fecha de 15 de marzo y 13 de abril de 2016, tienen entrada en esta Agencia dos correos electrónicos del denunciante en el que aporta las cabeceras completas de los correos electrónicos aportados en su anterior escrito. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia tienen conocimiento de los siguientes extremos: 1. El denunciante envió solicitudes de baja desde su cuenta K.K.K. a la dirección G.G.G. los días 5 de noviembre, 9, 13, 15 y 30 de diciembre de 2015. Las primeras dos solicitudes de baja (5 de noviembre y 9 de diciembre) fueron C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20 enviadas en blanco, sin texto alguno. Las siguientes dos solicitudes (13 y 15 de diciembre) incluían un texto con el NIF y el número de tarjeta “Porque tú vuelves”. La última solicitud incluía únicamente con el NIF del denunciante. 2. El denunciante recibe un correo desde la dirección D.D.D. el 16 de diciembre, en el que se le informa de que su solicitud de no recibir comunicaciones comerciales consta desde el día 23 de noviembre de 2015 y empieza a ser efectiva a partir de 30 días de su gestión. El correo electrónico se envía como respuesta a la solicitud de 9 de diciembre de 2015, cuyo contenido aparece a continuación del texto de respuesta. El denunciante recibe un correo similar el 18 de diciembre de 2015, con idéntica información, pero en respuesta a la solicitud de 13 de diciembre de 2015, cuyo contenido aparece a continuación del texto de respuesta Ambas confirmaciones tiene como origen un servidor de correo electrónico cuya dirección IP está asignada a CEPSA. 3. El denunciante recibe en su cuenta de correo I.I.I. correos electrónicos con origen en la cuenta F.F.F. en las siguientes fechas: Número 1 Fecha 28/12/2015 2 30/12/2015 3 31/12/2015* 4 31/12/2015* 5 03/01/2016 * El día 31 recibe dos correos electrónicos Los correos electrónicos contienen información comercial referente a productos y servicios de CEPSA. 4. Los correos electrónicos contienen en el pie un texto con un enlace para solicitar no recibir más comunicaciones comerciales. El texto indica que se deberá proporcionar el DNI y el número de tarjeta “Porque tú vuelves” o los últimos cuatro números de la tarjeta VISA “Porque tú vuelves”, según el caso. 5. El dominio F.F.F. está registrado a nombre de CEPSA. Al tratar de acceder al sitio web alojado en el dominio F.F.F., se redirige al usuario al sitio web www. G.G.G.. En la página de “Aviso legal” del sitio web se identifica a CEPSA como responsable del mismo. 6. La dirección IP que identifica el ordenador origen de los correos denunciados estuvo asignada en el momento de los hechos denunciados a la empresa Retarus GmbH, un proveedor de servicios de telecomunicaciones en la nube. En el sitio web de la entidad se identifica a CEPSA como uno de sus clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 7. En respuesta a la solicitud de información realizada por el inspector actuante a CEPSA, se recibe un escrito de los representantes de CEPSA COMERCIAL PETROLEO, S.A.U., en el que la entidad en referencia a los hechos denunciados aporta documentación y realiza manifestaciones que a continuación se resumen: 7.1. La entidad que gestiona el programa “Visa PORQUE TÚ VUELVES” es CEPSA COMERCIAL PETROLEO, S.A.U.. 7.2. Confirman la recepción de las solicitudes de baja y el envío de las respuestas que figuran en los puntos 1 y 2. Se aporta impresión de pantalla de los sistemas de información de la entidad en el que figura, como fecha de bloqueo de los datos del denunciante para el envío de comunicaciones comerciales se produjo el 23 de noviembre de 2015 En cuanto al retraso en la resolución de las solicitudes manifiestan que:  Al llegar la primera no se incluía ni el DNI ni el número de tarjeta del destinatario, por lo que no pudieron identificarlo inicialmente.  Cuando recibieron la segunda solicitud el 9 de diciembre de 2015 ya habían conseguido localizarlo en la base de datos por lo que se le contestó con el 16 de diciembre de 2015, cruzándose con la tercera solicitud de baja enviada por el denunciante el día 13 de diciembre. 7.3. Respecto de las comunicaciones recibidas por el denunciante que constan en el punto 3, manifiestan que todas ellas incluían una nota legal informando sobre el ejercicio de los derechos ARCO que asisten a los destinatarios. 7.4. En relación con el motivo por el que se continuaron remitiendo comunicaciones al denunciante, la entidad manifiesta que distingue entre lo que da en llamar “comunicaciones informativas”, que se refieren a las ventajas y beneficios del programa en la compra y contratación de productos y servicios de CEPSA, y las “comunicaciones publicitarias de terceros”. CEPSA manifiesta que los correos electrónicos denunciados, que califica como informativos, fueron enviados al entender “….que el ejercicio del derecho de oposición del denunciante y su negativa a recibir publicidad de CEPSA, se refería "exclusivamente" a las "comunicaciones publicitarias de terceros".” CUARTO: Con fecha 17 de junio de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CEPSA COMERCIAL PETROLEO, SAU por la presunta infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 38.4.
  4. d)de dicha norma, pudiendo ser sancionada con multa de hasta 30-000 €, de acuerdo con el artículo 39.1.
  5. c)de la LSSI. QUINTO: Notificado el citado Acuerdo de inicio, con fecha 11 de julio de 2016 CEPSA presentó alegaciones solicitando, en su condición de sociedad del grupo CEPSA responsable del tratamiento de los datos del programa de Fidelización de la Tarjeta “PORQUE TÚ VUELVES”, el archivo del procedimiento con fundamento, en síntesis, en los siguientes extremos: - El denunciante recibió las comunicaciones denunciadas en su condición de cliente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 de CEPSA y miembro del citado programa, al que está suscrito desde el 12 de diciembre de 2007. - CEPSA no identificó la solicitud de baja de fecha 5 de noviembre de 2015 por no constar en el correo el DNI del remitente o su nº de tarjeta del programa, figurando únicamente, al igual que en la segunda solicitud recibida el 9 de diciembre de 2015, la dirección desde las que se enviaron. No obstante cuando CEPSA recibió esta segunda solicitud de baja ya había localizado al denunciante en su base de datos, contestando al afectado con fecha 16 de diciembre de 2016 en el sentido de que con fecha 23 de noviembre de 2015 ya había tomado nota en su base de datos a fin de no remitirle comunicaciones comerciales. Aducen que se produjo un cruce de correos, ya que el 16 de diciembre de 2015 ya se había recibido en CEPSA la solicitud de baja del denunciante de fecha 13 de diciembre de 2015, en la que éste comunicaba su número de DNI y su número de tarjeta de fidelización, que sirvió para confirmar que se había marcado correctamente dicho bloqueo. Con fecha 18 de diciembre de 2016 se reitera al denunciante la fecha del bloqueo. Todo lo cual muestra que CEPSA atendió la solicitud del denunciante de no recibir envíos comerciales. - Los correos electrónicos remitidos informaban el modo de ejercitar los derechos ARCO previstos en la LOPD y ofrecían un mecanismo de oposición conforme prevé la LSSI, cuya copia se adjunta al no haberla presentado el denunciante. También se aporta impresión del “Aviso Legal de la Tarjeta PORQUE TÚ VUELVES” consultable en el enlace de la web ¡Error! Referencia de hipervínculo no válida. cuya URL facilitan, en el que se informa sobre las finalidades para las que se utilizarán los datos y se informa sobre el ejercicio de los derechos ARCO de la LOPD, así como impresión de las Condiciones Generales de Fidelización de la Tarjeta “Visa PORQUE TÚ VUELVES DE CEPSA” publicadas en la citada web, que indican aceptó el denunciante . Los correos electrónicos denunciados son comunicaciones informativas remitidas por CEPSA en el marco de sus obligaciones a los titulares de sus tarjetas de fidelización respecto de las ventajas y beneficios promocionales , a los que informa del sistema de canje de los puntos obtenidos por el consumo de combustibles y de otros productos y servicios de su Red de estaciones. CEPSA precisa que las comunicaciones remitidas a las personas físicas que participan en el mencionado programa son de dos clases:
  6. a)las “comunicaciones informativas” del propio programa y de los productos y servicios del grupo CEPSA, referidas a cómo puede gestionar el titular de la tarjeta el programa PORQUE TÚ VUELVES y b), las “ comunicaciones publicitarias de terceros” que se refieren a productos y servicios de entidades de distintos sectores ajenos al sector petrolero o al sector energético con las que CEPSA mantiene algún tipo de acuerdo previo. Según CEPSA la Condición General Séptima de las “Condiciones Generales de Fidelización de la Tarjeta VISA CEPSA Porque TU Vuelves” recaba el consentimiento diferenciado para cada uno de los tipos de comunicación citados (folio 197), habiéndose entendido que el derecho de oposición del reclamante y su negativa a recibir publicidad de CEPSA se refería exclusivamente a las comunicaciones publicitarias de terceros, por lo que siguió enviando al denunciante comunicaciones informativas, respecto de las cuales el denunciante no ha solicitado su baja en el programa de Tarjetas “Visa PORQUE TÚ VUELVES”, estando, por tanto, CEPSA legitimada para su envío. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 - La empresa ha cumplido el régimen jurídico regulado en la LSSI, existiendo en la normativa interna del Grupo CEPSA, al que pertenece la denunciada, procedimientos específicos para la protección de datos de carácter personal, cuya copia aporta, que fueron revisados en septiembre de 2015, permitiendo formar e informar a los empleados de las sociedades de dicho grupo. SEXTO: En fecha 13 de julio de 2016 se inició por la Instructora del procedimiento la apertura de un período de práctica de pruebas, acordándose: 1. Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante CEPSA COMERCIAL PETROLEO, SAU, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01079/2016. 2. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00282/2016 presentadas por CEPSA COMERCIAL PETROLEO, SAU, y la documentación que a ellas acompaña. 3. Dar por reproducido a efectos probatorios impresión del resultado obtenido al acceder a los enlaces: http://www. C.C.C. H.H.H.aviso_legal_ptv.htm http://www. C.C.C.s/bases_legales_VISAptv.htm http://www. G.G.G./cepsa/Que_ofrecemos/Tarjetas/ 4. Solicitar a CEPSA COMERCIAL PETROLEO, SAU, contestación siguientes extremos y aportación de la documentación que se indica: a los 4.1 Remisión de los términos exactos de la Política de Privacidad y de las Condiciones Generales del programa “Porque Tu Vuelves” vigentes en la fecha en que el denunciante se dio de alta en el programa de Fidelización de la Tarjeta “Visa PORQUE TÚ VUELVES”. 4.2 Acreditación de que el denunciante aceptó al darse de alta en el programa la recepción de las comunicaciones que CEPSA denomina “informativas” y “publicitarias de terceros”. 4.3 Acreditación y detalle de los datos exactos facilitados por el denunciante a fecha 12 de diciembre de 2007. 4.4 Motivos por los que esa entidad entendió que la negativa del denunciante únicamente se refería a las “comunicaciones publicitarias de terceros” 4.5 Especificación del procedimiento establecido para darse de baja de las denominadas “, comunicaciones informativas “, con aclaración de si requiere darse de baja de la Tarjeta “VISA PORQUE TÚ VUELVES” 4.6 Causa por la que el procedimiento de baja de emails comerciales requiere la facilitación por parte de los usuarios de su DNI y determinada información de las Tarjetas de las que son titulares. 5. Solicitar al denunciante contestación a si se ha dado, o no, de BAJA en el programa de la Tarjeta “Visa PORQUE TÚ VUELVES”. También en el marco del citado período de pruebas, con fecha 10 de agosto de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 2016 se acordó solicitar a la entidad WiThink BANK, S.A. , anteriormente CITIBANK ESPAÑA, S.A., la remisión de copia del Formulario de Solicitud de la “Tarjeta VISA PORQUE TÚ VUELVES” firmado por el denunciante en diciembre de 2007, toda vez que CEPSA COMERCIAL PETRÓLEO, SAU ha informado a esta Agencia que ese Banco era la sociedad depositaria del formulario de solicitud de la Tarjeta VISA, según el acuerdo firmado con dicha empresa el 5 de marzo de 2005. SÉPTIMO: Con fecha 25 de julio de 2016 el denunciante informa que a esa fecha mantiene activa la tarjeta “Visa PORQUE TÚ VUELVES”, que sólo utiliza para repostar combustible. Con fecha 26 de julio de 2016, el denunciante presenta nuevo escrito aportando capturas de cuatro SMSs recibidos, según afirma, en su teléfono móvil con ofertas y promociones publicitarias relacionadas con la tarjeta “Visa Porque tú vuelves” enviados por Popular-e, ello a pesar de sus solicitudes de baja de envíos comerciales o publicitarios por cualquier medio de comunicación y ante todo organismo gestor relacionado con la mencionada tarjeta Visa. En dicho escrito, el denunciante, no acredita la titularidad de la línea de teléfono receptora de dichos envíos ni que hayan sido recibidos en la misma, no constando tampoco en el expediente que éste haya ejercido el derecho de oposición al tratamiento de sus datos personales con fines publicitarios ante Banco Popular-e, en la actualidad WiZink BANK, S.A.. OCTAVO: Con fecha 8 de agosto de 2016 se registra de entrada escrito de contestación de CEPSA en el que se señala lo siguiente: - Que bajo su denominación social anterior CEPSA ESTACIONES DE SERVICIO, S.A., firmó con el Banco CITIBANK ESPAÑA, S.A., en adelante CITIBANK, un Acuerdo para la Emisión y Comercialización de la Tarjeta CITIBANK”, siendo dicho Banco el emisor de la Tarjeta “VISA PORQUE TÚ VUELVES” . Dicho acuerdo fue modificado mediante ADDENDUM de fecha 1 de junio de 2006. Esta colaboración ha continuado tras la adquisición por BANCO POPULAR-e, S.A., en la actualidad WiZink BANK, S.A., de los negocios de Banca de tarjetas y Sucursales del Banco CITIBANK con fecha 23 de septiembre de 2014. Observan que a fecha de la presentación del escrito se han modificado las Condiciones Generales del Programa de la mencionada Tarjeta, aportando impresión de la nueva versión en la que se recoge el cambio de denominación de la entidad bancaria emisora que colabora con CEPSA en el programa de la Tarjeta. Posteriormente, BANCO POPULAR-E, S.A., ha modificado su denominación social pasando a ser WiZink BANK, S.A., cambio que ya se recoge en las “Condiciones Generales de Fidelización de la Tarjeta VISA CEPSA PORQUE TU VUELVES” actualmente accesibles en el sitio web del grupo CEPSA www. G.G.G. - Para la obtención de los términos exactos de la Política de Privacidad y Condiciones Generales del Programa a fecha 12/12/2007 remiten al Banco Emisor que custodia el formulario de solicitud firmado por el denunciante, actualmente WiZink BANK, S.A , conforme con su condición de depositaria de las solicitudes de las Tarjetas recogida en la copia de citado Acuerdo de fecha 8 de marzo de 2005 y en su Addendum de fecha 1 de junio de 2006. - Se reiteran C/ Jorge Juan, 6 28001 – Madrid en las finalidades de las comunicaciones informativas señaladas www.agpd.es sedeagpd.gob.es 7/20 en las alegaciones al acuerdo de inicio, incidiendo en que son generalistas y útiles para que el titular de la tarjeta tenga conocimiento de todas las cuestiones prácticas de uso y mejor aprovechamiento de las ventajas del programa. Añaden que la continuidad en el uso de la Tarjeta pone de manifiesto que con la reiteración de su uso confirman su aceptación de las Condiciones en las que las Tarjetas se emitieron en su día, no teniendo previsto la entidad cesar en el envío de comunicaciones informativas a dichos titulares. - La identificación de los titulares de datos de carácter personal ha sido una constante en las Condiciones iniciales y modificaciones del Programa para impedir suplantaciones de personalidad. A ello están obligados con la entidad bancaria emisora contractualmente, siendo una práctica habitual requerir la fotocopia de un documento acreditativo de identidad en Servicio CEPSA de Atención al Cliente. Además, en las Condiciones Generales de Fidelización de la Tarjeta publicadas en la web y en el Anexo 4 al Acuerdo de fecha 8 de marzo de 2005 la identidad del titular de la Tarjeta es necesaria para la gestión integral del programa por parte de CEPSA y de la entidad Bancaria emisora. - Adicionalmente, indican que el Documento SIETE del escrito de alegaciones, ha de referenciarse en la actualidad al Documento CINCO aportado en el escrito de contestación a las pruebas requeridas. NOVENO: Con fecha 25 de octubre de 2016 se formuló propuesta de resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionase a CEPSA COMERCIAL PETROLEO, SAU con multa de 5.700 € (Cinco mil setecientos euros) por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  7. d)de dicha norma, de conformidad con lo establecido en los artículos 39.1.
  8. c)y 40 de la citada LSSI. Dicha propuesta de resolución fue notificada de octubre de 2016. a dicha empresa con fecha 26 HECHOS PROBADOS PRIMERO: Con fecha 12 de enero de 2016 se registra de entrada escrito de Don E.E.E., en adelante el denunciante, indicando que continuaba recibiendo comunicaciones comerciales de la Compañía CEPSA con posterioridad al envío de cinco solicitudes de baja de todo tipo de publicidad comercial remitidas por su parte a la denunciada, y a pesar de que ésta le ha confirmado por dos ocasiones, vía email, que le constaba de forma correcta su petición de no recibir tales envíos desde el día 23 de noviembre de 2015, baja que empezaba a ser efectiva a partir de los 30 días de su gestión. (folios 1 al 3) SEGUNDO: Con fecha 8 de marzo de 2005 se suscribe contrato de “Acuerdo para la Emisión y Comercialización de la Tarjeta CEPS-CITIBANK” entre CITIBANK ESPAÑA, S.A. y CEPSA ESTACIONES DE SERVICIO, S.A., en la actualidad CEPSA COMERCIAL PETRÓLEO, SAU, cuyo objeto es “la emisión, comercialización y gestión conjunta de una Tarjeta de pago, conocida con el nombre de CEPSA-CITIBANK” (folios 289 al 319) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 Dicho Acuerdo se modifica y amplia mediante ADDNDUM de fecha 1 de junio de 2006 (folios 320 al 332) Con fecha 23 de septiembre de 2014 los negocios de Banca de Tarjetas y Sucursales de CITIBANK ESPAÑA, S.A. son adquiridos por BANCO POPULAR-E, S.A., dando lugar a la firma de un “Anexo al Acuerdo para la Emisión y Comercialización de la Tarjeta VISA CEPSA PORQUE TU VUELVES” entre BANCO POPULAR-E, S.A., y CEPSA COMERCIAL PETRÓLEO, SAU de fecha 23 de diciembre de 2014. (folios 279, 333 al 338) Posteriormente, BANCO POPULAR-E, S.A., ha modificado su denominación social pasando a ser WiZink BANK, S.A. (folio 279) TERCERO: Con fecha 23 de noviembre de 2007 el denunciante cumplimentó formulario en papel para ser titular de la Tarjeta “Visa PORQUE TÚ VUELVES” de CITIBANK y suscribirse al programa de fidelización “Porque Tú Vuelves” de CEPSA ESTACIONES DE SERVICIOS, S.A. (folios 358 y 359) CUARTO: En las Condiciones Primera y Séptima de las “Condiciones Generales de Fidelización de la Tarjeta VISA CEPSA Porque Tú Vuelves” incluidas en el formulario de solicitud suscrito por el denunciante consta: (folios 358 y 359) “PRIMERA. OBJETO 1.1 Objeto: El Programa de Fidelización “Porque Túy Vuelves” es un sistema promocional promovido por CEPSA ESTACIONES DE SERVICIOS, S.A. (en adelante CEPSA EE.SS) La Tarjeta VISA CEPSA Porque Tú Vuelves es personal e intransferible. Los titulares podrán obtener puntos-descuento para su posterior canje por los productos o servicios recogidos en los catálogos y ofertas adiciones que en cada momento estén vigentes cada vez que paguen con la Tarjeta VISA CEPSA Porque Tú Vuelves . 1.2 Titulares. Serán titulares de la cuenta de puntos “Porque Tú Vuelves”, los titulares de la Tarjeta VISA CEPSA Porque Tú Vuelves . El titular, cuya firma aparece en el dorso de la Tarjeta, se entenderá que coincide en todo momento con el tenedor de la misma, salvo denuncia de robo o extravío.” “SEPTIMA. PROTECCIÓN DE DATOS ” El solicitante de la Tarjeta VISA CEPSA Porque Tú Vuelves queda informado de que sus datos serán utilizados por CEPSA ESTACIONES DE SERVICIO, SA de modo confidencial e informatizado para gestionar la cuenta de puntos “Porque Tú Vuelves” asociada a la Tarjeta . Mediante la firma del formulario de solicitud y, de acuerdo con la legislación vigente, se presta el consentimiento de modo expreso por el solicitante de la Tarjeta VISA CEPSA Porque Tú Vuelves para recibir comunicaciones comerciales que tanto por medios convencionales como electrónicos, pueda enviarle CEPSA ESTACIONES DE SERVICIO, SA y autoriza la grabación de conversaciones telefónicas para la mejor calidad de la prestación del Servicio de Atención al Cliente, a través del número 902******. El solicitante presta el consentimiento expreso para la cesión de sus datos personales a empresas vinculadas en el sistema promocional de la Tarjeta Tarjeta VISA CEPSA Porque Tú Vuelves para comunicaciones comerciales en relación con las actividades que dichas empresas realizan y que pueden consultarse en los catálogos de CEPSA y en la página web www. C.C.C. . De acuerdo con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 Legislación sobre Protección de Datos de carácter Personal , el titular de la Tarjeta VISA CEPSA Porque Tú Vuelves podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición por correo postal remitido a CEPSA ESTACIONES DE SERVICIOS SA (Dpto. de Marketing) a la (C/...1) Madrid. Con el escrito, se adjuntará una fotocopia del DNI. El ejercicio de derechos no tendrá carácter retroactivo.” QUINTO: Con fecha 12 de diciembre de 2007 se expidió a nombre del denunciante Tarjeta “VISA Porque Tu Vuelves” con el número ***NÚM.1 (folios 93 y 173) SEXTO: Consta que el denunciante remitió desde la cuenta de correo de su titularidad K.K.K. a la dirección de correo electrónico G.G.G. las siguientes solicitudes de baja, para lo que empleó el enlace contenido en los propios envíos: - Solicitud de fecha 5 de noviembre de 2015 .sin asunto ni texto. CEPSA ha reconocido su recepción (folios 5, 22, 47, 93) - Solicitud de fecha 9 de diciembre de 2015, sin asunto ni texto. CEPSA ha reconocido su recepción, (folios 6, 23,48, 93 ) - Solicitud de fecha 13 de diciembre de 2015, con Asunto: “Baja envíos comerciales” , en la que el denunciante señala: “Solicitó baja de todo envío, publicidad, comercial:, proporciona su DNI y nº de Tarjeta “ VISA Porque Tu Vuelves” . (folios 7, 24, 36, 49) - Solicitud de fecha 15 de diciembre de 2015, con Asunto: “Baja”, en la que el denunciante indicaba: “Solicitó baja de todo envío, publicidad, comercial”, proporciona su DNI y nº de Tarjeta “ VISA Porque Tu Vuelves” y añade que la baja ya fue solicitada el día 13/12/2015 . (folios 8, 25,50 ) - Solicitud de fecha 30 de diciembre de 2015, con Asunto: “Reiterando baja total publicidad Cepsa” , en la que el denunciante requería: “a que atiendan mi petición de baja de todo tipo de información comercial (les reenvió su mensaje en el que consta perfectamente mi voluntad y el cual no están respetando).”. El afectado firmaba con su nombre y apellidos y número de DNI. (folios 13, 35, 55) SÉPTIMO: Consta que desde la cuenta de correo electrónico D.D.D. se enviaron a la cuenta de correo del denunciante K.K.K. las siguientes contestaciones del Servicio de Atención al Cliente de “Porque Tu Vuelves CEPSA” a sus solicitudes de baja: - Contestación de fecha 16 de diciembre de 2015, con el siguiente texto: (folios 9, 26 , 51101) “Estimado E.E.E.: Le confirmamos que nos consta de forma correcta su petición de no recibir comunicaciones comerciales desde el día 23/11/2015 e indicarle que empieza a ser efectiva a partir de los 30 días de su gestión” Este envío responde a la solicitud de baja de fecha 9 de diciembre de 2015 del denunciante - Contestación de fecha 18 de diciembre de 2015, con asunto “RE: Baja envíos comerciales” e idéntico contenido al realizado el 16 de diciembre de 2016. Este envío responde a la solicitud de baja de fecha 13 de diciembre de 2015 del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 denunciante (folios 10, 28, 29, 52, 103) OCTAVO: Con fechas 28, 30 y 31 de diciembre de 2015, y 3 de enero de 2016 el denunciante recibió en su cuenta de correo K.K.K. procedentes de la cuenta F.F.F. un total de cinco comunicaciones comerciales electrónicas (el día 31 de diciembre de 2015 recibió dos envíos) asociadas al programa “Porque Tú Vuelves” de CEPSA, en las que CEPSA COMERCIAL PETÓLEO, SAU promocionaba el repostaje de carburante en las estaciones de servicio del grupo CEPSA mediante la participación en distintos tipos de promociones y ventajas, tales como: sorteos de películas online wuaki.tv, viajes a Nueva York, carritos de la compra Carrefour, premios de un año de carburante gratis o de descuentos en carburante. (folios 11, 12, 14 al 16, 32 al 34, 53, 54, 56 al 58, 104, 105, 106 ). NOVENO: Al pie de las cinco siguiente texto: (folios 30 al 42) comunicaciones comerciales citadas se incluía el “Los datos utilizados para este envío proceden de los ficheros generados con la información que nos facilitó al darse de alta como socio, aceptado las condiciones generales del programa “Porque TU Vuelves” y el envío de comunicaciones comerciales. Podrá ejercitar sus derechos de acceso, rectificación, cancelación y oposición mediante escrito dirigido a Cepsa Comercial Petróleo, SAY, con domicilio en. B.B.B. (Dep. Marketing-Cliente Partiuclar),acompañando fotocopia de su D.N.I. . Si no quiere recibir más emails comerciales, pinche aquí, indicándonos (
  9. i)su D.N.I. y nº de tarjeta, en el supuesto que se refiere a comunicaciones comerciales sobre la Tarjeta Porque TU Vuelves, y (
  10. ii)su D.N.I. y los 4 últimos dígitos de la tarjeta, si se refiere a la Tarjeta VISA Cepsa Porque TU Vuelves. “ DÉCIMO: En los sistemas de CEPSA los datos del denunciante figuran como bloqueados desde el 23 de noviembre de 2015. (folio 102). FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
  11. d)e
  12. i)y 38.4 d),
  13. g)y
  14. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21.1 y 22.1 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Por lo tanto, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. A su vez, el artículo 22.1 de la LSSI, que establece como “Derechos de los destinatarios de los servicios” que: “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 dichos procedimientos” De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
  15. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
  16. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
  17. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. A continuación, la Ley pasa a determinar los supuestos, recogidos en el párrafo segundo del Anexo
  18. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
  19. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros representen una actividad económica, los siguientes: (…) y siempre que 4º El envío de comunicaciones comerciales. ” (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
  20. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV Antes de entrar a valorar si los envíos denunciados contaban con el consentimiento expreso de su destinatario, debe analizarse si los correos electrónicos estudiados responden a la definición de comunicación comercial recogida en el apartado
  21. f)del Anexo de la LLSI, que, se recuerda, establece como tal “toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional.” . En su escrito de alegaciones al acuerdo de inicio, CEPSA ha manifestado que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 los correos electrónicos denunciados tienen naturaleza de “comunicaciones informativas” añadiendo que “entendió que el ejercicio del derecho de oposición del Reclamante y su negativa a recibir publicidad de CEPSA, se refería “ A.A.A.”. Por ello se procedió a gestionar el derecho de oposición en sus Bases de Datos, bloqueando los datos personales de contacto del Reclamante con fecha 23 de noviembre de 2015 para que no se le volvieran a realizar “comunicaciones publicitarias de terceros” CEPSA siguió enviando al Reclamante “comunicaciones informativas”. La mera lectura de las cinco comunicaciones objeto de análisis enerva que se trate de meros envíos informativos cursados “para que el titular de la tarjeta de fidelización sepa cómo actuar para el uso y canje de sus puntos por los beneficios (bienes, servicios, participación en sorteos, etc…) del programa en las Estaciones de Servicio de la Red CEPSA.”. Así, ninguno de los envíos incluye información específica y exclusiva sobre el modo de gestionar la tarjeta y/o los servicios del programa, promocionando, por el contrario, el repostaje de carburante en las estaciones de servicio del grupo CEPSA a través de ofertas consistentes en la participación del destinatario de los envíos en distintos tipos de promociones y ventajas como titulares de la Tarjeta “Visa PORQUE TÚ VUELVES” y miembros del programa de fidelización del programa “PORQUE TÚ VUELVES”. Conviene resaltar que la información sobre productos y servicios comercializados por las empresas del Grupo CEPSA constituye información comercial, al igual que la promoción de “actividades que abarcan el objeto social de la entidad, y, en particular, aquellas relacionadas con la comercialización y distribución de combustibles y carburantes y demás servicios complementarios, a través de su Red Comercial. “ a las que se refiere la Condición General Séptima del documento de “Condiciones Generales de Fidelización de la tarjeta VISA CEPSA Porque TU Vuelves” y que esa entidad considera, erróneamente, como comunicaciones informativas. Apoyan también la naturaleza comercial de los correos electrónicos denunciados las siguientes circunstancias: C/ Jorge Juan, 6 28001 – Madrid - Al pie de los mismos se ofrece un enlace para no recibir más emails comerciales en los siguientes términos: “Si no quiere recibir más emails comerciales, pinche aquí, indicándonos (
  22. i)su D.N.I. y nº de tarjeta, en el supuesto que se refiere a comunicaciones comerciales sobre la Tarjeta Porque TU Vuelves, y (
  23. ii)su D.N.I. y los 4 últimos dígitos de la tarjeta, si se refiere a la Tarjeta VISA Cepsa Porque TU Vuelves. “ - Dicho mecanismo de baja está precedido por una leyenda informando sobre el modo de ejercitar los derechos ARCO que también se refiere al envío de comunicaciones comerciales, y cuyo literal es: “Los datos utilizados para este envío proceden de los ficheros generados con la información que nos facilitó al darse de alta como socio, aceptado las condiciones generales del programa “Porque TU Vuelves” y el envío de comunicaciones comerciales. Podrá ejercitar sus derechos de acceso, rectificación, cancelación y www.agpd.es sedeagpd.gob.es 15/20 oposición mediante escrito dirigido a Cepsa Comercial Petróleo, SAU, con domicilio en. B.B.B. (Dep. Marketing-Cliente Partiuclar),acompañando fotocopia de su D.N.I.”. - En la condición Primera de las “Condiciones Generales de Fidelización de la Tarjeta VISA CEPSA Porque Tú Vuelves” del Formulario de Solicitud de Tarjeta “ Visa PORQUE TÚ VUELVES” figura que “El programa de Fidelización “Porque Tú Vuelves” es un sistema promocional promovido por CEPSA ESTACIONES DE SERVICIOS, SA,” en la actualidad gestionado por CEPSA COMERCIAL PETRÓLEO, SAU. - En las contestaciones emitidas por CEPSA a las solicitudes de baja del denunciante con fechas 16 y 18 de diciembre de 2016 no se hacía ninguna excepción en lo que se refiere a la confirmación de la baja de los envíos de comunicaciones comerciales. - La documentación aportada por CEPSA durante la tramitación del procedimiento relativa a los documentos “Aviso Legal” y/ o “Términos y Condiciones” del servicio del programa de Fidelización “Porque Tu Vuelves” vigentes desde la suscripción del denunciante a dicho programa no contiene ninguna referencia a “comunicaciones informativas”. Todas estas circunstancias permiten negar que se trate de envíos meramente informativos como pretende la entidad imputada, ya que por sus características y contenido se ajusta al amplio concepto de “comunicación comercial” recogido en el apartado
  24. f)del Anexo de la LSSI. En consecuencia, los correos electrónicos analizados constituyen un medio a través del cual CEPSA publicita y promocionar los productos y servicios objeto de actividad entre los afiliados al mencionado programa. V Probado que las comunicaciones denunciadas tenían naturaleza comercial, debe dilucidarse si su remisión al denunciante por parte de CEPSA constituye infracción leve al artículo 38.4.
  25. d)de la LSSI por vulneración de lo dispuesto en el artículo 21.1 de dicha norma. En el presente supuesto, de la valoración del conjunto de elementos fácticos obrantes en el procedimiento, se acredita que la denunciada envío cinco comunicaciones comerciales a la cuenta de correo electrónico del denunciante K.K.K. desde la dirección de correo electrónico F.F.F. con fechas 28, 30 y 31 de diciembre de 2015, y 3 de enero de 2016 sin contar con la autorización previa y expresa del destinatario de las mismas para ello (Hecho Probado 8) Dicha afirmación se sustenta en que CEPSA remitió las cinco comunicaciones comerciales objeto de estudio transcurridos diez días hábiles desde el 23 de noviembre de 2015, fecha en la que los datos del denunciante fueron bloqueados en sus sistemas para impedir el envío de comunicaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/20 comerciales, tal y como esa empresa informó al denunciante en sus respuestas de fechas 16 y 18 de diciembre de 2015, motivo por el que dicha entidad no debió remitir al denunciante entre el 28 de diciembre de 2015 y el 3 de enero de 2016 ninguno de los cinco correos electrónicos comerciales estudiados promocionando servicios y productos comercializados por empresas del grupo CEPSA, máxime cuando dicha empresa ha recocido que cuando el día 9 de diciembre de 2016 recibió la segunda solicitud de baja del afectado ya había localizado al mismo en su Base de Datos (folio 166). También resulta relevante a estos efectos tener en cuenta que el denunciante solicitó el cese de los emails comerciales utilizando el enlace de baja incluido en los propios envíos comerciales de la denunciada con dicha finalidad. Es decir, usó uno de los medios ofrecidos por esa empresa para gestionar la revocación a la recepción de comunicaciones comerciales por medios de comunicación electrónica. Además, en todos los correos electrónicos de solicitud de baja del denunciante recibidos por CEPSA, incluidos los del 5 de noviembre y 9 de diciembre de 2015, aparecía la cuenta de correo electrónico del denunciante, que era en la que recibía los envíos cuyo cese estaba solicitando y desde la que utilizó el citado enlace. De este modo, a través de dicho dato la denunciada podía identificar fácil y rápidamente al cliente que estaba usando la dirección de correo electrónico G.G.G. habilitada para gestionar la baja de los envíos comerciales, pudiendo así hacer efectiva la revocación al consentimiento inicialmente prestado por el denunciante a su recepción cuando solicitó formar parte del programa de fidelización de la tarjeta VISA Cepsa Porque Tú Vuelves. En relación con esta cuestión, se recuerda que las solicitudes de baja efectuadas por el denunciante se referían a envíos publicitarios o comerciales efectuados por CEPSA mediante medios de comunicación electrónica, estableciéndose en el artículo 22.1 de la LSSI que: “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente.”. (El subrayado es de la AEPD) A la vista de la cronología de los hechos, queda patente que en las fechas en las que la denunciada envió las comunicaciones comerciales objeto de análisis no contaba con el consentimiento inicialmente prestado para remitirlas, ya que había recibido las peticiones de baja cursadas por el denunciante a través del mecanismo ofrecido por esa empresa con tal finalidad (Hechos Probados 6) y 7) , conociendo, por tanto, e incumpliendo la voluntad del denunciante de no continuar recibiendo comunicaciones comerciales de esa empresa en sus señas electrónicas. En este mismo sentido se pronuncia la Audiencia Nacional en un caso similar en su sentencia de fecha 18 de octubre de 2013, Rec. nº 162/2012, al señalar: “En el supuesto que nos ocupa, ha quedado acreditado que la entidad recurrente remitió más de 47 e-mails publicitarios a la denunciante desde octubre hasta diciembre de 2010, con posterioridad a la solicitud y confirmación de la cancelación de los datos de la denunciante, por lo que ha de considerarse infringido el citado precepto, al no contar con el consentimiento de la destinaria. Por otro lado, aunque en este supuesto hubiese existido una relación comercial previa con la destinataria, ésta no le habilita a remitir publicidad comercial cuando el cliente ha manifestado, como es el caso que nos ocupa, su expreso deseo de no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/20 recibirla, pues la excepción prevista en el apartado segundo del citado art. 21 de la Ley 34/2002, de 11 de julio, establece expresamente la posibilidad de ofrecer al destinatario “la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija”. Más en el presente supuesto en que se había procedido a la cancelación de los datos de la denunciante. Carece de relevancia, por tanto, el sistema que para los envíos publicitarios tuviera establecido la entidad recurrente, pues no se trata tanto de cuestionar el tratamiento indebido de datos sino de impedir el envío de publicidad no consentida, para lo cual la empresa dispuso de tiempo suficiente para articular los mecanismos correctores necesarios para evitar que se siguiera mandando publicidad comercial a la denunciante” De lo razonado, se colige que ha quedado probado que la entidad denunciada ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI, toda vez que envió cinco comunicaciones comerciales al correo electrónico del denunciante que no habían sido previamente autorizadas o expresamente solicitadas por ésta, no cabiendo en este supuesto aplicar la excepción al consentimiento recogida en el artículo 21.2 de la LSSI al haberse revocado por el denunciante la autorización otorgada para su envío en el momento de la suscripción al programa de fidelización. VI El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos) La definición de prestador del servicio se contiene en el apartado
  26. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. En este caso la actividad desarrollada por CEPSA se encuentra enmarcada en la referida definición de prestador de servicios. De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  27. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/20
  28. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”.
  29. h)“El incumplimiento de la obligación del prestador de servicios establecida en el apartado 1 del artículo 22, en relación con los procedimientos para revocar el consentimiento prestado por los destinatarios cuando no constituya infracción grave. En consecuencia, a la vista de los hechos que han resultado acreditados en la tramitación del procedimiento sancionador, la conclusión que se despende de los hechos y fundamentos de derecho anteriores es que la infracción del artículo 21.1 de la LSSI que se imputa a la denunciada ha de calificarse como infracción leve a lo previsto en el artículo 38.4.
  30. d)de la vigente LSSI, puesto que la remisión de cinco comunicaciones comerciales no autorizadas a la cuenta de correo electrónico del denunciante no puede calificarse como envío insistente o sistemático por parte de la entidad responsable de la remisión de dichos envíos . Todo lo cual lleva a considerar la existencia del elemento subjetivo de culpabilidad en la conducta de la denunciada en el ilícito administrativo imputado, ya que la misma responde a una acción típica, antijurídica, culpable y punible que constituye, tal y como se ha razonado, vulneración al artículo 21.1 de la LSSI por parte de CEPSA. VIII Según establece el art. 39.1.c), de la LSSI, las infracciones leves podrán ser sancionadas con multa de hasta 30.000 €, fijándose los criterios para su graduación en el artículo 40 de la misma norma, que dispone lo siguiente: “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  31. a)La existencia de intencionalidad.
  32. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  33. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  34. d)La naturaleza y cuantía de los perjuicios causados.
  35. e)Los beneficios obtenidos por la infracción.
  36. f)Volumen de facturación a que afecte la infracción cometida.
  37. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. En relación con los criterios de graduación de las sanciones recogidos en el transcrito artículo 40 de la LSSI, se considera que en este supuesto operan como agravantes los criterios
  38. a)y
  39. b)del mencionado artículo 40 de la LSSI. En concreto, si C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/20 bien no puede hablase de intencionalidad en la conducta descrita, sin embargo si se ha producido una evidente falta de diligencia por parte de la denunciada el remitir las comunicaciones comerciales denunciadas obviando que no disponía del consentimiento previo y expreso del denunciante para ello, teniendo , además, conocimiento de tal circunstancia cuando remitió dichos correos electrónicos comerciales no consentidos, tal y como se ha razonado en el Fundamento de Derecho V. De esta forma, las comunicaciones comerciales analizadas se remitieron transcurrido ampliamente el plazo máximo de diez días hábiles para hacer efectiva la baja a partir del momento en que tuvieron conocimiento de la identidad del solicitante de la baja, no siendo hasta el 3 de enero de 2016 que el denunciante recibió la última de las comunicaciones comerciales no deseadas. Se observa que el mencionado plazo de diez días hábiles se viene aplicando por la AEPD por analogía con lo dispuesto en el artículo 35 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, al no fijarse plazo alguno en el artículo 21.2 de la LSSI para que el prestador de servicios atienda la negativa expresada por el destinatario de los envíos al tratamiento de sus señas electrónicas con fines publicitarios recogido en dicho precepto. Asimismo, también se considera como agravante, el hecho de que CEPSA es una empresa habituada a la remisión de comunicaciones comerciales por correo electrónico, motivo por el que, en razón de su profesionalidad, le resulta exigible una conducta especialmente escrupulosa a la hora de hacer efectiva la prohibición recogida en el artículo 21.1 de la LSSI. No basta la mera implementación de procedimientos en orden al cumplimiento del derecho a no recibir comunicaciones comerciales electrónicas sino que, además, es necesario que dichos mecanismos sean, en la práctica, efectivos para garantizar los derechos de los destinatarios de tales envíos. Por todo lo cual, la AEPD considera que a la entidad denunciada le era exigible otra conducta diferente de la que observó en orden a velar por el cumplimiento de los derechos de los destinatarios de este tipo de envíos efectuados por medios de comunicación electrónica recogidos en la LSSI, causa por la que debió actuar con mayor cautela para asegurar la legalidad de su conducta. Paralelamente, se valoran como atenuantes los criterios d),
  40. e)y
  41. f)recogidos en el citado artículo 40 de la LSSI, y ello ante la falta de constancia tanto de que el denunciante haya sufrido perjuicios derivados de la comisión de la infracción imputada, como de que la entidad denunciada haya obtenido beneficios o algún impacto en su volumen de facturación con motivo de la comisión de la infracción del artículo 21.1 de la LSSI. Por lo tanto, se estima adecuado a la gravedad de los hechos analizados imponer una sanción de 5.700 € a CEPSA con arreglo a lo previsto en el artículo 40 de la LSSI, cuantía que se encuentra en la parte inferior de la horquilla correspondiente a la escala prevista para las infracciones leves. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/20 PRIMERO: IMPONER a la entidad CEPSA COMERCIAL PETROLEO, SAU, por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  42. d)de la LSSI, una multa de 5.700 € (Cinco mil setecientos euros) de conformidad con lo establecido en los artículos 39.1.
  43. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a CEPSA COMERCIAL PETROLEO, SAU, y a Don E.E.E. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.