← España

PS-00292-2017

1/12 Procedimiento Nº PS/00292/2017 RESOLUCIÓN: R/03142/2017 En el procedimiento sancionador PS/00292/2017, instruido por la Agencia Española de Protección de Datos a la entidad IBERIA LINEAS AEREAS DE ESPAÑA, S.A. OPERADORA, SOCIEDAD UNIPERSONAL, vista la denuncia presentada por D. E.E.E., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fechas 19/01 y 13/02/2017, tuvieron entrada en la Agencia Española de Protección de Datos (AEPD) sendos escritos presentados por D. E.E.E. (en lo sucesivo el denunciante), en los que formula denuncia contra la entidad IBERIA LINEAS AEREAS DE ESPAÑA, S.A. OPERADORA, SOCIEDAD UNIPERSONAL (en lo sucesivo IBERIA), por el envío de comunicaciones comerciales a su dirección de correo F.F.F., remitidos desde la dirección de correo ***EMAIL.1, a pasear de haber manifestado reiteradamente su oposición a la utilización de dicha dirección de correo electrónico con esa finalidad. Añade que en los correos recibidos se informa al destinatario que disponen de una dirección de correo electrónico mediante la que solicitar la baja de la lista de destinatarios y que hizo uso de este medio para manifestar su oposición a la recepción de correos promocionales, habiendo recibido confirmación de la correcta recepción de sus correos por parte de IBERIA. Con sus escritos de denuncia aportó copia de los correos electrónicos publicitarios recibidos en su cuenta de correo F.F.F., que se detallan a continuación: B.B.B. 1 2 3 4 5 ***EMAIL.1 ***EMAIL.1 ***EMAIL.1 ***EMAIL.1 ***EMAIL.1 25/10/2016 03/11/2016 25/11/2016 04/01/2017 19/01/2017 El correo electrónico de 04/01/2017, según consta en las cabeceras correspondientes, fue remitido desde el servidor “***URL.1”. Estos correos, que contienen información comercial referente a productos y servicios de IBERIA, incluyen una dirección de correo electrónico para el ejercicio del derecho a oponerse al tratamiento de sus datos con fines promocionales o revocar el consentimiento que se hubiese prestado previamente para el envío de este tipo de mensajes. El texto contenido en dichos correos es el siguiente: “Si en el futuro no desea recibir más comunicaciones comerciales, envíe un mensaje desde la cuenta receptora de esta comunicación a la dirección de correo ***EMAIL.1”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Y aportó copia de un correo electrónico de solicitud de baja de publicidad remitido desde la dirección de correo “ ***EMAIL.3” a “***EMAIL.2”, de fecha 20/09/2016. En este correo, el denunciante advierte que reitera su solicitud de baja en la recepción de comunicaciones comerciales, ya formulada con anterioridad en fechas 07 y 15/09/2016. Asimismo, aportó copia de otro correo remitido desde la misma dirección reseñada en el párrafo anterior a “***EMAIL.4” el 16/11/2016, manifestando que lleva desde el 15/09/2016 solicitando la baja del boletín comercial que remiten a su dirección F.F.F. sin que sus peticiones hayan sido atendidas. Y también aportó copia de las cabeceras de dos correos electrónicos, de fechas 21/10/2016 y 07/11/2016, remitidos desde ***EMAIL.6 a F.F.F. confirmando la baja de la newsletter. Estos correos electrónicos, según consta en las cabeceras correspondientes, fueron remitidos desde el servidor “***URL.1”. En ambos correos se indica: “Sentimos que se haya dado de baja de ***EMAIL.5. Atentamente. El ***EMAIL.6”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las comprobaciones siguientes: 1. En respuesta a la solicitud de información realizada, se recibió un escrito de IBERIA, en relación con los hechos denunciados, en el que informó lo siguiente: 1.1. En la lista de destinatarios del boletín newsletter de IBERIA consta el alta de la dirección de correo electrónico F.F.F. con fecha del 30/06/2016, que se corresponde con la compra de dos billetes para viajar el día 23/08/2016 realizada a través de la web ***EMAIL.10 La dirección de correo electrónico F.F.F. fue facilitada durante este proceso de compra online. 1.2. Los usuarios que reciben el boletín de noticias de ***EMAIL.10 (***EMAIL.9) tienen, de forma específica para ellos y en el mismo email que reciben, la facultad de solicitar darse de baja en el envío de estas comunicaciones tan solo con enviar desde la cuenta de correo electrónico que tenían asociada a la lista de distribución un email a ***EMAIL.2. En estos casos, desde el servidor de correo de Iberia se exporta un fichero Excel con las bajas de la última semana, se almacena y finalmente se envía a la plataforma que gestiona el envío de las comunicaciones periódicas (newsletter en este caso). Todo este proceso se lleva a cabo de forma automática y la dirección email a la que se da tratamiento es aquella desde la que se recibe el email con la solicitud de baja. Una vez a la semana el fichero acumulado se carga manualmente para bloquear el envío de comunicaciones a las direcciones de correo electrónico desde las que se haya recibido la solicitud de baja. 1.3. Manifiestan que entre los días 9 y 27 de septiembre se recibieron desde la dirección de correo electrónico D.D.D. seis solicitudes de baja en el email ***EMAIL.7 que fueron gestionadas correctamente. No figura ninguna comunicación de solicitud de baja recibida desde el email F.F.F.. Se recibieron 3 correos en el buzón ***EMAIL.8desde la dirección D.D.D. solicitando la baja en comunicaciones comerciales de la dirección de correo electrónico F.F.F.. Los emails son de los días 16/11/2016, 09 y 19/01/2017. En los tres casos se responde al interesado solicitándole, para poder tramitar su petición, que remita firmado y acompañado de copia de su DNI un ejemplar del formulario de solicitud de cancelación de datos, no obstante, en ninguno de los tres casos consta que el solicitante llegara a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 remitir de vuelta el formulario junto con la documentación requerida. 1.4. A la vista de la solicitud de información recibida desde la Inspección de Datos, con fecha 24/03/2017 ha procedido a solicitar el bloqueo preventivo de envío de comunicaciones newsletter de ***EMAIL.10 a la dirección F.F.F.. Con su escrito, entre otros documentos, IBERIA aportó copia de un correo electrónico remitido al denunciante en fecha 09/01/2017, con el asunto “RE: Ejercicio derechos ARCO”, en el que informa al mismo que “para solicitar la baja es necesario que envíe cumplimentado el documento adjunto y la fotocopia de DNI”. 3. Por los Servicios de información se obtuvo la información relativa a la entidad IBERIA accesible a través de la web de AXESOR, constatando que tiene un volumen de ventas de más de cuatro mil millones de euros y más de veinte mil empleados. TERCERO: Con fecha 16/06/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad IBERIA, por la presunta infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como infracción leve en el artículo 38.4.

  1. d)de la citada Ley. A los efectos previstos en el artículo 64.2.
  2. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el citado acuerdo de apertura se determinó que, de acuerdo con las evidencias obtenidas con anterioridad a dicha apertura, la sanción que podría corresponder por la infracción descrita sería de 3.300 euros (tres mil trescientos euros), sin perjuicio de lo que resulte de la instrucción. CUARTO: Notificado el acuerdo de inicio, la entidad IBERIA presentó escrito de alegaciones en el que solicita el archivo de las actuaciones, poniendo de manifiesto las mismas circunstancias que reseñó en su escrito de respuesta al requerimiento de información que le fue remitido por los Servicios de Inspección de la AEPD. Así, advierte nuevamente que el denunciante no ha acreditado haber enviado a la dirección ***EMAIL.2.com ningún email directamente desde su cuenta F.F.F., siguiendo el procedimiento de baja puesto a su disposición por la compañía, que se gestiona automáticamente. En relación con este procedimiento, destaca que las solicitudes remitidas a aquella dirección de correo electrónico no reciben ninguna confirmación sobre la recepción de la solicitud de baja. Y reitera que existe un medio alternativo, más genérico, para el ejercicio de los derechos ARCO, válido igualmente para la solicitud de cesación en el envío de comunicaciones comerciales, que requiere la cumplimentación de un formulario pdf disponible en su web y la aportación de copia del DNI, y su envío a la dirección a ***EMAIL.4. El denunciante utilizó este medio, pero sin facilitar el formulario ni el DNI, a pesar de que le fueron requeridos. En cuanto a los acuses de recibo que aporta el denunciante, supuestamente remitidos desde ***EMAIL.6, señala que, puesto que el sistema de IBERIA no genera ningún mensaje de confirmación, la única explicación posible a la recepción de los aportados por el denunciante, según la explicación facilitada por el subproveedor de servicios de la entidad, es que el denunciante hubiese hecho uso de alguna herramienta que haya podido poner a su disposición su propio proveedor de servicios de internet subyacente a su dominio privativo “***WEB.10”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 En definitiva, considera que, si bien IBERIA podría haber obrado mejor, también es cierto que la actuación del afectado ha contribuido de forma decisiva a la confusión generada en todo el proceso: . Envió comunicaciones desde una cuenta distinta a la receptora de las comunicaciones. . Utilizó el otro canal habilitado, pero sin formalizarlo debidamente. . Utilizó otros medios a su alcance que IBERIA no contemplaba dentro de sus procesos. Finalmente, alega que el acuerdo de apertura no especifica claramente la obligación incumplida, de las establecidas en el artículo 21 de la LSSI, y que esta circunstancia provoca una situación de manifiesta indefensión. Entre otra documentación, IBERIA aportó copia del correo electrónico remitido al denunciante en fecha 09/01/2017, que consta reseñado en el Hecho Probado Octavo. QUINTO: Con fecha 02/11/2017, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se sancione a la entidad IBERIA con multa de 3.300 euros (tres mil trescientos euros), por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  3. d)de la citada Ley. En esta propuesta se tuvieron en cuenta los siguientes Hechos Probados y Fundamentos de Derecho: <<QUINTO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: 1. El denunciante es cliente de IBERIA. Con fecha del 30/06/2016, a través de la web www.iberia.com, el denunciante adquirió dos billetes para viajar el día 23/08/2016, facilitando durante el proceso de compra la dirección de correo electrónico F.F.F.. 2. Con fecha 30/06/2016, el denunciante fue dado de alta en la lista de destinatarios del boletín newsletter de IBERIA, con la dirección de correo electrónico F.F.F.. 3. La entidad IBERIA utiliza la dirección de correo electrónico ***EMAIL.1 para remitir el boletín newsletter de la compañía, que contiene información comercial referente a sus productos y servicios. En los correos electrónicos promocionales que remite se incluye una dirección de correo electrónico para el ejercicio del derecho a oponerse al tratamiento de sus datos con fines promocionales o para revocar el consentimiento que se hubiese prestado previamente para el envío de este tipo de mensajes. El texto contenido en dichos correos es el siguiente: “Si en el futuro no desea recibir más comunicaciones comerciales, envíe un mensaje desde la cuenta receptora de esta comunicación a la dirección de correo ***EMAIL.1”. 4. Con fecha 20/09/2016, el denunciante remitió un correo electrónico desde la dirección de correo “ A.A.A.” dirigido a la dirección “***EMAIL.2”. En este correo, el denunciante advierte que reitera su solicitud de baja en la recepción de comunicaciones comerciales, ya formulada con anterioridad en fechas 07 y 15/09/2016. 5. El denunciante aportó copia de las cabeceras de dos correos electrónicos, de fechas 21/10/2016 y 07/11/2016, remitidos desde ***EMAIL.6 a F.F.F. confirmando la baja de la newsletter. En ambos correos se indica: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 “Sentimos que se haya dado de baja de ***EMAIL.5. Atentamente. El ***EMAIL.6”. Estos correos electrónicos, según consta en las cabeceras correspondientes, fueron remitidos desde el servidor “***URL.1”. 6. Con fecha 16/11/2016, el denunciante remitió un correo electrónico desde la dirección de correo “ A.A.A.” dirigido a la dirección “***EMAIL.4”, manifestando que lleva desde el 15/09/2016 solicitando la baja del boletín comercial que remiten a su dirección F.F.F. sin que sus peticiones hayan sido atendidas. 7. Con fechas 19/01 y 13/02/2017, se recibieron en la Agencia sendos escritos del denunciante, en los que formula denuncia contra IBERIA por el envío de comunicaciones comerciales a su dirección de correo F.F.F. de los correos detallados a continuación, remitidos desde la dirección de correo ***EMAIL.1: B.B.B. 1 2 3 4 5 ***EMAIL.1 ***EMAIL.1 ***EMAIL.1 ***EMAIL.1 ***EMAIL.1 25/10/2016 03/11/2016 25/11/2016 04/01/2017 19/01/2017 El correo electrónico de 04/01/2017, según consta en las cabeceras correspondientes, fue remitido desde el servidor “***URL.1”. 8. La entidad IBERIA ha manifestado que entre los días 9 y 27 de septiembre se recibieron desde la dirección de correo electrónico D.D.D. seis solicitudes de baja en el email ***EMAIL.7 y que no figura ninguna comunicación de solicitud de baja recibida desde el email F.F.F.. Asimismo, informó que recibió tres correos en el buzón ***EMAIL.8 desde la dirección D.D.D. solicitando la baja en comunicaciones comerciales de la dirección de correo electrónico F.F.F.. Según IBERIA, estos emails son de los días 16/11/2016, 09 y 19/01/2017. IBERIA, aportó copia de un correo remitido desde “Atención Datos Personales” a “Crespo, Antonio”, de fecha 09/01/2017, en el que informa al denunciante que “para solicitar la baja es necesario que envíe cumplimentado el documento adjunto y la fotocopia del DNI. Este correo se remite en respuesta a uno anterior del denunciante, de fecha 06/01/2017, en el que éste informa a la entidad que ha solicitado en numerosas ocasiones la baja de su correo F.F.F. del boletín comercial que se remite desde ***EMAIL.11 , añadiendo que el responsable de la dirección ***EMAIL.7 hace caso omiso de estas solicitudes y que ejerce su derecho de oposición al tratamiento de la dirección F.F.F.. FUNDAMENTOS DE DERECHO A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la LSSI señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 A su vez, el apartado
  4. d)del anexo de la LSSI define al “Destinatario del servicio” o “destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información”. De este modo, la LSSI, en su artículo 21.1, prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
  5. h)de la LOPD, que define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
  6. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
  7. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
  8. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI, en su Anexo a), define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. II En el presente supuesto, de la valoración conjunta de los elementos fácticos obrantes en el procedimiento sancionador, ha quedado acreditado que IBERIA es responsable del envío de los correos electrónicos publicitarios que constan detallados en el Hecho Probado Séptimo, remitidos a la dirección del denunciante F.F.F.. En este caso, consta acreditada la existencia de una relación contractual previa, tal y como se recoge en el primer párrafo del apartado 2 del artículo 21 de la LSSI, resultando que IBERIA obtuvo de forma lícita los datos de contacto del denunciante y el consentimiento para utilizarlos con la finalidad de remitir comunicaciones comerciales relativas a productos o servicios similares a los inicialmente adquiridos por éste en su condición de cliente. Además, se ofrecía un mecanismo sencillo y gratuito para poder oponerse al tratamiento de los datos con fines promocionales. Sin embargo, la denuncia se refiere al envío a la dirección de correo electrónico del denunciante de comunicaciones comerciales con posterioridad a la negativa manifestada por el mismo en relación con la utilización de su dirección de correo F.F.F. con esta finalidad, con la que revocaba formalmente el consentimiento para la recepción de comunicaciones comerciales. En concreto, el denunciante ha manifestado que desde el 15/09/2017, en reiteradas ocasiones ha solicitado la baja en la recepción de comunicaciones comerciales mediante correos electrónicos remitidos a la dirección habilitada por IBERIA con este fin (***EMAIL.12), y aportó copia de dos correos, con sus respectivas cabeceras, en los que claramente expresaba su voluntad de dar de baja su dirección F.F.F.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 Y consta, asimismo, la correcta recepción de estos correos por IBERIA, según se acredita mediante dos correos de confirmación remitidos por la citada entidad al denunciante en fechas 21/10/2016 y 07/11/2016, remitidos desde ***EMAIL.6 a F.F.F. y desde el mismo servidor que se remiten los correos promocionales. En ambos correos se confirma la baja de la newsletter indicando expresamente “Sentimos que se haya dado de baja de ***EMAIL.5. Atentamente. El ***EMAIL.6”. Incluso prescindiendo de todo lo anterior, también consta, y así lo ha reconocido la propia entidad IBERIA, que en tres ocasiones se dirigió el denunciante a la citada compañía a través de la dirección ***EMAIL.13, solicitando la baja en comunicaciones comerciales de la dirección de correo electrónico F.F.F.. En estos correos, el denunciante informó expresamente a la entidad que había solicitado en numerosas ocasiones la baja de su correo F.F.F. del boletín comercial que se remite desde ***EMAIL.11 , añadiendo que el responsable de la dirección ***EMAIL.7 hace caso omiso de estas solicitudes. IBERIA pretende salvar esta circunstancia señalando que en respuesta a estos correos informó al denunciante que “para solicitar la baja es necesario que envíe cumplimentado el documento adjunto y la fotocopia del DNI”, si bien únicamente aportó documentación sobre una respuesta en tal sentida cursada en fecha 09/01/2017, que responde a un correo anterior del denunciante de 06/01/2017. No tiene en cuenta IBERIA lo establecido en el citado artículo 22.1 de la LSSI, según el cual para la revocación del consentimiento prestado a la recepción de comunicaciones comerciales es suficiente con la simple notificación de la voluntad del afectado al remitente. Por tanto, no puede concluirse que esta revocación haya sido respetada por la remitente de los correos denunciados, resultando que IBERIA carecía del consentimiento para el envío de los correos en cuestión. De este modo, a la luz de los elementos fácticos obrantes en el procedimiento cabe concluir que IBERIA ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI al enviar cinco correos electrónicos promocionales al denunciante sin contar con su consentimiento y sin que quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 de dicha norma. III El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación”. La definición de prestador del servicio se contiene en el apartado
  9. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De acuerdo con lo establecido en los apartados 3.
  10. c)y 4.
  11. d)del artículo 38 de la LSSI actualmente en vigor, se consideran infracciones graves y leves las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 “3. Son infracciones graves:
  12. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
  13. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción de carácter grave a los efectos de la LSSI. A partir del conjunto de hechos y circunstancias constatadas en el procedimiento sancionador y con arreglo a lo dispuesto en los citados preceptos, la conclusión que se desprende es que la conculcación del artículo 21 de la LSSI que se imputa a IBERIA se ajusta al tipo de infracción calificada como leve en el artículo 38.4.
  14. d)de la vigente LSSI, ya que el envío de dos comunicaciones comerciales, de fechas 04 y 19/01/2017, al encontrarse prescritas las anteriores, sin contar con su consentimiento previo y expreso para ello, no puede ser calificado como “envío insistente o sistemático” de comunicaciones comerciales no solicitadas por medios electrónicos por parte de la referida entidad. A tenor de lo establecido en el artículo 39.1.
  15. c)de la LSSI las infracciones leves podrán sancionarse con multa de hasta 30.000 euros, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma, cuyo tenor literal es el siguiente: Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  16. a)La existencia de intencionalidad.
  17. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  18. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  19. d)La naturaleza y cuantía de los perjuicios causados.
  20. e)Los beneficios obtenidos por la infracción.
  21. f)Volumen de facturación a que afecte la infracción cometida.
  22. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En relación con los criterios de graduación de las sanciones recogidos en el transcrito artículo 40 de la LSSI, tras las evidencias obtenidas, se considera que en este supuesto actúa como agravante el criterio
  23. a)del mencionado artículo, por cuanto se ha producido una falta de diligencia por parte de IBERIA al remitir los correos electrónicos sin considerar la oposición a recibir publicidad que le fue manifestada por el denunciante, siendo exigible a la citada entidad una mayor diligencia debido a su volumen de negocio y el continuo tratamiento de datos personales que conlleva su actividad. Paralelamente, se valora como atenuante el criterio
  24. d)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 recogido en el citado artículo 40 de la LSSI, ante la falta de constancia de que el denunciante haya sufrido perjuicios diferentes de los derivados de la recepción de las dos comunicaciones. Por lo tanto, se estima adecuado a la gravedad de los hechos analizados imponer a la entidad IBERIA una sanción de 3.300 €>>. SEXTO: En fecha 21/11/2017, la entidad IBERIA ha procedido al pago de las sanciones en la cuantía de 2.640 euros haciendo uso de la reducción prevista en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la misma. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en el artículo 43.1, párrafo segundo, de la LSSI, la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción reglamentariamente”. previsto en este apartado podrá ser incrementado Conocida la propuesta de resolución formulada por el instructor del procedimiento, la entidad IBERIA ha procedido al pago de las sanciones en la cuantía de 2.640 euros, haciendo uso de la reducción prevista en el citado artículo 85.2 de la LPACAP, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra las mismas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00292/2017, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a IBERIA LINEAS AEREAS DE ESPAÑA, S.A. OPERADORA, SOCIEDAD UNIPERSONAL. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada al interesado. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.