← España

PS-00292-2022

1/6  Procedimiento Nº: EXP202201667, (PS/00292/2022) RESOLUCION DEL PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes. ANTECEDENTES PRIMERO: Con fecha 12/01/22, tiene entrada en esta Agencia, escrito presentado por D. A.A.A., (en adelante, “la parte reclamante”), contra MAX2PROTECT, S.L. con CIF.: B88606355, (en adelante, “la parte reclamada”), en el que indicaba, entre otras, lo siguiente: “Recibo spam de covidtest@antigenos.es varias veces al día (se adjuntan las 6 comunicaciones comerciales recibidas de fecha 12-ene-2022). La página web, Max2Protect SL, ya fue multada por la AEPD por hechos similares en el procedimiento Nº: PS/00170/2021”. Al escrito de reclamación se acompaña copia de la siguiente documentación a.- Copia del correo electrónico recibido en la dirección del reclamante, el día 12/01/22 enviado desde la dirección <<B.B.B.>> covidtest@antigenos.es , conteniendo información de tipo comercial. SEGUNDO: Con fecha 10/02/22, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), por parte de esta Agencia se envió escrito a la parte reclamada solicitando información con respecto a lo expuesto en la reclamación. TERCERO: Con fecha 11/03/22, se recibe escrito de contestación de la entidad reclamada a la solicitud de información hecha por esta Agencia, en el cual, entre otras, indica que: “Desde max2protect estuvimos realizando una campaña de promoción de nuestros productos a través de mailing, las bases de datos para el envío de estos mailings se compran al proveedor central de comunicación y también sacados a través de páginas públicas de internet. En la primera imagen que aportamos pueden ver que en la propia newsletter se puede deshabilitar. Este usuario tiene 6 cuentas de correo, pero solo se deshabilitó una de ellas como se puede ver en nuestro panel de servidor de correos (segunda imagen) y por eso se le siguió enviando a las demás cuentas. A través de vuestra notificación hemos sabido que esta persona no quiere recibir ninguna información de nuestra empresa con lo que en el mismo día que tuvimos constancia de ello, se le quitó manualmente de nuestro fichero como se puede ver en la tercera imagen”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 CUARTO: Con fecha 12/04/22, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. QUINTO: Con fecha 12/05/22, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 58.1 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD). SEXTO: Con fecha 24/05/22, se recibe escrito de contestación de la entidad reclamada al requerimiento de información hecho por esta Agencia, en el cual, entre otras, indica: “Compramos la “bbdd” de datantify:https://datantify.com/ es posible que el usuario al dejar su correo en una web aceptó la política de privacidad y cookies “he leído y acepto la política de privacidad” “aceptar cookies” de dicha web, cediendo sus datos personales a terceros por lo que, los proveedores de las bbdd tienen dicho acceso y pueden utilizarlo para su compra/venta. La “bbdd” que compramos están segmentadas por sectores, en este caso, la sanidad. Los usuarios que vienen en dicha base están relacionados con el sector de la sanidad, ya sea porque visitó una web, rellenó un formulario, pidió una cotización, etc, nuestra empresa vende test covid y por eso le mandamos el mail. No recibimos ningún correo de los titulares para oponerse, nos enteramos de que no querían recibir nuestra newsletter cuando ustedes nos mandaron la notificación y fue cuando miramos en mailrelay y vimos que el día 20/01/22 se describió de una de las cuentas, pero no de todas las que tiene por lo que lo hicimos nosotros manualmente ese día”. SÉPTIMO: Con fecha 07/06/22, la Directoria de la Agencia Española de Protección de Datos firma la incoación del presente procedimiento sancionador a la entidad reclamada, al apreciar indicios razonables de vulneración del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), respecto del envío de comunicaciones comerciales sin la legitimación necesaria para ello imponiendo una sanción inicial de 4.000 euros (cuatro mil euros). OCTAVO: Con fecha 20/06/22 la entidad reclamada formuló, en síntesis, las siguientes alegaciones a la incoación del expediente: “Max2protect compró una base de datos de la que el vendedor dijo que era lícita. Ningún usuario al que le mandamos un mail se quejó del email enviado ya que cualquiera de ellos que no quisiese recibir más mails por nuestra parte podía darse de baja al pie del cuerpo del correo enviado (imagen 1). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Este usuario tenía 6 cuentas de correo diferentes (imagen 2) y por eso le llegaron 6 mails en un día, uno a cada cuenta, pero se dio de baja solamente en una de ellas, las otras 5 cuentas siguieron activas hasta que nos llegó vuestra notificación y le sacamos manualmente las otras 5 cuentas de nuestra base de datos para no recibiera ningún correo más por nuestra parte. El usuario se queja porque recibió 6 correos, pero es porque tiene 6 cuentas, por favor ténganlo en cuenta. no hemos hecho nada ilegal ni lo hemos pretendido”. NOVENO: Con fecha 22/07/22, se notifica a la entidad reclamada la propuesta de resolución en la cual, se proponía que, por la Directora de la Agencia Española de Protección de Datos se proceda a sancionar a la entidad, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), con una sanción de 4.000 euros (cuatro mil euros) por la infracción del artículo 21 LSSI, por el envío de comunicaciones comerciales sin la legitimación necesaria para ello. Notificada la propuesta de resolución a la entidad reclamada, a fecha de hoy, no existe constancia en esta Agencia de la recepción de ningún tipo de escrito de alegaciones a dicha propuesta. HECHOS PROBADOS Primero: Según el reclamante, recibe correos electrónicos publicitarios (spam) de covidtest@antigenos.es cuya titularidad pertenece a entidad Max2Protect SL, e indica que, esta entidad ya fue multada por la AEPD por hechos similares en el procedimiento Nº: PS/00170/

  1. Para corroborar lo dicho en la reclamación, se adjunta la siguiente documentación: - La captura de pantalla de la bandeja de entrada de las cuentas de correo electrónico (ALL INBOXES) en la que se observa referencia a seis correos electrónicos entrantes procedentes de “B.B.B.” y con el asunto: “Test Antígenos-nasales-saliva- hisopo desde 2,9…” - Pantallazo de las cabeceras y contenido de un correo electrónico de fecha 12/01/22, remitido desde la dirección covidtest@antigenos.es a la dirección electrónica del reclamante con el asunto: “Test Antígenos-nasales-salivahisopo desde 2,95”. Segundo: En el aviso legal del sitio web www.antigenos.es se identifica a MAX2PROTECT,S.L. como responsable del mismo. Este sitio web dispone de una política de privacidad que ofrece una dirección electrónica donde ejercer la oposición o solicitar la revocación del consentimiento. Tercero: Según la entidad reclamada las direcciones de correo electrónico para el envío de esta publicidad se compran al proveedor central de comunicación (DATANTIFY) o son obtenidos de páginas públicas de internet. En el documento aportado como “Política de Privacidad”, junto al escrito de alegaciones a la incoación del expediente se puede leer, entre otras, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6
  2. ¿Cómo recogemos sus datos? Algunos se recopilan cuando usted nos los proporciona. Otros datos se recopilan automáticamente a través de técnicos, como el navegador y el sistema operativo automática tan pronto como entra en nuestro sitio web (…)”. No obstante, lo anterior, la entidad reclamada no aporta acreditación del consentimiento prestado por el reclamante para la remisión de correos comerciales. FUNDAMENTOS DE DERECHO I- Competencia. Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley LSSI. II.- Sobre la infracción cometida al enviar correos electrónicos publicitarios sin consentimiento del interesado. En el presente caso, el reclamante manifiesta que ha recibido 6 coreos electrónicos, pero solamente aporta las cabeceras de internet de uno de ellos Por su parte, la entidad reclamada reconoce el envío de las comunicaciones e indica que compró una base de datos de la que el vendedor dijo que era lícita. Se indica además que, en los correos se informa de que, si no se quiere recibir más, se puede dar de baja al pie del cuerpo del correo enviado y que se enviaron 6 correos electrónicos al reclamante porque éste tenía 6 cuentas. No obstante, todo ello, el reclamado no aportan acreditación del consentimiento prestado por el reclamante para la remisión de correos electrónicos comerciales y el contrato de compra de la base de datos, que alega haber comprado y donde se encontraba la dirección de correo electrónico del reclamante. En este sentido, el artículo 21 de la LSSI, sobre el envío de comunicaciones comerciales sin el previo consentimiento del interesado, dispone lo siguiente: “
  3. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas.
  4. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” De conformidad con las evidencias de las que se dispone, se considera que los hechos expuestos, suponen la vulneración del artículo 21 de la LSSI. La citada infracción se encuentra tipificada como leve en el art. 38.4.d) de dicha norma, que califica como tal, “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes que establece el artículo 40 de la LSSI: - Apartado c): La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme: Consta en el Sistema de Información de la Subdirección General de inspección de Datos (SIGRID) un Procedimiento Sancionador (PS/00170/2021) en el que, con fecha de 16/08/21, la Directora de la Agencia Española de Protección de Datos resuelve imponer a la entidad , MAX2PROTECT, S.L., por la infracción del artículo 21 de la LSSI, una sanción de 2.000 euros (dos mil euros), respecto del envío de comunicaciones comerciales sin el consentimiento expreso del mismo destinatario. Dicha sanción resultó firme en vía administrativa el 17/10/
  5. A tenor de lo anteriormente expuesto, la Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: IMPONER a la entidad, MAX2PROTECT, S.L. con CIF.: B88606355, una sanción de 4.000 euros (cuatro mil euros) por la infracción del artículo 21 LSSI, por el envío de comunicaciones comerciales sin la legitimación necesaria para ello. SEGUNDO: NOTIFICAR la presente resolución a la entidad MAX2PROTECT, S.L TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.