PS-00298-2013

1/13 Procedimiento Nº PS/00298/2013 RESOLUCIÓN: R/02382/2013 En el procedimiento sancionador PS/00298/2013, instruido por la Agencia Española de Protección de Datos a la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, SOCIEDAD ANÓNIMA OPERADORA, Sociedad Unipersonal, vista la denuncia presentada por Don C.C.C., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 26 de diciembre de 2012 tiene entrada en esta Agencia un escrito de Don C.C.C., en adelante el denunciante, poniendo de manifestó que la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, SOCIEDAD ANÓNIMA OPERADORA, Sociedad Unipersonal (en adelante IBERIA) le ha enviado dos comunicaciones comerciales por correo electrónico que no ofrecen al destinatario ningún procedimiento para poder oponerse a la recepción de nuevos mensajes comerciales en sus señas electrónicas. SEGUNDO: De la información siguientes hechos: aportada por el denunciante se desprenden los 1. De las copias de los mensajes aportados por el denunciante, las cuales incluían sus correspondientes cabeceras de Internet, se desprende lo siguiente: 1.1 Que con fechas 1 y 12 de diciembre de 2012 el denunciante recibió en su dirección de correo electrónico D.D.D. sendas comunicaciones comerciales procedentes de la cuenta IBERIA PLUS< A.A.A.>. 1.2 En el mensaje de fecha 1 de diciembre de 2012, cuyo asunto era “Carta del Presidente de Iberia”, además de informar sobre la situación derivada del plan de viabilidad y de futuro presentado por la compañía a sus inversores y empleados para superar la grave situación de crisis económica atravesada por la empresa, también se promocionaba la imagen y valores de IBERIA destacando su gran proyección de futuro y capacidad de competencia y sostenibilidad como importante marca española del sector de las aerolíneas. 1.3 En el mensaje de fecha 8 de diciembre de 2012, cuyo asunto era “Información sobre rutas y flota 2013”, se promocionaba la oferta de rutas y las medidas adoptadas para mejorar las rutas de larga distancia para el año 2013. Este correo se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 envía por la Directora de Marketing de la Dirección General Comercial y de Clientes. 1.4 Ambos correos incluyen a pie de mensaje el siguiente Aviso: “esta dirección de correo está destinada al envío de la información y no está habilitada para la recepción de mensajes. Este correo ha sido enviado por IBERIA LÍNEAS AÉREAS DE ESPAÑA SOCIEDAD ANÓNIMA OPERADORA SOCIEDAD UNIPERSONAL CON CIF *********.” 1.5 Ninguno de los citados correos comerciales incluye una dirección electrónica válida en la que poder ejercitar el derecho de oposición al tratamiento de sus deñas electrónicas con fines promocionales. 2. Con fecha 3 de diciembre de 2012 el denunciante dirigió un correo electrónico desde su cuenta de correo D.D.D.s a “Atención Datos Personales“ solicitando la baja del área privada (Iberia plus) del sitio web iberia.com ante la imposibilidad de darse de baja desde dicha área. La petición de Baja fue contestada con esa misma fecha desde la cuenta Atención Datos Personales F.F.F. _datospersonales@ A.A.A.> indicándole que para atender su petición debía enviar, según la Ley Orgánica de protección de Datos, una solicitud por escrito junto con una fotocopia de su DNI a la dirección postal que se le citaba o al número de fax que también se señalaba. 3. Con fecha 24 de mayo de 2013 se ha constatado por esta Agencia a través de la página web https://apps................ que la dirección IP de origen E.E.E. de los dos mensajes comerciales objeto de denuncia está asignada a Iberia Líneas Aéreas. TERCERO: Con fecha 28 de mayo de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a IBERIA LÍNEAS AÉREAS DE ESPAÑA, SOCIEDAD ANÓNIMA OPERADORA, Sociedad Unipersonal por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como leve en el artículo 38.4.

1. d)de dicha norma, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1.
2. c)de la LSSI. CUARTO: Notificado el citado Acuerdo de inicio, la representación de la entidad imputada presentó alegaciones solicitando el archivo del procedimiento por entender que las comunicaciones afectadas por el expediente no tenían naturaleza comercial y, por lo tanto, no les resultaban de aplicación las exigencias contenidas en el Título III de la LSSI. Según aduce IBERIA dichas comunicaciones no pretendían promocionar compra alguna u otorgar alguna ventaja por ello, sino que su objeto era informar a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 pasajeros de la compañía de una situación que podría afectarles en relación con vuelos concretos ya adquiridos, bien por su cancelación o afectación por las huelgas previstas, o bien, directamente, por la reestructuración de rutas a que se refería la segunda comunicación, ofreciendo posibles alternativas para dichas situaciones. Por lo tanto, no cabe exigir que dichas comunicaciones incluyeran una dirección de correo para que el afectado pudiera proceder a la solicitud de baja. Se indica que IBERIA, en cumplimiento de lo previsto por la LOPD, ha habilitado en las condiciones de la web de iberia.com un procedimiento que permite a los usuarios ejercer los derechos de acceso, rectificación, cancelación y oposición (ARCO) respecto de sus datos personales, el cual se aplicó en el caso del denunciante al solicitarle la aportación del escrito de baja y copia de su documento de identificación que resultaban precisos para tramitar su petición de baja, sin que conste que el afectado haya procedido a su cumplimentación. QUINTO: Con fecha 19 de junio de 2013, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, en el que se daban por reproducidos, a efectos probatorios, la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante la entidad imputada, el Informe de actuaciones previas de Inspección que forman parte del expediente E/01286/2013, las alegaciones al acuerdo de inicio PS/00298/2013 presentadas por la entidad imputada junto con la documentación que a ellas acompaña. Asimismo, con esa misma fecha se acordó solicitar a la entidad imputada determinada información y documentación relacionada con los hechos objeto de imputación, registrándose de entrada con fecha 8 de julio de 2013 escrito de contestación de la representación de IBERIA en los siguientes términos: - En cuanto a la solicitud de acreditación e indicación de los procedimientos ofrecidos por esa entidad a los destinatarios de las comunicaciones comerciales remitidas por vía electrónica para que éstos puedan oponerse al tratamiento de sus datos con fines promocionales en cada una de las comunicaciones comerciales que se les dirijan, dicha entidad transcribe el texto del pie legal que desde el 3 de abril de 2012 se acordó figurara en las mismas, así como el texto del pie legal que se acordó incluir desde mayo de 2013 en todo tipo de comunicaciones (comerciales y operativas ) enviadas desde IBERIA, en los que se incluye la dirección de correo baja_comunicaciones@ A.A.A. para no recibir más promociones personalizadas. - Se afirma que los datos del denunciante se aportaron afectado. directamente por el - Se adjuntan pantallazos de la aplicación Iberia Plus con los datos del denunciante y un documento Word con las capturas de pantalla. Se indica que el usuario se dio de alta en el programa el 02/04/2003 y no ha hecho movimiento en la cuenta IBP desde el 2007. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 SEXTO: Con fecha 17 de julio de 2013 se formuló propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionase a IBERIA LÍNEAS AÉREAS DE ESPAÑA, SOCIEDAD ANÓNIMA OPERADORA, Sociedad Unipersonal con multa de 1.200 € (Mil doscientos euros) por la infracción del artículo 21.2 de la LSSI, tipificada como leve en el artículo 38.4.
3. d)de dicha norma. Dicha propuesta se notificó con fecha 22 de julio de 2013. HECHOS PROBADOS PRIMERO: Don C.C.C. (el denunciante) figura dado de alta en los sistemas de la aplicación IBERIA PLUS como usuario de dicho programa desde el 2 de abril de 2003, momento en que al registrarse facilitó, entre otra información, su cuenta de correo electrónico D.D.D.. (folios 51 al 53) SEGUNDO: IBERIA LÍNEAS AÉREAS DE ESPAÑA, SOCIEDAD ANÓNIMA OPERADORA, Sociedad UNIPERSONAL ha aportado impresión de captura de pantalla en la que aparece cumplimentado el dato del correo electrónico del denunciante debajo de la siguiente leyenda: “Responda, por favor, a las preguntas siguientes, si desea que le enviemos información sobre los mejores precios y promociones que sólo se ponen a disposición de los usuarios registrados de Iberia.com” (folio 61) TERCERO: Con fechas 1 y 12 de diciembre de 2012 se remitieron desde la cuenta IBERIA PLUS< A.A.A.> sendas comunicaciones comerciales a la dirección de correo electrónico del denunciante D.D.D. . (folios 4 al 9 y 11 al 16) En el pie de ambos correos se incluye el siguiente Aviso: “esta dirección de correo está destinada al envío de la información y no está habilitada para la recepción de mensajes. Este correo ha sido enviado por IBERIA LÍNEAS AÉREAS DE ESPAÑA SOCIEDAD ANÓNIMA OPERADORA SOCIEDAD UNIPERSONAL CON CIF *********.” (folios 8, 9, 14 y 15) CUARTO: En el mensaje de fecha 1 de diciembre de 2012, cuyo asunto era “Carta del Presidente de Iberia”, además de informar sobre la situación derivada del plan de viabilidad y de futuro presentado por la compañía a sus inversores y empleados para superar la grave situación de crisis económica atravesada por la empresa, también se promocionaba la imagen y valores de IBERIA destacando su gran proyección de futuro y capacidad de competencia y sostenibilidad como importante marca española del sector de las aerolíneas. (folios 14 y 15) QUINTO: En el mensaje de fecha 8 de diciembre de 2012 firmado por la Directora de Marketing de la Dirección General Comercial y de Clientes, y cuyo asunto era “Información sobre rutas y flota 2013”, además de informarse sobre la reordenación de la red de rutas prevista para el año 2013, se promocionaban las rutas de larga distancia cuyo incremento y mejora estaban previstos en dicho plan. (folios 8 y 9). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 SEXTO: Los citados correos comerciales no incluyen una dirección electrónica válida en la que su destinatario pueda ejercitar el derecho de oposición al tratamiento de sus deñas electrónicas con fines promocionales. (folios 8, 9, 14 y 15). SÉPTIMO: Se ha verificado que la dirección IP de origen E.E.E. de los citados mensajes comerciales está asignada a Iberia Líneas Aéreas. (folios 17 al 19) FUNDAMENTOS DE DERECHO I El artículo 43.2, segundo párrafo, de la LSSI, otorga a la Agencia Española de Protección de Datos la facultad para imponer sanciones por la comisión de la infracción del artículo 21 de la citada Ley. II A los efectos de examinar si los hechos objeto de denuncia pueden constituir infracción al artículo 21.2 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, modificado por el Real Decreto-Ley 13/2012, de 30 de marzo, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI, también en la redacción dada por el citado Real Decreto-Ley 13/2012, de 30 de marzo, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección . Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. A su vez, el apartado
4. d)del anexo de la LSSI define al “Destinatario del servicio” o ”destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información.”. De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. La Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), modificada por la Directiva 2009/136/CE del Parlamento Europeo y del Consejo, de 25 de noviembre, introdujo en el conjunto de la Unión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 Europea el principio de “opt in”, es decir, la necesidad de contar con el consentimiento previo del destinatario para el envío de comunicaciones electrónicas con fines comerciales. De este modo, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
5. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
6. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
7. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
8. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
9. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales. ” (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
10. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV En el presente supuesto se imputa el envío de dos comunicaciones comerciales con fechas 1 y 12 de diciembre de 2012 desde la cuenta de correo electrónico IBERIA PLUS< A.A.A.> a la dirección de correo electrónico D.D.D. sin ofrecer a su destinatario, quien el 2 de abril de 2003 se registró como usuario en la aplicación IBERIA PLUS, un procedimiento sencillo y gratuito consistente en una dirección electrónica válida para poder oponerse al tratamiento de sus datos con fines promocionales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 En relación con dicha imputación IBERIA alega que los correos comerciales objeto de denuncia no tienen naturaleza comercial o promocional sino informativa, motivo por el cual a dichos envíos no les resulta de aplicación el Título III de la LSSI, no cabiendo, por tanto, exigir que su contenido incluya la concreción de una dirección de correo para que el afectado pueda proceder a la solicitud de baja. Frente a dicho alegato, y sin perjuicio de que los citados mensajes contengan determinada información que no pueda ser calificada de comercial, no cabe duda que ambos promocionan la imagen de la marca IBERIA y los servicios que son objeto de la actividad empresarial de la misma. De este modo, aunque el mensaje de fecha 1 de diciembre de 2012, contenga determinada información relativa a la situación derivada de la presentación del plan de viabilidad y futuro de la empresa a inversores y empleados como a la posición de la entidad frente a la respuesta sindical al mismo, también promociona los valores, fortalezas y viabilidad futura de la empresa a través del plan de transformación “que siente las bases de una Iberia mucho más fuerte y capaz de competir” y hace referencia a “una inversión multimillonaria en los próximos años en flota, en producto, en instalaciones y en mejorar los servicios a nuestros clientes”, causa por la que esta Agencia entiende que el citado mensaje constituye una forma de promoción directa de la imagen de la compañía, de sus servicios y de la viabilidad futura de la misma . Por su parte el carácter comercial del mensaje de fecha 8 de diciembre de 2012 se desprende del propio hecho de que está firmado por la Directora de Marketing de la Dirección General Comercial y de Clientes, y de que con independencia de que contenga determinada información relativa a la reordenación de la red de rutas para el año 2013 para hacer sostenible la empresa, también promociona el aumento de destinos de larga distancia, la incorporación de nuevos aviones de largo radio o la remodelación de la flota. De esta forma el citado mensaje oferta directamente unos determinados destinos al indicar que: “Así, el próximo año, dentro de dicho plan, está previsto que incrementamos la oferta en rutas como Chile, México, Brasil, Miami, Centroamérica, Argel, Nuakclot, Casablanca, Malabo, Dakar o Londres.” y promociona, también, la imagen de mejora y competitividad de la empresa al informar que en las rutas de larga distancia “haremos un mayor esfuerzo en el servicio a bordo, por lo que a partir de finales de enero de 2013 podrá disfrutar de nuestros nuevos aviones de largo radio Airbus A330 que contarán con las clases Business y turista más modernas del mercado. También remodelaremos parte de nuestra actual flota para equiparla con los nuevos interiores.” En consecuencia, hay que rechazar el alegato relativo a inaplicabilidad de la LSSI al haberse acreditado que, con independencia de que ofrecieran otro tipo de información, dichos envíos se ajustaban al amplio concepto de comunicación comercial recogido en la LSSI. V En este supuesto, se parte del hecho de que tales mensajes fueron enviados mediando autorización previa y expresa del denunciante para ello, ya que éste, según se desprende de la documentación aportada por la entidad denunciada y de la solicitud de baja del sitio web iberia.com de fecha 3 de diciembre de 2012 adjuntada a la denuncia, consintió la remisión de publicidad cuando facilitó su dirección de correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 electrónico al cumplimentar su suscripción al servicio Iberia Plus (folios 61 y 10) . Una vez justificada la naturaleza comercial de los dos correos electrónicos denunciados, procede analizar si IBERIA cumplió, en su condición de prestador del servicio, con la obligación recogida en el segundo y tercer párrafo del artículo 21.2 de la LSSI de ofrecer al destinatario de los mensajes comerciales la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante el ofrecimiento de un procedimiento sencillo y gratuito incluido en cada uno de los envíos dirigidos al mismo, y que en este caso se concretaría en una dirección electrónica válida. De las actuaciones practicadas se ha constatado que las dos comunicaciones comerciales objeto de análisis no incluían una dirección electrónica válida a través de la cual el destinatario de los correos comerciales pudiera manifestar su voluntad de no recibir publicidad en sus señas electrónicas, tal y como se dispone en el tercer apartado del artículo 21.2 de la LSSI. La simple lectura y estudio de ambos mensajes permiten constatar el incumplimiento de dicha obligación, hecho que se corrobora, por otra parte, del contenido de las alegaciones al acuerdo de inicio presentadas por IBERIA al indicar que al no tratarse, a su juicio, de comunicaciones comerciales no resultaba exigible concretar “una dirección de correo para que el afectado pueda proceder a la solicitud de baja.” (folio 28). Dicha exigencia, es independiente del cumplimiento por parte de IBERIA del deber de información previa en la recogida de datos contemplado en el artículo 5 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, y al que dicha entidad se refiere al mencionar la leyenda que aparece en las condiciones de la web de iberia.com para el ejercicio de los derechos ARCO por parte de los interesados a los que se hayan recabado datos de carácter personal. Sobre esta cuestión conviene reseñar que la solicitud de baja del área privada (Iberia Plus) efectuada por el denunciante con fecha 3 de diciembre de 2012 se encuadraría en el ejercicio por su parte del derecho personalísimo de cancelación de datos recogido en el artículo 16 de la LOPD, y que dado el bloqueo o supresión de los datos que comportaría una vez atendido, entre ellos el del correo electrónico del afectado, supondría el cese en los envíos publicitarios por vía electrónica del responsable del fichero. Sin perjuicio de lo anterior, dicho ejercicio debe ajustarse al procedimiento establecido en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, estableciéndose en el apartado 1 del artículo 25 de dicho Reglamento que, salvo en el supuesto contemplado en el artículo 24.4 del citado Reglamento, el ejercicio de los derechos ARCO requiere comunicación dirigida al responsable del fichero que, entre otros requisitos, deberá contender fotocopia de documento válido identificativo del solicitante o, en su caso, instrumentos electrónicos equivalentes, no constando que el denunciante, una vez recibida por éste con fecha 3 de diciembre de 2012 la solicitud de IBERIA de subsanación de las carencias observadas en la petición de baja de sus datos , haya procedido en consecuencia o haya utilizado la firma electrónica identificativa que le eximiría de la presentación de las fotocopias o documento equivalente. Dado que la LSSI a fin de garantizar su derecho a no recibir comunicaciones de naturaleza comercial por vía electrónica o equivalente, ha querido imponer una formalidad específica que permita a los destinatarios de las mismas oponerse al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 tratamiento de sus datos para el envío de mensajes publicitarios por correo electrónico, el hecho de que por parte del prestador de servicios no se ofrezca al denunciante un procedimiento sencillo y gratuito en cada uno de los mensajes remitidos al mismo, y más concretamente, una dirección electrónica válida conforme establece el apartado tercero del artículo 21.2 de la LSSI, conculca la obligación establecida en el mencionado precepto. En consecuencia, de lo expuesto con anterioridad, ha quedado probado que la entidad imputada ha incurrido en la infracción del artículo 21.2, párrafos segundo y tercero, de la LSSI, al no dar cumplimiento a la obligación establecida en el mismo para el prestador de servicios en su calidad de remitente de los dos correos electrónicos comerciales antes citados. VI De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
11. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente o el envío, en el plazo de un año, de más de tres comunicaciones comerciales por los medios aludidos a un mismo destinatario, cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
12. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del art. 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o más de tres a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción tipificable como grave a los efectos de la LSSI. El presente supuesto se ajusta al tipo de infracción establecido en el artículo 38.4.
13. d)de la LSSI, calificado como infracción leve, al tratarse del envío de dos comunicaciones comerciales por correo electrónico a un mismo destinatario el plazo de un año sin cumplir los requisitos establecidos en los apartados segundo y tercero del artículo 21 de la LSSI, toda vez que no incluían una dirección electrónica válida para que el titular de las señas electrónicas utilizadas (dirección de correo electrónico) pudiera oponerse al tratamiento de las mismas con fines promocionales. VII A tenor de lo establecido en el artículo 39.1.
14. c)de la LSSI, las infracciones leves podrán ser sancionadas con multa de hasta 30.000 €, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma que dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
15. a)La existencia de intencionalidad.
16. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
17. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
18. d)La naturaleza y cuantía de los perjuicios causados.
19. e)Los beneficios obtenidos por la infracción.
20. f)Volumen de facturación a que afecte la infracción cometida”. Teniendo en cuenta el uso por parte de la entidad imputada de los medios de comunicación electrónica para el envío de publicidad, lo que la obliga a ser especialmente conocedora de las exigencias recogidas en la LSSI, y de conformidad con los criterios de graduación de las sanciones recogidos en el citado artículo 40, en especial, la ausencia de perjuicios causados y de beneficios obtenidos por IBERIA LAE S.A. OPERADORA UNIPERSONAL, acreditados en el presente procedimiento, se estima procede imponer una sanción de 1.200 € . Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, SOCIEDAD ANÓNIMA OPERADORA, Sociedad Unipersonal , por una infracción del artículo 21.2 de la LSSI, tipificada como leve en el artículo 38.4.
21. d)de la LSSI, una multa 1.200 € (Mil doscientos euros), de conformidad con lo establecido en los artículos 39.1.
22. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a IBERIA LÍNEAS ÁÉREAS DE ESPAÑA, SOCIEDAD ANÓNIMA OPERADORA, Sociedad Unipersonal y a Don C.C.C.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es