← España

PS-00302-2020

1/7  Procedimiento Nº: PS/00302/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/0302/2020, ante la entidad, MERCA DESTINATIONS S.L., con CIF: B93394427, titular de la página web ***URL.1, (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por D. A.A.A., (en adelante, “el reclamante”), y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 12/05/20, tiene entrada en esta Agencia, denuncia presentada por el reclamante en la que denuncia al titular de la web, ***URL.1 por haber recibido correos comerciales no consentidos de la dirección electrónica ***EMAIL.1. Manifiesta que no ha autorizado este tipo de comunicaciones. Al escrito de reclamación, aporta el correo recibido el 11/05/20, donde no se incluye ningún enlace o información legal que permita el ejercicio de derechos o la posibilidad de darse de baja. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 07/09/20, se dirige requerimiento informativo a la entidad reclamada. TERCERO: Con fecha 16/09/20, se recibe en esta Agencia, un correo electrónico desde la entidad reclamada en el cual, se alega que: “El email del reclamante está en sus sistemas desde el año 2015, cuando preguntó por información, posteriormente, en 2016, confirmó que no estaba interesado en sus servicios ya que no disponía de una multipropiedad, y lo marcaron como tal. Nunca ha comunicado ni por teléfono, ni por email ni por WhatsApp que quería darse de baja de recibir información comercial. Debido a los pocos recursos, el software de boletines por email es gratuito, llamado PhpList, es algo antiguo, pero teóricamente funciona o funcionaba bien. Lo hemos revisado, comprobado que ha sido un error (el email del cliente es muy antiguo, de 2016, y estaba en la lista de emails equivocada ). Se ha revisado el sistema y se han revisado las listas de emails para evitar más errores de ese tipo. Además, los boletines informativos ahora siempre salen con los términos y condiciones, para poder darse de baja. En referencia al reclamante, manifiestan haber comprobado dos veces que está dado de baja totalmente, y que no volverá a recibir correos publicitarios jamás. Se ha actualizado la firma del correo general de ***EMAIL.1, para que incluya términos y condiciones, donde se detalla cómo se puede dar de baja. A partir de hoy, cualquier nuevo cliente que escriba por WhatsApp, se le avisará de puede consultar los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 términos y condiciones en la web y se ha modificado el formulario inicial de la página web para aceptar la política de privacidad, donde se acepta el envío de publicidad”. CUARTO: Con fecha 24/09/20, por parte de esta Agencia se realizan las comprobaciones siguientes en la web denunciada: a).- Al acceder a la página web, ***URL.1, se abre automáticamente un formulario para que los usuarios soliciten información de sus servicios, donde se debe rellenar los campos: “nombre”, “apellidos”, “número de teléfono” y “dirección de correo electrónico”. En la parte inferior del formulario existe el siguiente aviso: “Al completar el formulario, acepta la política de privacidad de XXXXXXXX - ***URL.2”. b).- Si se acceder a la “política de privacidad”, a través del enlace existente en la página, la web redirige a una nueva página, ***URL.2, donde se proporciona información sobre: el responsable del tratamiento de sus datos; la finalidad del tratamiento de los datos; la cesión de datos a organismos y autoridades y el ejercicio de los derechos de acceso, rectificación, cancelación y oposición. c).- Sobre el envío de información publicitaria a través del correo electrónico se indica: “La aceptación de las condiciones de uso y política de privacidad, ligada al uso de cualquiera de los servicios de XXXXXXXX, implica tu autorización expresa en favor de XXXXXXXX para el envío de información comercial a tu teléfono móvil y dirección de correo electrónico. Dicha autorización comprende el envío de publicidad comercial y publicitaria relacionada con las actividades, productos y servicios de XXXXXXXX y portales relacionados con la multipropiedad, así como de terceros y sus portales. Si deseas revocar dicha autorización, podrás hacerlo de forma fácil y gratuita dirigiendo tu petición al formulario electrónico que para tal efecto se indica en el Web o bien, mediante correo postal a la dirección señalada en el encabezamiento”. QUINTO: Con fecha 11/10/20, la Directora de la Agencia Española de Protección de Datos acordó Iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en - El artículo 21.2 de la LSSI, tipificada como leve en el artículo 38.4.

  1. d)de dicha norma, al no ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. - El artículo 7) del RGPD, al no recabar, de forma individualizada, el consentimiento del cliente, para el tratamiento de sus datos personales para el envío de comunicaciones comerciales cuando sea realizado por terceros ajenos a la entidad, aun cuando su fin sea idéntico. SEXTO: Tras la notificación de la incoación del expediente, no se ha recibido en esta Agencia, ningún escrito de alegaciones a dicha incoación, en el periodo concedido al efecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS 1.- Se presenta reclamación contra el titular de la web, ***URL.1 por el envío de correos electrónicos comerciales no consentidos. En el email que se adjunta al escrito se puede comprobar que no existe ningún enlace o información legal que permita el ejercicio de derechos o la posibilidad de oponerse a recibir correos publicitarios. 2.- Según manifiesta la entidad reclamada, “(…) se ha revisado el sistema y se ha revisado las listas de emails para evitar más errores de ese tipo. Además, los boletines informativos ahora siempre salen con los términos y condiciones, para poder darse de baja. En referencia al reclamante, manifiestan haber comprobado dos veces que está dado de baja totalmente, y que no volverá a recibir correos publicitarios jamás. Se ha actualizado la firma del correo general de ***EMAIL.1, para que incluya términos y condiciones, donde se detalla cómo se puede dar de baja. A partir de hoy, cualquier nuevo cliente que escriba por WhatsApp, se le avisará de puede consultar los términos y condiciones en la web y se ha modificado el formulario inicial de la página web para aceptar la política de privacidad, donde se acepta el envío de publicidad (…)”. 3.- En la política de privacidad de la web denunciada existe el siguiente mensaje: “(…) la aceptación de las condiciones de uso y política de privacidad, ligada al uso de cualquiera de los servicios de XXXXXXXX, implica tu autorización expresa en favor de XXXXXXXX para el envío de información comercial a tu teléfono móvil y dirección de correo electrónico. Dicha autorización comprende el envío de publicidad comercial y publicitaria relacionada con las actividades, productos y servicios de XXXXXXXX y portales relacionados con la multipropiedad, así como de terceros y sus portales. Si deseas revocar dicha autorización, podrás hacerlo de forma fácil y gratuita dirigiendo tu petición al formulario electrónico que para tal efecto se indica en el Web o bien, mediante correo postal a la dirección señalada en el encabezamiento(…)”. FUNDAMENTOS DE DERECHO I Competencia: Sobre la Política de Privacidad En virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. Sobre el envío de publicidad sin consentimiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), es competente para resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos. II Sobre el envío de publicidad comercial sin el consentimiento del interesado, constituye una infracción, por parte de la entidad reclamada a lo dispuesto en el artículo 21 de la LSSI, que dispone lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. La citada infracción se encuentra tipificada como leve en el art. 38.4.
  2. d)de dicha norma, que califica como tal, “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. A tenor de lo establecido en el artículo 39.1.
  3. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 €, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma. Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada una sanción de “APERCIBIMIENTO”, por la infracción del artículo 21 de la LSSI. III Respecto de la obligatoriedad de proporcionar el consentimiento previo, a la hora de darse de alta como cliente de la web, se deben hacer la siguiente consideración: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 El artículo 6.1. del RGPD, establece que el tratamiento solo será lícito si se cumple al menos una de las condiciones que se indican en el mismo, entre las que se encuentra, en su apartado b), si el tratamiento es “necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales”, en cuyo caso, el envío de comunicaciones que guarden íntima relación con el fin del contrato firmado, estaría avalado por este precepto. No obstante, para cualquier otro tipo de comunicación con el cliente, como en este caso, para, “el envío de publicidad comercial y publicitaria relacionada de portales relacionados con la multipropiedad, así como de terceros y sus portales”, sin dar la opción de rechazarlo, y sin especificar la finalidad, pues en este punto cabría, por tanto, cualquier tipo de comunicación comercial fuera o no relacionada con el fin último del contrato firmado, se debe aplicar lo dispuesto en el apartado
  4. a)del artículo 6.1 del RGPD, donde se especifica que, “el tratamiento solo será lícito si el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos”. Por su parte, el artículo 7.2 del RGPD, establece, sobre el consentimiento, que: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato”. Pues bien, de acuerdo con todo lo expresado anteriormente, el tratamiento de datos requiere la existencia de una base legal que lo legitime, como en este caso, la ejecución de un contrato en el que el interesado es parte, en cuyo caso, el envío de comunicaciones relacionadas con el fin del contrato, esto es, la información sobre multipropiedad estaría avalada por este precepto. No así, cuando el envío sea para comunicaciones de terceros ajenos a la entidad o para otras finalidades ajenas al objetivo último, en cuyo caso, es necesario el consentimiento del interesado prestado válidamente. Los hechos conocidos con constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 7 del RGPD mencionado, al realizar la recogida del consentimiento mediante una acción genérica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Por su parte, el artículo 72.1.
  5. c)de la LOPDGDD, considera muy grave, a efectos de prescripción, “El incumplimiento de los requisitos exigidos por el artículo 7 del RGPD”. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
  6. b)del RGPD. No obstante, El artículo 58.2) del RGPD dispone que: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  7. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…);
  8. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular, por lo que, la sanción que corresponde sería de apercibimiento. A la vista de lo expuesto se procede a emitir la siguiente: RESUELVE: APERCIBIR: a la entidad MERCA DESTINATIONS SL., con CIF: B93394427, titular de la página web, ***URL.1, por infracción de los artículos 21 de la LSSI y 7 del RGPD. REQUERIR: a la entidad MERCA DESTINATIONS S.L, para que, en el plazo de un mes desde este acto de notificación, proceda a tomar las medidas necesarias para, ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija y para recabar el consentimiento del cliente para el envío de comunicaciones comerciales cuando sea realizado terceros ajenos. NOTIFICAR: la presente resolución a la entidad MERCA DESTINATIONS SL. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.