← España

PS-00306-2018

1/9 Procedimiento Nº PS/00306/2018 RESOLUCIÓN: R/01618/2018 En el procedimiento sancionador PS/00306/2018, instruido por la Agencia Española de Protección de Datos a la entidad VILAN DATAMINING, S.L., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 4 de abril de 2018 tiene entrada en esta Agencia escrito de D. A.A.A. (en adelante, el denunciante) contra Sizmek Spain, S.L. y VILAN DATAMINING, S.L. (en lo sucesivo el denunciado), comunicando que: El 8 de Febrero de 2018, recibe en una cuenta de uso privado un email publicitando Gafas.es desde la dirección ***EMAIL.1. A través de su proveedor de correo, le informan que puede reclamar sus derechos, incluso que se le confirme cuando se han incorporado sus datos en dicho fichero, de que fuente y datos técnicos de dicha incorporación, cuando se le ha informado de dicha incorporación, y cuando ha dado el consentimiento para enviarle publicidad a dicho email. Como respuesta, el día 9 de febrero el denunciado (titular del dominio lacestademma.com) le informa que su correo se incluye en su Lista Robinson. Así mismo informa al denunciante que no es titular de ningún fichero, sino agente publicitario que proporciona la tecnología para realizar el envío. A pesar de ello, el día 10 de febrero vuelve a recibir dos spam publicitando a Movistar y Perfume`s club desde la dirección emm@lacestademma.com y perfumesclub@lacestademma.com. Posteriormente, el día 23 de febrero, recibe un nuevo correo enviado por el denunciado en el que se adjunta un "informe de actuaciones", supuestamente realizado por Sizmec del cual se deduce que su email ha sido capturado a través de las cookies, pero en ningún caso ni en la página del banco ni en ningún otro lugar, se informa que además de las cookies se transfieren los emails usados para acceder al banco. SEGUNDO: A la vista de los hechos denunciados, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos, solicitando información a diversas entidades, teniendo conocimiento de lo siguiente:

  1. a)Según las cabeceras de los mensajes la dirección IP desde la que se han C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 enviado los correos publicitarios es 81.93.247.13. Esta dirección está asociada a la entidad Vilan Datamaning SL que es un proveedor de servicios de correo electrónico cuya dirección de correo de abuso es abuse@mediacomlead.com. De la documentación aportada por el reclamante, recibió un correo de la dirección bajas@mediacomlead.com en fecha 09/02/2018 en el que B.B.B., le informa que su correo se incluye en su Lista Robinson. Informando al reclamante que no es titular de ningún fichero, sino agente publicitario que proporciona la tecnología para realizar el envío. A pesar de ello, el día 10/02/2018 vuelve a recibir dos spams.
  2. b)La información sobre cookies de terceros que facilita ING BANK incluye publicidad comportamental, estas cookies son de las entidades Adobe, Criteo, Google y Sizmek.
  3. c)La entidad Sizmek ha comunicado que es la plataforma de compra de publicidad digital independiente más grande del mundo para agencias y marcas. Sizmek es miembro de Network Advertising Initiative (NAI), adhiriéndose a su Código de Conducta, así como a los principios de protección de datos con fines publicitarios de Digital Advertising Alliance (DAA) y de European Interactive Digital Advertising Alliance's (EDAA). Asimismo, cumple con las políticas del IAB Europe Transparency and Consent Framework, en nuestracondición de vendedor registrado en su Global Vendor List. Los representantes de la entidad manifiestan en relación con el consentimiento otorgado por el titular de la dirección de correo electrónico ***EMAIL.2 para la remisión de las comunicaciones comerciales enviadas desde el correo electrónico ***EMAIL.1, en fecha 10 de febrero de 2018, a las 9:22:43 (CET) y a las 15:34:02 (CET), que ni tal dirección de correo electrónico, ni dato alguno de su titular consta en ninguna de las bases de datos de Sizmek. Y es que las comunicaciones comerciales a que se refiere el requerimiento no han sido enviadas desde ninguna dirección de correo electrónico de Sizmek, sino desde el dominio lacestademma.com, que no mantiene relación alguna con Sizmek. Tampoco consta que hayan recibido ninguna solicitud de baja ni de oposición del titular de los datos, al no haber sido Sizmek quien ha enviado las referidas comunicaciones comerciales. Sizmek no tiene ningún dato del denunciante ni ha mantenido contacto alguno jamás con el mismo. Tras la recepción del requerimiento de información, un representante de Sizmek mantuvo una reunión en la Agencia Española de Protección de Datos y se le facilitó copia de un correo electrónico de fecha 23 de febrero de 2018, que remite C.C.C., desde la dirección ***EMAIL.3, siendo el destinatario el denunciante, y siendo el asunto del correo electrónico "Informe de Actuaciones Detallado". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 En este correo el Sr. D. C.C.C., supuesto CEO de Mediacom Lead (marca comercial registrada por LEAD CONVERSIÓN, S.L.), contesta al denunciante (entendemos que tras el ejercicio de su derecho de oposición en respuesta a los correos comerciales de referencia), adjuntándole un "informe de actuaciones de Sizmek" que es falso. En este documento, de muy defectuosa redacción en lengua inglesa, el Sr. D. C.C.C. suplanta la identidad de Sizmek y da una explicación sobre una supuesta obtención lícita de cookies a través de ING Spain. Llama poderosamente la atención cómo de manera torticera y engañosa, se pretende desviar la atención de un presunto spam, hacia un tema de cookies, cuando es obvio que en el caso del denunciante no se trata de ningún supuesto de utilización de cookies, sino de presunto envío de comunicaciones comerciales no solicitadas. Sizmek no tiene relación comercial ni contractual alguna con C.C.C., ni con Mediacom Lead, ni con LACESTADEMMA. No han encontrado ningún sitio web activo de Mediacom Lead, siendo lo único que han encontrado el perfil de LinkedIn del Sr. D. C.C.C. (***URL.1), con quien además han tratado de ponernos en contacto sin éxito. Según los representantes de Sizmec, ese informe no ha sido elaborado por ninguna persona autorizada por la entidad sino que se ha elaborado suplantando la identidad de Sizmek, con un contenido absolutamente falso, y suponiendo en un acto la intervención de personas que no la han tenido.
  4. d)Se ha requerido a Vilan Datamining, S.L. (titular del dominio lacestademma.com) información sobre el consentimiento del titular de la cuenta de correo ***EMAIL.1 para recibir información comercial. Este requerimiento fue puesto a disposición de la entidad a través del sistema electrónico en fecha 08/06/2018 y rechazado por no constar acceso en fecha 19/06/2018. Con fecha 16/07/2018 se remitió el mismo requerimiento a través del Servicio de Correos. Con fecha 1/08/2019 tiene entrada en esta Agencia escrito de alegaciones de Vilan Datamining, S.L., adjuntando diversos documentos. Sin embargo, ninguno de ellos acredita que el denunciante haya prestado el consentimiento para la recepción de los correos referidos. TERCERO: En fecha 26/07/2018 la Directora de la Agencia Española de Protección de Datos, acordó iniciar procedimiento sancionador al denunciado por la posible infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como leve en el artículo 38.4.
  5. d)de la citada Ley. Estableciendo una sanción de 1600 € a los efectos previstos en el art. 64.2.
  6. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas y art. 127 letra
  7. b)del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD). El citado acuerdo fue notificado al denunciado el 7/08/2018 mediante el Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 CUARTO: El denunciado no ha remitido escrito de alegación alguno frente al citado acuerdo de inicio, en el que se establece literalmente lo siguiente: “...De conformidad con los artículos 64.2.
  8. f)y 85 de la LPACAP, se le informa de que si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución…” HECHOS PROBADOS PRIMERO: Con fecha 4 de abril de 2018 tiene entrada en esta Agencia escrito de D. A.A.A. (en adelante, el denunciante) contra Sizmek Spain, S.L. y VILAN DATAMINING, S.L. (en lo sucesivo el denunciado), comunicando que: El 8 de febrero de 2018, recibe en una cuenta de uso privado un email publicitando Gafas.es desde la dirección ***EMAIL.1. A través de su proveedor de correo, le informan que puede reclamar sus derechos, incluso que se le confirme cuando se han incorporado sus datos en dicho fichero, de que fuente y datos técnicos de dicha incorporación, cuando se le ha informado de dicha incorporación, y cuando ha dado el consentimiento para enviarle publicidad a dicho email. Como respuesta, el día 9 de febrero el denunciado (titular del dominio lacestademma.com) le informa que su correo se incluye en su Lista Robinson. Así mismo informa al denunciante que no es titular de ningún fichero, sino agente publicitario que proporciona la tecnología para realizar el envío. A pesar de ello, el día 10 de febrero vuelve a recibir dos spam publicitando a Movistar y Perfume`s club desde la dirección emm@lacestademma.com y perfumesclub@lacestademma.com. Posteriormente, el día 23 de febrero, recibe un nuevo correo enviado por el denunciado en el que se adjunta un "informe de actuaciones", supuestamente realizado por Sizmec del cual se deduce que su email ha sido capturado a través de las cookies, pero en ningún caso ni en la página del banco ni en ningún otro lugar, se informa que además de las cookies se transfieren los emails usados para acceder al banco. SEGUNDO: Según las cabeceras de los mensajes la dirección IP desde la que se han enviado los correos publicitarios es 81.93.247.13. Esta dirección está asociada a la entidad Vilan Datamaning SL que es un proveedor de servicios de correo electrónico cuya dirección de correo de abuso es abuse@mediacomlead.com. De la documentación aportada por el reclamante, recibió un correo de la dirección bajas@mediacomlead.com en fecha 09/02/2018 en el que B.B.B., le informa que su correo se incluye en su Lista Robinson. Informando al reclamante que no es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 titular de ningún fichero, sino agente publicitario que proporciona la tecnología para realizar el envío. A pesar de ello, el día 10/02/2018 vuelve a recibir dos spams. TERCERO: La información sobre cookies de terceros que facilita ING BANK incluye publicidad comportamental, estas cookies son de las entidades Adobe, Criteo, Google y Sizmek. CUARTO: La entidad Sizmek ha comunicado que es la plataforma de compra de publicidad digital independiente más grande del mundo para agencias y marcas. Sizmek es miembro de Network Advertising Initiative (NAI), adhiriéndose a su Código de Conducta, así como a los principios de protección de datos con fines publicitarios de Digital Advertising Alliance (DAA) y de European Interactive Digital Advertising Alliance's (EDAA). Asimismo, cumple con las políticas del IAB Europe Transparency and Consent Framework, en nuestracondición de vendedor registrado en su Global Vendor List. Los representantes de la entidad manifiestan en relación con el consentimiento otorgado por el titular de la dirección de correo electrónico ***EMAIL.2 para la remisión de las comunicaciones comerciales enviadas desde el correo electrónico ***EMAIL.1, en fecha 10 de febrero de 2018, a las 9:22:43 (CET) y a las 15:34:02 (CET), que ni tal dirección de correo electrónico, ni dato alguno de su titular consta en ninguna de las bases de datos de Sizmek. Y es que las comunicaciones comerciales a que se refiere el requerimiento no han sido enviadas desde ninguna dirección de correo electrónico de Sizmek, sino desde el dominio lacestademma.com, que no mantiene relación alguna con Sizmek. Tampoco consta que hayan recibido ninguna solicitud de baja ni de oposición del titular de los datos, al no haber sido Sizmek quien ha enviado las referidas comunicaciones comerciales. Sizmek no tiene ningún dato del denunciante ni ha mantenido contacto alguno jamás con el mismo. Tras la recepción del requerimiento de información, un representante de Sizmek mantuvo una reunión en la Agencia Española de Protección de Datos y se le facilitó copia de un correo electrónico de fecha 23 de febrero de 2018, que remite C.C.C., desde la dirección ***EMAIL.3, siendo el destinatario el denunciante, y siendo el asunto del correo electrónico "Informe de Actuaciones Detallado". En este correo el Sr. D. C.C.C., supuesto CEO de Mediacom Lead (marca comercial registrada por LEAD CONVERSIÓN, S.L.), contesta al denunciante (entendemos que tras el ejercicio de su derecho de oposición en respuesta a los correos comerciales de referencia), adjuntándole un "informe de actuaciones de Sizmek" que es falso. En este documento, de muy defectuosa redacción en lengua inglesa, el Sr. D. C.C.C. suplanta la identidad de Sizmek y da una explicación sobre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 una supuesta obtención lícita de cookies a través de ING Spain. Llama poderosamente la atención cómo de manera torticera y engañosa, se pretende desviar la atención de un presunto spam, hacia un tema de cookies, cuando es obvio que en el caso del denunciante no se trata de ningún supuesto de utilización de cookies, sino de presunto envío de comunicaciones comerciales no solicitadas. Sizmek no tiene relación comercial ni contractual alguna con C.C.C., ni con Mediacom Lead, ni con LACESTADEMMA. No han encontrado ningún sitio web activo de Mediacom Lead, siendo lo único que han encontrado el perfil de LinkedIn del Sr. D. C.C.C. (***URL.1), con quien además han tratado de ponernos en contacto sin éxito. Según los representantes de Sizmec, ese informe no ha sido elaborado por ninguna persona autorizada por la entidad sino que se ha elaborado suplantando la identidad de Sizmek, con un contenido absolutamente falso, y suponiendo en un acto la intervención de personas que no la han tenido. QUINTO: Se ha requerido a Vilan Datamining, S.L. (titular del dominio lacestademma.com) información sobre el consentimiento del titular de la cuenta de correo ***EMAIL.1 para recibir información comercial. Este requerimiento fue puesto a disposición de la entidad en fecha 08/06/2018 y rechazado por no constar acceso en fecha 19/06/2018. Con fecha 16/07/2018 se remitió el mismo requerimiento a través del Servicio de Correos. Con fecha 1/08/2019 tiene entrada en esta Agencia escrito de alegaciones de Vilan Datamining, S.L., adjuntando diversos documentos. Sin embargo, ninguno de ellos acredita que el denunciante haya prestado el consentimiento para la recepción de los correos referidos. FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
  9. d)e
  10. i)y 38.4 d),
  11. g)y
  12. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II Los hechos expuestos, en relación con el envío de las dos comunicaciones comerciales de fecha 10 de febrero de 2018, mediante correo electrónico, a la dirección de correo del denunciante supone la comisión por parte de la entidad denunciada de una infracción a lo dispuesto en el apartado 1 del artículo 21 de la LSSI, que dispone lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 destinatarios de las mismas”. La citada infracción se encuentra tipificada como leve en el artículo 38.4.
  13. d)de la LSSI, que califica como tal “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En el presente caso, la infracción del artículo 21.1 de la LSSI que se imputa a dicha entidad ha de calificarse como infracción leve, considerando el número de mensajes comerciales remitidos al denunciante. A tenor de lo establecido en el artículo 39.1.
  14. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 €, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma, cuyo tenor literal es el siguiente: “Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  15. a)La existencia de intencionalidad.
  16. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  17. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  18. d)La naturaleza y cuantía de los perjuicios causados.
  19. e)Los beneficios obtenidos por la infracción.
  20. f)Volumen de facturación a que afecte la infracción cometida.
  21. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En relación con los criterios de graduación de las sanciones recogidos en el transcrito artículo 40 de la LSSI, tras las evidencias obtenidas en la fase de investigaciones previas, se considera que en este supuesto actúa como atenuante el criterio
  22. d)recogido en el citado artículo 40 de la LSSI, ante la falta de constancia de que el denunciante haya sufrido perjuicios diferentes de los derivados de la recepción de las comunicaciones electrónicas y, como agravante, que se trata de una empresa que por su actividad debe extremar la diligencia a la hora de remitir comunicaciones comerciales. Por lo tanto, se estima adecuado a la gravedad de los hechos analizados imponer a la entidad VILAN DATAMINING, SL una sanción de 1600€. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a VILAN DATAMINING, S.L. con NIF ***NIF.1, por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  23. d)de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 LSSI, una multa 1600 € (mil seiscientos euros), de conformidad con lo establecido en los artículos 39 y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a VILAN DATAMINING, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  24. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  25. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.