PS-00327-2020

1/9  Procedimiento Nº: PS/00327/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 24 de mayo de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ESTILO 1221, S.C. con NIF J92891811 (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: “Denuncio a esta persona por enviarme correos de forma masiva desde al año 2017 a partir de una compra que hice en su página web. sin mi consentimiento empezaron a enviarme correos de publicidad, […] ya que me han enviado publicidad desde aquel entonces y he pedido que me retiren de su lista de publicidad sin tener efecto a día de la fecha. Lo he tenido que pedir escribiéndoles un mail, ya que lo que envían es un correo electrónico con la publicidad, sin enlace de baja al boletín de ofertas ni nada. […] La última vez que les escribí, dijeron que me darían de baja y cómo podéis comprobar en una de las capturas me han vuelto a mandar otra publicidad el día 20 de mayo de este año. También adjunto copia de la confirmación del pedido donde podéis ver los datos que les proporcioné en aquel entonces para la compra y en ninguna parte indica que yo haya aceptado suscribirme a su boletín de ofertas. […].” Junto a la reclamación aporta varias capturas de pantalla de: 1. Confirmación del pedido realizado el 10 de agosto de 2017. 2. Solicitud de baja del boletín publicitario efectuada el 17 de marzo de 2018. 3. Solicitud de baja del boletín efectuada el 16 de febrero de 2019 tras una comunicación comercial enviada por el reclamado. 4. Comunicación comercial del reclamado enviada el 20 de mayo de 2020. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). La citada notificación, fue remitida electrónicamente, al tratarse del reclamado de un sujeto obligado a relacionarse por medios electrónicos con las Administraciones Públicas, no fue atendida y expiró el 19 de junio de 2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 El 22 de junio de 2020 se procedió a reiterar el traslado de la reclamación por correo postal. El intento de notificación de esta reiteración resultó infructuoso y fue devuelto a por “dirección incorrecta”. Efectuada consulta a la Agencia Tributaria acerca del domicilio fiscal del reclamado, se procedió a realizar un nuevo intento de notificación del traslado de la reclamación en el nuevo domicilio comunicado el día 7 de agosto de 2020, que fue nuevamente devuelto por sobrante (no retirado en oficina). TERCERO: La reclamación fue admitida a trámite mediante resolución de la Directora de la Agencia Española de Protección de Datos de fecha 18 de septiembre de 2020. CUARTO: Con fecha 26 de octubre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada en el artículo 38.4.

1. d)de la citada norma LSSI. QUINTO: La notificación electrónica del acuerdo de inicio fue puesta a disposición del reclamado el 28 de octubre de 2020 a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada sin que aquel accediera a su contenido en el plazo de 10 días naturales. De acuerdo con lo dispuesto en el artículo 43.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la mencionada notificación debe entenderse rechazada. SEXTO: Con fecha 15 de diciembre de 2020, el instructor del procedimiento notificó al reclamado la apertura de un período de práctica de pruebas en el que se acordaba dar por reproducidos, a efectos probatorios la reclamación interpuesta por el reclamante y la documentación aportada así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos que forman parte del expediente E/04023/2020, en el seno del cual se procedió al traslado de la reclamación a que se ha hecho referencia en el antecedente segundo. Este trámite fue notificado el día 12 de enero de 2021. SÉPTIMO: Notificado formalmente el acuerdo de inicio el día 16 de octubre de 2010, el reclamado no ha presentado al acuerdo de inicio, por lo que resulta de aplicación lo señalado en el artículo 64.2.
2. f)de la LPACAP, que establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 HECHOS PRIMERO: De acuerdo con la reclamación y las capturas de pantalla aportadas, el día 20 de mayo de 2020, el reclamante recibe una comunicación comercial por correo electrónico proveniente de ESTILO 1221 sc. SEGUNDO: El texto de la comunicación es “Empezamos una nueva etapa con nuevos productos y súper precios y con mucha fuerza. Este virus lo combatimos juntos y no nos rendimos nunca” acompañado de una fotografía. TERCERO: El reclamado realizó la compra de un producto en la web del reclamado el 10 de agosto de 2017. De acuerdo con las capturas de pantalla aportadas en la reclamación, ante la falta de enlace de baja en las comunicaciones comerciales, el reclamante envió un correo el 17 de marzo de 2018 a la cuenta de correo que las enviaba solicitando su baja del boletín de novedades. Esta solicitud de baja se reitera el 16 de febrero de 2019. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado la comisión de una infracción por vulneración del 21.1 de la LSSI. El tenor literal de este artículo es el siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. “2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. “En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 “Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” La infracción se tipifica en el artículo 34.4 de la citada norma que dispone: 4. Son infracciones leves: […]
3. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave.” Esta infracción puede ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1.
4. c)de la LSSI. A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior prescribe a los 6 meses, conforme al artículo 45 de la LSSI. III El artículo 21.1 de la LSSI prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo. Esta prohibición así referida, parte de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y para definir estos conceptos, será necesario acudir a los anexos de la propia LSSI. La LSSI, en su anexo a), define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: […] 4º El envío de comunicaciones comerciales […]”. Y posteriormente, en el Anexo
5. f)define el concepto de comunicación comercial de la siguiente manera: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 “
6. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. Como puede observarse, será en aquellos supuestos en los que la comunicación comercial no reúna los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, cuando pierda el carácter de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV Una vez expuesto, en el fundamento jurídico anterior el marco jurídico conceptual que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes, es necesario señalar que el artículo 19.2 de la propia LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Del precepto señalado se deduce, por tanto, que es de aplicación la normativa de protección de datos de carácter personal, si bien la remisión que se efectúa a la Ley 15/1999 ha de interpretarse como hecha a la normativa vigente actualmente: el RGPD y la LOPDGDD. Como consecuencia de lo expuesto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 4.11) del RGPD, que define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;”. Por su parte el artículo 6.1.
7. a)del RGPD establece en cuanto a la “Licitud del tratamiento” que: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9
8. a)El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; “ A su vez, el artículo 7 del RGPD determina en cuanto a las “Condiciones para el consentimiento” que: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.” En cuanto al derecho de oposición, los apartados 2 al 4 del artículo 21 del RGPD disponen lo siguiente: “2. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia. 3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines. 4. A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información. 5. En el contexto de la utilización de servicios de la sociedad de la información, y no obstante lo dispuesto en la Directiva 2002/58/CE, el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas.” Así las cosas, de acuerdo con los preceptos transcritos, el consentimiento otorgado para la recepción de publicidad por medios de comunicación electrónica, además de previo, libre, específico e inequívoco, deberá ser informado, ofreciendo la posibilidad de oponerse a dicho tratamiento con fines promocionales y advirtiendo sobre el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 derecho a retirar el consentimiento en cualquier momento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. V En el presente supuesto, la valoración del conjunta de elementos fácticos obrantes en el procedimiento sancionador pone de manifiesto que el reclamado. envió, el 20 de mayo de 2020, una comunicación comercial al reclamante a través de un correo electrónico, sin contar con la autorización previa y expresa del destinatario para ello. La afirmación así realizada acerca del carácter no solicitado o expresamente consentido por el receptor, se fundamenta en que, aunque el origen de las comunicaciones comerciales del reclamado pueda basarse en la adquisición de un producto (es decir, en el establecimiento de una relación contractual) por parte del reclamante en fecha 17 de agosto de2017, este último envió un correo el día 17 de marzo de 2018 solicitando la baja del boletín de novedades, petición que es reiterada el día 16 de febrero de 2019. A este respecto, se recuerda que el artículo 22.1 de la LSSI establece que: “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente.” Se significa, además, y aunque no se ha imputado infracción por este punto que los correos electrónicos comerciales no incorporan la obligatoria dirección de correo electrónico u otra dirección electrónica válida para solicitar la oposición al tratamiento de los datos con fines promocionales o la revocación al consentimiento prestado para la recepción de comunicaciones comerciales que prescribe el artículo 21.2 y 22.1 de la LSSI. VI Los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de sancionar con apercibimiento -artículo 58.2 b)-, la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
9. d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. VII A efectos de fijar la sanción a imponer al reclamado, se considera que procede graduar la sanción a imponer de acuerdo con los criterios que establece el artículo 40 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Se considera que concurren las siguientes circunstancias agravantes.  Existencia de intencionalidad (artículo 40, letra a), debido a que la falta de habilitación del mecanismo preceptivo en los correos para solicitar la oposición al tratamiento de datos con fines promocionales denotaría una voluntad del reclamado de impedir el ejercicio de derechos por parte de los interesados. Asimismo, se considera que concurre la siguiente circunstancia atenuante:  La naturaleza y cuantía de los perjuicios causados (artículo 40, letra d): no existe constancia de otros perjuicios sufridos por el reclamante, aparte de la recepción no solicitada de la comunicación. En base a lo anterior, se considera que la sanción que corresponde imponer es de mil quinientos euros (1.500,00 €). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ESTILO 1221, S.C., con NIF J92891811, por una infracción del artículo 21.1 de la LSSI, tipificada en el artículo 38.4.
10. d)de la citada norma, una multa de MIL QUINIENTOS EUROS (1.500,00 €). SEGUNDO: NOTIFICAR la presente resolución a ESTILO 1221, S.C. e informar al reclamante. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
11. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
12. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es