PS-00328-2022

1/44  Expediente N.º: PS/00328/2022 IMI Reference: A56ID 305831 - A60DD 517918 - Case Register 397199 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) interpuso reclamación, con fecha 29 de diciembre de 2020, ante la autoridad de protección de datos de Sajonia, Saxon Data Protection Commissioner (en adelante, SA Saxon). La reclamación se dirige contra THE MAIL TRACK COMPANY, S.L. con NIF B66095670 (en adelante MAILTRACK). Los motivos en que basa la reclamación son los siguientes: La compañía ofrece un software gratuito para rastreo de correos electrónicos de forma que el emisor de un correo es informado a través del programa de que el receptor lo ha abierto y cuándo. Además, tales correos proporcionan un enlace al home page de mailtrack.io. Si el receptor reenvía el email, se insertan elementos dentro del mail y esto podría transferir sus datos a terceros. La parte reclamante ha recibido varios correos que implementan el software de MAILTRACK y considera que el emisor, con la ayuda del software MAILTRACK, transfiere datos a terceros sin su consentimiento. Además, considera que ni el enlace que aparece en el correo electrónico ni la política de privacidad de MAILTRACK informan suficientemente sobre qué datos se transfieren al emisor del correo ni sobre el tratamiento que se realiza sobre los datos. Junto a la reclamación se aporta: - Extracto de código HTML, que la parte reclamante indica que es el pie de firma que aparece en un correo electrónico que ha recibido que utiliza el servicio de MAILTRACK. En este extracto de código se incluyen los siguientes enlaces a contenidos externos: - El siguiente enlace a la página inicial del sitio web de MAILTRACK: ***URL.1 - Enlaces a las siguientes imágenes: 1. ***URL.2 2. ***URL.3 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/44 SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 24 de junio de 2021 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el día 25 de junio de 2021. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que MAILTRACK tiene su sede social y establecimiento único en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad de protección de datos de Sajonia (Alemania), las autoridades de Mecklemburgo-Pomerania Occidental, Hesse, Baviera, Berlín, Baden-Wurtemberg (todos ellos estados federados de Alemania), Países Bajos, Suecia, Eslovaquia, Polonia, Noruega, Italia, Irlanda, Hungría, Francia, Finlandia, Estonia, Dinamarca y Austria. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: Con fecha 10 de agosto de 2021, de conformidad con el artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El día 11 de mayo de 2022, se añade la extensión de Mailtrack al navegador web la cuenta de Gmail “***EMAIL.1” y se envía un correo electrónico a la cuenta “***EMAIL.2”. Posteriormente, en el navegador web Firefox, se accede a la cuenta de Gmail “***EMAIL.2” y, después de iniciar la monitorización de las conexiones de red de este navegador, se abre ese correo electrónico, obteniéndose, entre otra, la siguiente información relevante: 1. Al abrir el correo electrónico recibido en la cuenta de Gmail “***EMAIL.2”, se observa que se realizan varias peticiones HTTP desde el navegador web, entre las que se incluyen las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/44 1.1. Petición GET de la imagen https://s3.amazonaws.com/mailtracksignature/sender-notified-72.gif realizada a través del proxy de imágenes de Google, con el siguiente contenido en formato HAR: "request": { "bodySize": 0, "method": "GET", "url": ***URL.4 "httpVersion": "HTTP/2", "headers": [ { "name": "Host", "value": "***URL.5" }, { "name": "User-Agent", "value": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:100.0) Gecko/20100101 Firefox/100.0" }, { "name": "Accept", "value": "image/avif,image/webp,*/*" }, { "name": "Accept-Language", "value": "es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3" }, { "name": "Accept-Encoding", "value": "gzip, deflate, br" }, { "name": "Referer", "value": "***URL.6" }, { "name": "Connection", "value": "keep-alive" }, { "name": "Sec-Fetch-Dest", "value": "image" }, { "name": "Sec-Fetch-Mode", "value": "no-cors" }, { "name": "Sec-Fetch-Site", "value": "cross-site" C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/44 } ], "cookies": [], "queryString": [], "headersSize": 537 }, 1.2. Petición GET de la imagen ***URL.7 realizada a través del proxy de imágenes de Google, con el siguiente contenido en formato HAR: "request": { "bodySize": 0, "method": "GET", "url": "***URL.8", "httpVersion": "HTTP/2", "headers": [ { "name": "Host", "value": "ci4.googleusercontent.com" }, { "name": "User-Agent", "value": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:100.0) Gecko/20100101 Firefox/100.0" }, { "name": "Accept", "value": "image/avif,image/webp,*/*" }, { "name": "Accept-Language", "value": "es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3" }, { "name": "Accept-Encoding", "value": "gzip, deflate, br" }, { "name": "Referer", "value": "https://mail.google.com/" }, { "name": "Connection", "value": "keep-alive" }, { "name": "Sec-Fetch-Dest", "value": "image" }, { C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/44 "name": "Sec-Fetch-Mode", "value": "no-cors" }, { "name": "Sec-Fetch-Site", "value": "cross-site" } ], "cookies": [], "queryString": [], "headersSize": 562 } 2. El correo electrónico recibido por “***EMAIL.2” con tiene un enlace a la URL “***URL.9”. Al clicar en este enlace, aparece la página de inicio del sitio web de MAILTRACK. Desplazándose a la parte inferior de la página de inicio del sitio web de MAILTRACK, aparecen varios enlaces, entre los que se encuentra el enlace “Privacidad”, que conduce a la política de privacidad de MAILTRACK. El día 12 de mayo de 2022, se realiza una búsqueda en el sitio web https://archive.org/web/ del histórico de la política de privacidad del sitio web https://mailtrack.io, obteniendo el siguiente resultado: 3. El contenido de la página web ***URL.10 (que contiene la política de privacidad de Mailtrack en inglés) del día 2 de enero de 2021 a las 3:35 horas, dentro de la cual se indica que la última vez que fue modificada fue en septiembre de 2020. 4. El contenido de la página web ***URL.11 (que contiene la política de privacidad de Mailtrack en español) del día 22 de enero de 2021 a las 7:31 horas, dentro de la cual se indica que la última vez que fue modificada fue en septiembre de 2020. 5. En la política de privacidad de Mailtrack en español del día 22 de enero de 2021 a las 7:31 horas, aparece la siguiente información respecto al tratamiento de datos personales que realiza MAILTRACK en nombre de sus usuarios como encargado del tratamiento: 3.1. Este Apartado detalla el tratamiento de datos personales por parte de THE MAIL TRACK COMPANY en nombre de los Usuarios, como encargado del tratamiento, es decir, cuando los fines y medios para el tratamiento de los datos son decididos por el Usuario y THE MAIL TRACK COMPANY solo accede a los datos para la prestación del Servicio y en nombre del Usuario. El Servicio puede implicar el acceso y tratamiento por parte de THE MAIL TRACK COMPANY a datos personales tratados por el Usuario y desarrollados dentro del Servicio en relación con cada correo electrónico enviado por el Usuario a través del Servicio («Datos de Acceso»). En estos casos, THE MAIL TRACK COMPANY actuará en condición de encargado del tratamiento y tratará dichos datos personales solo en nombre del Usuario y no para sus propios fines. Los Datos de Acceso comprenderán:  Información necesaria para identificar los correos electrónicos enviados a través del Servicio: o información de los destinatarios; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/44 objeto del correo electrónico; cuerpo del correo electrónico, solo cuando sea necesario para prestar el Servicio y como se describe a continuación; y o fecha y hora en que se envió el correo electrónico.  Información proporcionada por el Servicio: o confirmación de recibo; o confirmación de apertura; o cuerpo del correo electrónico, solo cuando sea necesario para prestar el Servicio y como se describe a continuación; o marca de tiempo de cada apertura de correo electrónico; o historial de las horas (número, fecha y hora) a las que el destinatario ha abierto el correo electrónico recibido; o navegador y sistema operativo utilizado por el destinatario que abrió el correo electrónico; o número de enlaces incluidos en el correo electrónico; o texto y URL de dichos enlaces; o número de clics realizados en cada uno de ellos por el destinatario; o marca de tiempo de cada clic en el correo electrónico; y o navegador y sistema operativo utilizado por la persona que ha hecho clic en el correo electrónico. Los Datos de Acceso son la única información a la que THE MAIL TRACK COMPANY tendrá acceso para prestar el Servicio. Las autorizaciones para Gmail y la conexión a su cuenta de Google detalladas en los Términos y Condiciones del Servicio son necesarias técnicamente para la prestación del Servicio por parte de THE MAIL TRACK COMPANY y para proporcionar el servicio de seguimiento de correo electrónico, pero no implican el acceso por parte de THE MAIL TRACK COMPANY a ningún dato o información del Usuario distinto de los Datos de Acceso. Para su mejor comprensión, este es el desglose del uso de los permisos anteriores por parte de THE MAIL TRACK COMPANY:  Permisos básicos acceso a los metadatos de su correo electrónico, tales como etiquetas y encabezamientos. El Servicio necesita este permiso para identificar sus correos electrónicos y asignar correctamente el estado abierto (doble marca de verificación).  Inserte el correo electrónico en su bandeja de entrada: este permiso es necesario para agregar alertas de correo electrónico en su bandeja de entrada de Gmail cuando se abren sus correos electrónicos.  Revisión y administración sus configuraciones básicas de correo electrónico: el Servicio necesita conocer su configuración (p.ej. alias, estilo de diseño) para funcionar correctamente.  Administrar las etiquetas de los buzones de correo: las marcas de doble verificación en los dispositivos móviles se añaden como etiquetas. El Servicio necesita este permiso para agregar etiquetas (marcas de verificación) a sus correos electrónicos y actualizarlas cuando éstos se abran.  Lea, envíe, elimine y administre su correo electrónico: El servicio de campañas hace una copia de su correo electrónico para cada destinatario y utiliza “enviar permiso de la API de Gmail“ para enviar y rastrear individualmente una copia de este correo electrónico. El Servicio necesita eliminar el píxel de seguimiento de sus correos electrónicos enviados, por lo o o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/44 que cuando abre sus propios correos electrónicos no produce una autoapertura. Nadie en THE MAIL TRACK COMPANY leerá sus correos electrónicos, THE MAIL TRACK COMPANY nunca enviará correos electrónicos en su nombre y nunca compartirá el contenido de sus correos electrónicos.  Revisión y actualización de sus datos en varios sitios web (Todos los sitios usergooglecontent.com, todos los sitios mailtrack.io, mail.google.com, mailtrack.io): el Servicio modifica los sitios web de Gmail y Google Inbox con el fin de mostrar las marcas dobles de verificación, así como el sitio web de Mailtrack. Como se detalla en los permisos anteriores, algunos de ellos nunca son utilizados por THE MAIL TRACK COMPANY, pero el sistema de permisos de Google no tiene suficiente granularidad para seleccionar solo los que THE MAIL TRACK COMPANY realmente necesita. THE MAIL TRACK COMPANY garantiza que:  solo el software automatizado utiliza los permisos anteriores;  nadie en THE MAIL TRACK COMPANY lee sus correos electrónicos;  THE MAIL TRACK COMPANY nunca enviará correos electrónicos en su nombre;  THE MAIL TRACK COMPANY nunca compartirá el contenido de sus correos electrónicos con terceros;  THE MAIL TRACK COMPANY nunca compartirá sus datos de navegación con terceros;  THE MAIL TRACK COMPANY no almacena el cuerpo de sus correos electrónicos. El tratamiento de los datos personales mencionados se realiza únicamente para la prestación del Servicio dentro de los términos y duración indicados en las Condiciones del Servicio. 3.2. En consecuencia, THE MAIL TRACK COMPANY: (

1. i)no tratará los Datos de Acceso para fines distintos de la prestación del Servicio solicitada por el Usuario y no transferirá dichos datos, ni siquiera para su almacenamiento, a terceros no autorizados; (
2. ii)tratará los Datos de Acceso siguiendo instrucciones documentadas del Usuario. Cuando THE MAIL TRACK COMPANY tenga conocimiento de que las instrucciones dadas por el Usuario infringen la normativa de protección de datos, THE MAIL TRACK COMPANY informará inmediatamente al Usuario; (iii) notificará sin demora al Usuario si tiene conocimiento de alguna violación de datos y facilitará todos los detalles de la infracción pertinente; (
3. iv)garantizar que las personas autorizadas dentro de THE MAIL TRACK COMPANY para tratar los Datos de Acceso se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad conveniente; (
4. v)teniendo en cuenta la naturaleza del tratamiento, asistirá al Usuario mediante las medidas técnicas y organizativas adecuadas, en la medida de lo posible, al cumplimiento de la obligación de los Usuarios de responder a las solicitudes de ejercicio de los derechos del interesado establecidos en el capítulo III del RGPD; (
5. vi)adoptará todas las medidas necesarias de conformidad con el artículo 32 del RGPD (seguridad del tratamiento); (vii) asistirá al Usuario en el cumplimiento de sus obligaciones en virtud de los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/44 información de que dispone THE MAIL TRACK COMPANY, incluyendo, entre otras cosas: a. a elección del Usuario, THE MAIL TRACK COMPANY eliminará o devolverá todos los Datos de Acceso al Usuario una vez finalizado el Servicio, a menos que la normativa aplicable exija el almacenamiento de los datos; y b. podrá a disposición del Usuario toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD, y permitirá y contribuirá a las auditorías, incluidas las inspecciones, realizadas por el Usuario o por otro auditor autorizado por el Usuario. 3.3 THE MAIL TRACK COMPANY no subcontratará a terceros para las operaciones de tratamiento que puedan implicar el acceso a los Datos de Acceso sin la autorización del Usuario. A este respecto, se considerarán autorizados por el Usuario los siguientes subencargados del tratamiento:  Amazon Web Services, Inc. como proveedor del alojamiento del Servicio, a través de servidores ubicados en Irlanda.  Servicios de Google: Google Apps, Google APIs, Google Analytics, Webmaster Tools y Google Forms.  HelpScout, para la prestación del servicio al cliente.  Logentries para almacenamiento de registros de servidores. 3.4. THE MAIL TRACK COMPANY garantizará la confidencialidad de los Datos de Acceso, incluso después de la terminación del Servicio. 3.5. El Usuario es el responsable del tratamiento de los Datos de Acceso en el contexto del RGPD. El Usuario será el único que definirá los fines y medios para el tratamiento de los Datos de Acceso, por lo que THE MAIL TRACK COMPANY, sin que en ningún caso pueda entenderse que THE MAIL TRACK COMPANY trata los Datos de Acceso para sus propios fines, cuando solo los utiliza para la prestación del Servicio y actuando en nombre del Usuario. En consecuencia, el Usuario deberá cumplir con las obligaciones aplicables en virtud de la normativa de protección de datos, incluida legitimación en una base jurídica adecuada para el tratamiento de los datos personales de los destinatarios de los correos electrónicos enviados empleando el Servicio. El Usuario, y no THE MAIL TRACK COMPANY, será el único responsable del cumplimiento de dichas obligaciones. 3.6. El Usuario reconoce y acepta que el uso del Servicio y el tratamiento de los Datos de Acceso como resultado del mismo es fruto de una decisión propia y libre y que ha entendido y verificado que las condiciones del Servicio y del tratamiento de los Datos de Acceso se realiza en consonancia con sus intereses. En consulta realizada al servicio de monitorización de Axesor (***URL.12) el día 13 de mayo de 2022, se observa que THE MAIL TRACK COMPANY SL tuvo unas ventas de 3.445.699 euros y un número de empleados de 23. QUINTO: Con fecha 20 de julio de 2022, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Este proyecto de decisión, que se notificó a MAILTRACK conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 21 de julio de 2022, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/44 Siguiendo el proceso establecido en el artículo 60 del RGPD, el 28 de julio de 2022 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.4 de la LOPDGDD. Dentro del plazo habilitado a tal efecto, la autoridad de control de Sajonia, con participación de las autoridades de Berlín y Mecklemburgo-Pomerania Occidental (Alemania), presentó sus objeciones pertinentes y motivadas a los efectos de lo previsto en el artículo 60 del RGPD. SEXTO: Con fecha 14 de febrero de 2023 la autoridad de Sajonia aporta a esta Agencia los correos electrónicos recibidos por la parte reclamante en los que se hacía uso del servicio de MAILTRACK, los cuales se incorporan al expediente mediante diligencia de fecha 21 de febrero de 2023. SÉPTIMO: Con fecha 16 de marzo de 2023, la Directora de la AEPD adoptó un proyecto revisado de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 16 de marzo de 2023 se transmitió a través del sistema IMI este proyecto revisado de decisión y se les hizo saber a las autoridades interesadas que tenían dos semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas dos semanas, de acuerdo con lo dispuesto en el artículo 64.4 de la LOPDGDD. Dentro del plazo establecido a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto revisado de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. OCTAVO: Con fecha 31 de marzo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a MAILTRACK, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la supuesta infracción de los artículos 13 y 14 del RGPD, tipificada en el artículo 83.5 de dicha norma; por la supuesta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 de dicha norma y por la supuesta infracción del artículo 5.1.
6. a)del RGPD, tipificada en el artículo 83.5 de dicha norma, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a MAILTRACK conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 4 de abril de 2023, como consta en el acuse de recibo que obra en el expediente. NOVENO: Con fecha 12 de abril de 2023, MAILTRACK presenta un escrito a través del cual solicita la ampliación del plazo para aducir alegaciones y que se le facilite copia del expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/44 DÉCIMO: Con fecha 14 de abril de 2023, el órgano instructor del procedimiento acuerda denegar la ampliación de plazo instada, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP, y se le remita a MAILTRACK copia del expediente. El citado acuerdo y la copia del expediente se notifica a MAILTRACK en fecha 17 de abril de 2023, como consta en el acuse de recibo que obra en el expediente. DÉCIMO PRIMERO: Con fecha 20 de abril de 2023, se recibe en esta Agencia, en tiempo y forma, escrito de MAILTRACK en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que es un encargado del tratamiento de los datos relativos a las comunicaciones de sus usuarios con los destinatarios, al no determinar los medios y los fines del tratamiento, concluyendo que no es responsable del tratamiento de los datos relativos a las comunicaciones efectuadas por los usuarios. No proceden las infracciones imputadas al estar sujeto a los artículos 28 y 29 del RGPD. DÉCIMO SEGUNDO: Con fecha 27/09/2022, el órgano instructor del procedimiento sancionador formuló propuesta de resolución, en la que propone que por la Directora de la AEPD se sancione THE MAIL TRACK COMPANY, S.L., con NIF B66095670, por la infracción de los artículos 13 y 14 del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 20.000 € (veinte mil euros), por la infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 30.000 € (treinta mil euros) y, por la presunta infracción del artículo 5.1.
7. a)del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 50.000 € (cincuenta mil euros). Esta propuesta de resolución, que se notificó a MAILTRACK conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 02/05/2023, como consta en el acuse de recibo que obra en el expediente. DÉCIMO TERCERO: Con fecha 16 de mayo de 2023, se recibe en esta Agencia, en tiempo y forma, escrito de MAILTRACK en el que aduce alegaciones a la propuesta de resolución. En síntesis, las alegaciones presentadas por MAILTRACK en el trámite de audiencia al interesado vienen a reproducir los argumentos manifestados en el trámite de alegaciones, considerando que MAILTRACK es encargado del tratamiento y no responsable, ya que no determina los fines y los medios del tratamiento, condición que corresponde al usuario de su servicio, quien puede elegir entre las diferentes prestaciones y funcionalidades que se ofrecen en la herramienta de MAILTRACK según le interese. Según MAILTRACK, no establece relaciones con los afectados que no sean por cuenta del usuario que usa su herramienta y no hay ninguna base o evidencia para afirmar lo contrario. Por último, MAILTRACK considera que el RGPD sigue resultando de aplicación a los responsables o encargados vinculados a tratamientos afectados por la “excepción doméstica”, por lo que es posible que puede existir la excepción doméstica y un encargado del tratamiento. DÉCIMO CUARTO: Con fecha 22 de mayo de 2023, la Directora de la AEPD adoptó un proyecto de resolución de procedimiento sancionador. Siguiendo el proceso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/44 establecido en el artículo 60 del RGPD, el 22 de mayo de 2023 se transmitió a través del sistema IMI este proyecto de resolución y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.5 de la LOPDGDD. Dentro del plazo establecido a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión de resolución y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 15 de octubre de 2020 se envió un correo electrónico desde la dirección ***EMAIL.5 con el asunto “[Helpdesk] Ask for help”. Al pie de este correo se observa la leyenda “Remitente notificado por Mailtrack” (en inglés la leyenda original). SEGUNDO: El 24 de noviembre de 2020 se envió un correo electrónico desde la dirección ***EMAIL.5 con el asunto “[Helpdesk] Internt suspension”. Al pie de este correo se observa la leyenda “Remitente notificado por Mailtrack” (en inglés la leyenda original). TERCERO: En su reclamación de 29 de diciembre de 2020 la parte reclamante afirma haber recibido correos electrónicos que implementan el software de MAILTRACK, en los que, como pie de firma, constan extracto de código HTML con los siguientes enlaces a contenidos externos: - Enlace a la página inicial del sitio web de MAILTRACK: ***URL.1 - Enlaces a las siguientes imágenes: 1. ***URL.2 2. ***URL.3 CUARTO: La política de privacidad del sitio web ***URL.4 a fecha de 22 de enero de 2021, indicaba el siguiente contenido: A) Información previa a la tabla de contenidos de la política de privacidad “(…) Última modificación: Septiembre de 2020. (…) (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/44 (…) B) Tratamiento de datos personales como responsable de tratamiento C) Con relación a los datos de los receptores de los emails que trata MAILTRACK: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/44 D) En cuanto a los datos objeto de tratamiento y la relación entre MAILTRACK y el usuario de sus servicios: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/44 E) Por último, se dice respecto a la exclusión del servicio de MAILTRACK: QUINTO: Con fecha 11 de mayo de 2022 esta Agencia realiza las siguientes comprobaciones: - Después de haber limpiado la caché, cookies y otros datos almacenados del navegador web Google Chrome versión 101.0.4951.64 (Build oficial) (64 bits), y tras haber forzado al navegador a descargar la última versión de la página web mailtrack.io alojada en el servidor remoto, mediante la pulsación de la combinación de teclas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/44 Control + F5, se clica en la opción de “Instalar Gratis”, y se añade la extensión “Tracking para Gmail y Mail Merge – Mailtrack” a Chrome. A continuación, se conecta Mailtrack con la cuenta de Gmail “***EMAIL.1” mediante el botón “Conéctate con Google” que aparece en pantalla (introduciendo el nombre de la cuenta y la contraseña de esta cuenta de Gmail). Y se da permiso a Mailtrack para “Leer, redactar, enviar y eliminar permanentemente correos de Gmail” en la cuenta “***EMAIL.1”, y se selecciona el plan “Gratis”. Tras finalizar la instalación de Mailtrack, se accede a la cuenta de Gmail “***EMAIL.1”, en la que aparece un mensaje indicando que Mailtrack está instalado, y se remite un correo electrónico a la dirección “***EMAIL.2” con el título “email de prueba de mailtrack”. - A continuación, se abre el navegador web Mozilla Firefox versión 100.0 (64-bit). Y después de haber limpiado las cookies, datos de sitios y caché almacenados del navegador web, y tras haber forzado al navegador a descargar la última versión de la página web www.gmail.com alojada en el servidor remoto, mediante la pulsación de la combinación de teclas Control + F5, se inicia sesión con la cuenta de Gmail “***EMAIL.2” y se observa que, en la bandeja de correos “Recibidos” aparece el correo electrónico enviado previamente desde la cuenta “***EMAIL.1” con el título “email de prueba de mailtrack”. - Posteriormente, en el navegador Google Chrome, se accede a la cuenta de Gmail “***EMAIL.1” y se observa que en la bandeja de correos “Enviados” aparece el correo que se acaba de enviar marcado como que ha sido enviado pero no ha sido leído aún. - En el navegador Firefox, el usuario “***EMAIL.2” accede al correo electrónico recibido desde la cuenta “***EMAIL.1” con el título “email de prueba de mailtrack”. Aparecen los siguientes mensajes “GET” enviados: Las dos peticiones “GET” que aparecen se corresponden con dos imágenes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/44 - La imagen ***URL.13, de 72x72 píxeles con la siguiente forma: - La imagen ***URL.14 de 1x1 píxeles. - En el navegador Google Chrome (en el que se había iniciado sesión de Gmail la cuenta “***EMAIL.1”), a continuación, se observa que en la bandeja de correos “Enviados” de Gmail ha cambiado el doble check del correo que se había enviado a “***EMAIL.2” con el título “email de prueba de mailtrack”. - En el navegador Firefox (en el que se había iniciado sesión de Gmail la cuenta “***EMAIL.2”), se accede al enlace a “Mailtrack” que aparecía en el pie de firma del correo recibido desde la cuenta “***EMAIL.1” con el título “email de prueba de mailtrack”. Tras clicar en este enlace “Mailtrack” (que apunta a la dirección “***URL.15”), se abre la página inicial del sitio web de Mailtrack. Y se observa que el final de esta página se observa un enlace denominado “Privacidad”, que apunta a la URL ***URL.16: SEXTO: A fecha 16 de junio de 2022 la página web “***URL.17” explica cómo se puede evitar ser rastreado por el servicio de MAILTRACK, con el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/44 SÉPTIMO: La política de privacidad del sitio web ***URL.18 a fecha 20 de abril de 2023 indica el siguiente contenido: A) Información previa a la tabla de contenidos de la política de privacidad “(…) Última modificación: Abril de 2023”. Se eliminó el cuadro previo a la tabla de contenidos de la política de privacidad. B) Tratamiento de datos personales como responsable de tratamiento (…) C) Con relación a los datos de los receptores de los emails que trata MAILTRACK: D) En cuanto a los datos objeto de tratamiento y la relación entre MAILTRACK y el usuario de sus servicios: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/44 E) Por último, se dice respecto a la exclusión del servicio de MAILTRACK: (…) OCTAVO: MAILTRACK ofrece una herramienta de seguimiento de correos electrónicos, que permite a los remitentes conocer si sus correos electrónicos han sido abiertos o no, a través de un sistema de seguimiento basado en píxeles. La herramienta se ofrece como una extensión en el navegador Chrome para los usuarios de Gmail. MAILTRACK ofrece un software, con una versión gratuita para rastreo de correos electrónicos de forma que el emisor de un correo es informado a través del programa de que el receptor lo ha abierto y cuándo. Además, tales correos proporcionan un enlace al home page de mailtrack.io. Desde esta página inicial, se puede acceder a la política de privacidad descendiendo hasta el final de la página y clicando en el enlace denominado “Privacidad”. MAILTRACK ofrece también versiones de pago, que permiten al remitente de los correos ocultar la leyenda que indica que tales correos fueron enviados utilizando la herramienta Mailtrack. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/44 NOVENO: A 24 de abril de 2023, la página web ***URL.19 muestra el siguiente contenido: DÉCIMO: En el año 2021 THE MAIL TRACK COMPANY SL tuvo unas ventas de 3.445.699 euros y contaba con 23 empleados. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con lo dispuesto en los artículos 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la LOPDGDD es competente para adoptar este proyecto revisado de decisión la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Cuestiones Previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/44 En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que MAILTRACK, tal y como se comprueba de las actuaciones efectuadas por esta Agencia y de la propia Política de Privacidad de MAILTRACK, realiza la recogida de información de usuarios y destinatarios, así como de la conducta de estos últimos con relación a los datos de apertura y lectura de los correos electrónicos enviados a través de la herramienta. Además, se trata de un tratamiento transfronterizo, dado que MAILTRACK está establecida en España, si bien presta servicio a otros países de la Unión Europea. Según afirma en su Política de Privacidad, MAILTRACK desarrollaría esta actividad en su condición de encargado del tratamiento, atribuyendo la condición de responsable al usuario de su servicio. De este modo, en la cláusula 3.5 de su Política de Privacidad se dice que: “El Usuario es el responsable del tratamiento de los Datos de Acceso en el contexto del RGPD”, lo que implicaría que la persona física o jurídica que contrate el servicio prestado por MAILTRACK asumiría la condición de responsable del tratamiento, determinando fines y medios, añadiendo que el usuario de su servicio “deberá cumplir con las obligaciones aplicables en virtud de la normativa de protección de datos, incluida legitimación en una base jurídica adecuada para el tratamiento de los datos personales de los destinatarios de los correos electrónicos enviados empleando el Servicio”. No obstante, la redacción de la política de privacidad y la condición jurídica de un actor como «responsable» o «encargado» debe, en principio, estar determinada por sus actividades reales en una situación específica, en lugar de por la designación formal de un actor como «responsable» o «encargado» (por ejemplo, en un contrato), según se establece en las “Directrices EDPD 07/2020 sobre los conceptos de responsable y encargado del tratamiento en el RGPD” aprobadas por el Comité Europeo de Protección de Datos. En el presente caso, MAILTRACK en realidad define los medios del tratamiento en cuestión, toda vez que proporciona la herramienta “as is”, sin que conste que el usuario de esta pueda darle indicación alguna al respecto. Según consta en la política de privacidad de la entidad, el usuario es el que define los fines y medios del tratamiento, pero se trata de una declaración formal por cuanto el usuario no puede dar instrucciones a MAILTRACK sobre cuestiones importantes del tratamiento como el plazo de conservación de los datos, por lo que no puede afirmarse que MAILTRACK trata los datos personales únicamente siguiendo instrucciones documentadas del responsable. Por lo tanto, MAILTRACK es en realidad responsable del tratamiento de los datos personales de los usuarios y destinatarios, a pesar de la redacción de la política de privacidad. En este sentido se pronuncia el artículo 33.2 de la LOPDGDD, el cual dispone que: “Tendrá la consideración de responsable del tratamiento y no la de encargado quien en su propio nombre y sin que conste que actúa por cuenta de otro, establezca relaciones con los afectados aun cuando exista un contrato o acto jurídico con el contenido fijado en el artículo 28.3 del Reglamento (UE) 2016/679”. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/44 control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, MAILTRACK tiene su establecimiento único en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el artículo 13 del RGPD regula la información que deberá facilitarse cuando los datos personales se obtengan del interesado, el artículo 6 del RGPD enumera los supuestos que permiten considerar lícito un tratamiento de datos personales y el artículo 5.1.
8. a)del RGPD reconoce los principios de licitud, lealtad y transparencia del tratamiento de datos personales. III Contestación a las alegaciones aducidas al acuerdo de inicio y en el trámite de audiencia al interesado En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por MAILTRACK: 1.- “BREVE DESCRIPCIÓN DE LOS ASPECTOS FUNDAMENTALES PROCEDIMIENTO PARA LAS ALEGACIONES POSTERIORES” DEL En el presente caso, MAILTRACK afirma que “en dicha reclamación únicamente se le imputa a MAILTRACK que su política de privacidad no informa del tratamiento de datos, lo cual, como se podrá ver más adelante, no se ajusta a la realidad”, lo cual no es cierto, ya que la parte reclamante cuestiona la licitud del tratamiento, no habiendo otorgado su consentimiento (artículo 6.1.
9. a)del RGPD) al envío de sus datos personales en los correos recibidos, sin que concurra ningún otro supuesto del 6.1 del RGPD. Por otra parte, la parte reclamante también cuestiona la política de privacidad de MAILTRACK, “no veo su política de privacidad como una información "concebida de forma precisa, transparente, comprensible y fácilmente forma precisa, transparente, comprensible y fácilmente accesible". En resumen, la parte reclamante expresa su oposición a que sus datos personales sean tratados sin su consentimiento mediante el uso del servicio de MAILTRACK y manifiesta no se encontrarse suficientemente informado de la política de privacidad. Por todo lo expuesto, se desestima la presente alegación. 2.- “MAILTRACK ES UN ENCARGADO DEL TRATAMIENTO DE LOS DATOS RELATIVOS A LAS COMUNICACIONES DE SUS USUARIOS CON LOS DESTINATARIOS.” En este punto, MAILTRACK formula las siguientes conclusiones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/44 “A la luz de las explicaciones en los puntos 1) y 2) anteriores, entendemos que queda acreditado que, tal y como establece el CEPD en las Directrices, MAILTRACK no determina los medios y los fines del tratamiento, lo que equivale a que no decide, respectivamente, el cómo (es decir, qué medios se emplearán para lograrlo) y el por qué (esto es, “con qué fin” o “para qué”) del tratamiento de los datos de los destinatarios de los correos remitidos a través de su servicio. De hecho, si nos atenemos a las preguntas que el CEPD establece como fundamentales para determinar esta cuestión: “¿Por qué tiene lugar el tratamiento? ¿Quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?” Entendemos que, en ambos casos, es indudable que la respuesta se dirige al usuario de los servicios de MAILTRACK y no a MAILTRACK. Tampoco podemos considerar que haya una participación conjunta entre el usuario y MAILTRACK en la determinación de los fines y de los medios de tratamiento, ya que para ello se requiere de una decisión común o una convergencia de decisiones, que no se da en este supuesto, puesto que se trata de cuestiones que dependen exclusivamente del usuario, sin influencia decisiva por parte de MAILTRACK y en ningún caso se trata de finalidades definidas conjuntamente o que tengan un carácter común. De hecho, no existe ningún beneficio, interés o fin propio de MAILTRACK en el tratamiento, más allá de la mera prestación del servicio. Por otro lado, en relación con esta cuestión, la AEPD considera que es un argumento para que MAILTRACK sea considerado responsable del tratamiento de los datos de los destinatarios, el hecho de que su política de privacidad otorga la condición de responsable a todos los usuarios, indicando que eso es contrario al RGDP (párrafo 9º del Fundamento de Derecho VII – Licitud del tratamiento del Escrito): “Mailtrack otorga la condición de responsable del tratamiento a todos sus usuarios. De este modo, cualquier usuario de Mailtrack sería responsable, incluso los particulares, por lo que resulta obvio que esta circunstancia no está en línea con la intención del RGPD”. Tenemos la impresión de que dicha referencia se vincula con el artículo 2.2 del RGPD que establece que esta normativa: “no se aplica al tratamiento de datos personales: (…)
10. c)efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas; (…)”. Es cierto que la política de privacidad de MAILTRACK no hace referencia a la excepción doméstica del RGPD, pero no entendemos por qué esa cuestión puede ser un fundamento para argumentar que MAILTRACK es responsable del tratamiento si, como hemos aclarado sobradamente en este apartado, no define ni los medios ni las finalidades del tratamiento de los datos de los destinatarios, con independencia de la naturaleza del usuario que los define realmente. Es decir, incluso aunque el usuario esté excluido del ámbito de aplicación del RGPD, MAILTRACK sigue siendo un encargado del tratamiento y cumpliendo con sus obligaciones como tal. En conclusión, el cumplimiento del RGPD se conforma bajo el binomio deber/derecho, en el que, aplicado al caso concreto, el responsable del tratamiento (el usuario) tiene el derecho a decidir el destino de la información en la que actúa como responsable y el encargado (MAILTRACK) asume la obligación de obedecer las instrucciones sobre el tratamiento de los datos que van a ser objeto de tratamiento para la prestación del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/44 servicio. Configurar a MAILTRACK como responsable del tratamiento supondría, en definitiva, romper de manera drástica el principio general por el que un prestador de un servicio de tecnología solo es responsable del servicio que ofrece y no debe asumir la responsabilidad por las ilicitudes o irregularidades que, en su caso, efectúen los usuarios del servicio. Por todo lo anterior, entendemos que queda claro que MAILTRACK actúa como encargado del tratamiento, que trata los datos personales de las comunicaciones que se transmiten a través de su servicio, por cuenta del responsable del tratamiento, que sería el usuario que contrata dicho servicio. Y ello por las razones siguientes: 1. MAILTRACK trata los datos de los destinatarios por cuenta y previa petición del servicio por parte del usuario y no por iniciativa propia. El tratamiento de dichos datos por parte de MAILTRACK tiene lugar porque son facilitados por el usuario al utilizar el servicio. De hecho, MAILTRACK no accedería a los datos personales de los destinatarios si el usuario no utilizara el servicio indicando esos destinatarios. 2. El usuario de MAILTRACK es quien decide la finalidad para la cual se recogen y tratan los datos de los destinatarios, circunstancia que es totalmente desconocida para MAILTRACK (tanto es así que sería imposible para MAILTRACK prever las diferentes finalidades perseguidas por sus usuarios respecto de los destinatarios de sus correos electrónicos). 3. Únicamente el usuario del servicio de MAILTRACK conoce y controla las circunstancias bajo las cuales se recogen los datos personales de los destinatarios y si ha obtenido su consentimiento, si mantienen una relación contractual, si hay un interés legítimo. 4. El acceso por MAILTRACK a los datos personales de los destinatarios es necesario para prestar el servicio al usuario. 5. MAILTRACK accede a los datos personales de los destinatarios de los correos exclusivamente para cumplir los fines del usuario, ya que los utiliza solo para la prestación del servicio y no para una finalidad propia de MAILTRACK. Una vez finalizado el servicio, MAILTRACK suprime o devuelve los datos personales de los destinatarios, según indique el usuario, en cumplimiento de lo establecido en el artículo 28 del RGPD. En definitiva, MAILTRACK actúa como encargado del tratamiento, porque en los tratamientos de las comunicaciones a destinatarios, actúa como un mero prestador de servicios "en nombre y por cuenta" del usuario-responsable, sin destinar dicha información a ningún tipo de finalidad propia.” En el presente caso, MAILTRACK rebate la condición jurídica de responsable del tratamiento en la prestación de su servicio. Sin embargo, como se dijo en el acuerdo de inicio, no puede hablarse de un encargado de tratamiento si no existe un responsable. MAILTRACK, sostiene que, de acuerdo con su política de privacidad, el mero uso de su servicio otorga la condición de responsable del tratamiento a todos sus usuarios, lo que entiende que es una interpretación conforme a lo establecido en el artículo 4.7) del RGPD. Ante este razonamiento, cabe señalar que, en su condición de prestador de servicios a empresas y ciudadanos, MAILTRACK determina los fines y los medios del tratamiento de datos en la prestación de su servicio. Este razonamiento se ha efectuado también en un supuesto similar por el Tribunal Supremo austriaco, el cual, aplicando los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/44 principios del TJUE, no califica a todos los usuarios de una plataforma de redes sociales como responsables del tratamiento de conformidad con el artículo 4.7) del RGPD, ya que esto convertiría a todos los usuarios en un responsable (véase el Tribunal Superior de Justicia de Austria, Decisión de 6/23/2021-6 Ob 56/21, BeckRS 2021, 19302, párr. 138, ***URL.20). La vulneración de los derechos y libertades que puede causar en los destinatarios de los correos, ante la posibilidad cierta, como ocurre en los hechos denunciados por la parte reclamante, de que los usuarios del servicio de MAILTRACK, no tengan garantías adecuadas sobre el tratamiento que se realiza de sus datos constituye una vulneración del RGPD; tal y como dispone el Considerando 7 del RGPD: “Las personas físicas deben tener el control de sus propios datos personales.” La interpretación que MAILTRACK realiza del artículo 4.7) del RGPD, excluyendo a los prestadores de servicios que no sean de intermediación de la responsabilidad de los tratamientos, supone una interpretación errónea del RGPD, de la Directiva 2000/31 y de la Ley 34/2022, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI). Esta última define a los servicios de intermediación como: “
11. b)"Servicio de intermediación": servicio de la sociedad de la información por el que se facilita la prestación o utilización de otros servicios de la sociedad de la información o el acceso a la información. Son servicios de intermediación la provisión de servicios de acceso a Internet, la transmisión de datos por redes de telecomunicaciones, la realización de copia temporal de las páginas de Internet solicitadas por los usuarios, el alojamiento en los propios servidores de datos, aplicaciones o servicios suministrados por otros y la provisión de instrumentos de búsqueda, acceso y recopilación de datos o de enlaces a otros sitios de Internet”. En el presente caso, MAILTRACK no es uno de esos servicios. MAILTRACK tiene la consideración de responsable al definir los fines y los medios del tratamiento. Define los fines de la cookie que se instala para realizar la prestación de su servicio de seguimiento de correos, estableciendo qué datos se recogen y con que objeto son tratados. Debe diferenciarse entre los fines de los correos que se fijan por os usuarios y los fines del seguimiento que se determina por MAILTRACK, Además, define los medios del tratamiento en la medida que establece la configuración de la constituyendo un “medio esencial”, tal y como se definen en las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, aprobadas por el Comité Europeo de Protección de Datos, distinguen entre medios esenciales y medios no esenciales: “Por lo que respecta a la determinación de los medios, cabe distinguir entre los medios esenciales y los no esenciales. Los medios esenciales son medios estrechamente ligados al fin y el alcance del tratamiento, como el tipo de datos personales tratados («¿qué datos se tratarán?»), la duración del tratamiento («¿cuánto tiempo se tratarán?»), las categorías de destinatarios («¿quién tendrá acceso a los datos?») y las categorías de interesados («¿a quién pertenecen los datos personales tratados?»). Además de estar relacionados con el fin del tratamiento, los medios esenciales se encuentran estrechamente vinculados a la cuestión de si el tratamiento es lícito, necesario y proporcionado. Los medios no esenciales están relacionados con aspectos más C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/44 prácticos del tratamiento en sí, como la elección de un tipo particular de hardware o software o la decisión sobre los pormenores de las medidas de seguridad, que pueden dejarse en manos del encargado del tratamiento.” En el presente caso, puede resaltarse que es MAILTRACK quien decide sobre los fines como se ha indicado anteriormente y también decide sobre los medios, pues decide qué categorías de datos se tratarán, quienes son los destinatarios de estos datos (los usuarios del sistema) y el tiempo que durará el tratamiento al no existir ninguna instrucción de los usuarios en este sentido. No se niega que son los usuarios los que determinan en particular quienes serán los destinatarios de los correos, por ello no se descarta que haya casos en los que exista corresponsabilidad, pero esta circunstancia no sucede cuando el usuario es un particular amparado por la excepción doméstica. En el caso que nos ocupa, el destinatario de los correos se expresa en este sentido en su reclamación (traducido al español): “Me dirijo a ustedes como autoridad competente en materia de protección de datos, porque el producto "Mailtrack" de la empresa española "THE MAIL TRACK COMPANY" ha vulnerado mis derechos (sobre todo, información y consentimiento adecuados), y sospecho que se trata de una violación del RGPD”, no habiendo sido informado de que sus datos serían enviados ni se le solicitó consentimiento previo. Por todo lo expuesto, se desestima la presente alegación. 2.- “NO PROCEDEN LAS INFRACCIONES IMPUTADAS.” En el presente caso, MAILTRACK se limita a razonar que las infracciones de los artículos 13 y 14 del RGPD, así como la del artículo 6 de dicha norma, quedan desvirtuadas debido a que los usuarios de su servicio son los responsables del tratamiento. En la contestación a la alegación anterior se ha motivado por qué se considera a MAILTRACK responsable de tratamiento. Con relación a la infracción del principio de lealtad y transparencia del artículo 5 del RGPD, de la consulta a la política de privacidad se determina que la parte reclamante no habría podido evitar que sus datos fueran tratados, ya que MAILTRACK reconoce que el enlace a la herramienta que hubiese impedido que los datos de los destinatarios de los correos siguiesen siendo tratados no funcionaba: “Es cierto que las referencias en la política de privacidad a la herramienta para la exclusión en el tratamiento de los datos del destinatario de los correos habían quedado desactualizadas, por cuanto dicha herramienta había dejado de estar operativa porque los avances en las tecnologías involucradas en el servicio impedían que funcionara adecuadamente.” No es sino con motivo de la incoación de este procedimiento en el que se modifica la política de privacidad de MAILTRACK y, en la versión vigente aportada junto a las alegaciones, se facilita información de cómo los destinatarios de los correos pueden evitar que sus datos sigan siendo tratados sin su consentimiento. Por lo que, en el momento de la reclamación, no existía ningún medio técnico efectivo para que los datos de la parte reclamante fueran tratados por los usuarios del servicio de MAILTRACK. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/44 Argumenta MAILTRACK al respecto: “el mecanismo de exclusión del tratamiento de los datos del que informa MAILTRACK, de manera voluntaria y sin estar obligado a ello, debe ser entendido como una medida que actúa como una garantía adicional a favor de los derechos de los interesados para oponerse a los tratamientos de sus datos de carácter personal”. Sin embargo, el artículo 28, “Obligaciones generales del responsable y encargado del tratamiento”, de la LOPDGDD establece que tanto los responsables como los encargados de tratamiento deben determinar las medidas técnicas y organizativas apropiadas a fin de garantizar que el tratamiento es conforme al RGPD, teniendo en cuenta en particular, los mayores riesgos que pudieran producirse cuando el tratamiento pudiese privar a los afectos de sus derechos y libertades o pueda impedirles el ejercicio del control sobre sus datos personales, como ocurre en los correos recibidos por la parte reclamante, en los que se enviaron sus datos. No se trata, por tanto, de una decisión que pueda adoptar MAILTRACK de forma voluntaria, sino que es una obligación legal. Además, como ya se dijo en el acuerdo de inicio, MAILTRACK no puede hacer recaer en los destinatarios de los correos la adopción de comportamientos para evitar el tratamiento de sus datos, siendo estos quienes realicen una serie de operaciones engorrosas (tales como instalar una cookie en todos los navegadores y cada vez que se borran las cookies del navegador en cuestión, o deshabilitar las imágenes de los correos electrónicos), que no están al alcance del entendimiento de cualquier usuario, y que encima ni siquiera esta información resulta fácilmente accesible. Todo ello es contrario a la definición que realiza la Directrices 4/2019 relativas al artículo 25 Protección de datos desde el diseño y por defecto, aprobadas por el Comité Europeo de Protección de Datos, según las cuales, “la lealtad es un principio general que exige que los datos personales no se traten de manera injustificadamente perjudicial, ilícitamente discriminatoria, inesperada o engañosa para el interesado”. Por todo lo expuesto, se desestima la presente alegación. Formulada propuesta de resolución por el instructor del presente procedimiento, en el trámite de audiencia al interesado se presentan alegaciones por parte de MAILTRACK, que en buena medida vienen a reproducir los argumentos manifestados en el trámite de alegaciones, por lo que se procede a dar respuesta a las aquellas que tienen carácter novedoso: - “INSTRUCCIONES POR PARTE DEL USUARIO” En este punto, MAILTRACK resalta la siguiente idea: “De hecho, es fundamental tener en cuenta a este respecto que el usuario puede desactivar el seguimiento para cada correo, para todos o para algunos en concreto, con lo que dispone de una facultad fundamental para determinar los medios de los tratamientos que se realizan a través del servicio de MAILTRACK”. A esto cabe responder que MAILTRACK decide sobre los fines del tratamiento porque determina qué datos se tratan, durante cuánto tiempo, las categorías de destinatarios e incluso las categorías de interesados, pues serán aquellos que disponga de una dirección de correo electrónico. Además, el hecho de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/44 que los usuarios puedan desactivar el seguimiento no impide considerar que es la propia MAILTRACK la que decide sobre los medios, toda vez que es MAILTRACK la que habilita estas posibilidades y la que hace posible la elección del seguimiento de los correos. Por todo lo expuesto, se desestima la presente alegación. - “EL ARTÍCULO 33.2 DE LA LOPD TAMPOCO RESULTA DE APLICACIÓN” MAILTRACK refiere que no es de aplicación lo dispuesto en el artículo 33.2 de la LOPDGDD ya que no establece relaciones con los afectados que no sean por cuenta del usuario que usa su herramienta y no hay ninguna base o evidencia para afirmar lo contrario. A esta afirmación cabe responder que MAILTRACK es responsable del tratamiento ya que no actúa en nombre de ningún responsable, al ser ella misma la responsable del tratamiento, debido a que las relaciones con los destinatarios de los correos se efectúan en su propio nombre. Por todo lo expuesto, se desestima la presente alegación. “FALTA DE APLICACIÓN DEL ARGUMENTO DE QUE NO PUEDE HABLARSE DE ENCARGADO DEL TRATAMIENTO SI NO EXISTE RESPONSABLE” La idea principal de este argumento es que no existe una norma ni ningún pronunciamiento de los Tribunales que sostenga este razonamiento: “Es decir, no es una cuestión pacífica ni existe jurisprudencia.” Sin embargo, se trata de una afirmación que se deduce de la propia definición de encargado del tratamiento, por cuanto encargado es aquel que “trate datos personales por cuenta del responsable del tratamiento” art. 4.8 RGPD, es decir, para que exista un encargado siempre debe existir un responsable. Por todo lo expuesto, se desestima la presente alegación. - “AUSENCIA DE GARANTÍAS” MAILTRACK considera responsable del tratamiento a la entidad que envió los correos: “la AEPD parece obviar que los correos electrónicos enviados al reclamante han sido enviados, en el marco del servicio CSN, por el Consejo de Estudiantes de la Universidad Tecnológica de Chemnitz, que se constituye como responsable del tratamiento y que, como tal, es la que debe asegurarse de que existen las garantías necesarias para que los interesados cuyos datos sean objeto de tratamiento, tengan el control sobre los mismos”. Este razonamiento no puede ser aceptado, los conceptos de responsable y encargado son conceptos funcionales, puesto que se utilizan para asignar responsabilidades en virtud de la función que desempeña cada una de las partes, como se afirma en las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, versión 2.0 Adoptada el 7 de julio de 2021: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/44 “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato). Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable”. Que el Consejo de Estudiantes de la Universidad Tecnológica de Chemnitz sea responsable del tratamiento de datos personales que son tratados en el desarrollo de su actividad, no excluye que MAILTRACK sea responsable del tratamiento en cuestión. Por todo lo expuesto, se desestima la presente alegación. IV Información que deberá facilitarse a los interesados El artículo 13 “Información que deberá facilitarse cuando los datos personales se obtengan del interesado” del RGPD establece: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
12. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
13. b)los datos de contacto del delegado de protección de datos, en su caso;
14. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
15. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
16. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
17. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
18. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/44
19. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
20. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
21. d)el derecho a presentar una reclamación ante una autoridad de control;
22. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
23. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. Por su parte, el artículo 14 “Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado” del RGPD dispone: “1. Cuando los datos personales no se hayan obtenidos del interesado, el responsable del tratamiento le facilitará la siguiente información:
24. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
25. b)los datos de contacto del delegado de protección de datos, en su caso;
26. c)los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento;
27. d)las categorías de datos personales de que se trate;
28. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
29. f)en su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/44
30. a)el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo;
31. b)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero;
32. c)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
33. d)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada;
34. e)el derecho a presentar una reclamación ante una autoridad de control;
35. f)la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;
36. g)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2:
37. a)dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos;
38. b)si los datos personales han de utilizarse para comunicación con el interesado, a más tardar en el momento de la primera comunicación a dicho interesado, o
39. c)si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos personales sean comunicados por primera vez. 4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el apartado 2. 5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:
40. a)el interesado ya disponga de la información;
41. b)la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/44
42. c)la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
43. d)cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza legal.” En el presente caso, ha quedado acreditado que MAILTRACK en su política de privacidad informa que actúa como encargado de tratamiento y no hace referencia en ningún apartado ni informa a sus usuarios o destinatarios de los correos en momento posterior de que está actuando como responsable de tratamiento, que es lo que en verdad es. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable MAILTRACK, por vulneración de los artículos 13 y 14 del RGPD. V Tipificación de la infracción de los artículos 13 y 14 del RGPD La citada infracción de los artículos 13 y 14 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
44. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 74 “Infracciones consideradas leves” de la LOPDGDD indica: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
45. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/44 VI Sanción por la infracción de los artículos 13 y 14 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por no proporcionar información veraz a los usuarios y destinatarios de los correos de MAILTRACK respecto a su rol como responsable de tratamiento, contando con más de 1.900.000 usuarios de su servicio de seguimiento, siendo potenciales perjudicados también los destinatarios de los correos enviados por los usuarios de dicho servicio (Fuente:***URL.21). Todo ello desde su fundación en el año 2013, situación que perdura en la actualidad. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): La actividad de MAILTRACK conlleva el tratamiento habitual de los datos personales de los destinatarios de los correos de sus usuarios. Teniendo en cuenta el contexto del tratamiento, esto es, que la actividad principal del responsable del tratamiento esté vinculada al manejo de datos personales, determina la necesidad de una mayor diligencia en el cumplimiento del RGPD. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en los artículos 13 y 14 del RGPD, permite fijar una sanción de 20.000 € (veinte mil euros). VII Imposición de medidas por la infracción de los artículos 13 y 14 del RGPD Se estima procedente imponer a MAILTRACK que en el plazo de 30 días proceda a adaptar a la realidad la información proporcionada a los usuarios de su servicio así como a los destinatarios de los correos enviados utilizando dicha herramienta, indicando que actúa como responsable de tratamiento de datos personales, de acuerdo con lo establecido en el citado artículo 58.2
46. d)del RGPD, según el cual cada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/44 autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Asimismo, estas medidas con relación a la información proporcionada se aplicarán en todos los países de la Unión Europea en los que opere MAILTRACK. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. VIII Licitud del tratamiento En cuanto a la recogida de datos personales de usuarios y destinatarios por parte de MAILTRACK para la prestación del servicio en cuestión, la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), en adelante “Directiva ePrivacy”, dispone en su artículo 5.3: “«3. Los Estados miembros velarán por que únicamente se permita el almacenamiento de información, o la obtención de acceso a la información ya almacenada, en el equipo terminal de un abonado o usuario, a condición de que dicho abonado o usuario haya dado su consentimiento después de que se le haya facilitado información clara y completa, en particular sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Directiva 95/46/CE. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación a través de una red de comunicaciones electrónicas, o en la medida de lo estrictamente necesario a fin de que el proveedor de un servicio de la sociedad de la información preste un servicio expresamente solicitado por el abonado o el usuario.».)” En virtud del principio de especialidad normativa, la Ley especial debe prevalecer sobre la Ley general respecto de aquellas cuestiones que específicamente regula la ley especial. Por ello la Directiva 2002/58 debe prevalecer sobre el RGPD, por ser ley especial, respecto de las materias que regula. Sobre esta cuestión se pronuncia el Considerando 173 del RGPD que determina que “El presente Reglamento debe aplicarse a todas las cuestiones relativas a la protección de los derechos y las libertades fundamentales en relación con el tratamiento de datos personales que no están sujetas a obligaciones específicas con el mismo objetivo establecidas en la Directiva 2002/58/CE del Parlamento Europeo y del Consejo incluidas las obligaciones del responsable del tratamiento y los derechos de las personas físicas (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/44 También ha de tenerse en cuenta el artículo 95 del RGPD que especifica que “El presente Reglamento no impondrá obligaciones adicionales a las personas físicas o jurídicas en materia de tratamiento en el marco de la prestación de servicios públicos de comunicaciones electrónicas en redes públicas de comunicación de la Unión en ámbitos en los que estén sujetas a obligaciones específicas con el mismo objetivo establecidas en la Directiva 2002/58/CE.” Por tanto, en lo que respecta al almacenamiento de la información y al acceso a la información ya almacenada de datos personales mediante el uso de la baliza web (dispositivo de seguimiento y recuperación de la información almacenada) utilizada por MAILTRACK para el servicio de seguimiento que presta MAILTRACK, no sería de aplicación el RGPD sino la citada “Directiva ePrivacy”, que ha sido parcialmente traspuesta al ordenamiento jurídico española por la LSSI, por lo que no cabría utilizar el sistema de ventanilla única previsto por el artículo 60 del RGPD y no podría ser objeto del presente procedimiento sancionador. No obstante, sí que sería de aplicación el RGPD a los tratamientos posteriores que se hicieran de esos datos personales así obtenidos. No cabe duda de que MAILTRACK trata los datos para las finalidades objeto del servicio, principalmente el seguimiento de la apertura de correos electrónicos enviados por sus usuarios y su comunicación a los usuarios, y que respecto de estas finalidades actúa en calidad de responsable del tratamiento al no encontrarse definidas las instrucciones de los usuarios y resultar desproporcionado desplazar la responsabilidad a particulares amparados por la excepción doméstica. La condición jurídica de MAILTRACK como «responsable» o «encargado» debe, en principio, estar determinada por sus actividades reales en una situación específica, en lugar de por la designación formal de que se realiza en su política de privacidad. De acuerdo con el enfoque fáctico, la palabra «determina» significa que la entidad que realmente ejerce influencia en los fines y medios del tratamiento es el responsable del tratamiento. Si una de las partes decide realmente por qué y cómo se procesan los datos personales, esa parte será un responsable incluso si un contrato dice que es un encargado del tratamiento. Normalmente, un acuerdo de encargado establece quiénes son la parte decisoria (responsable) y la parte instruida (encargado). Si no hay razón para dudar de que esto refleja con precisión la realidad, no hay nada en contra de seguir los términos del contrato. Sin embargo, el mero uso del servicio MAILTRACK otorga la condición de responsable del tratamiento a todos sus usuarios. De este modo, cualquier usuario de MAILTRACK sería responsable, incluso los particulares, por lo que resulta obvio que esta circunstancia no está en línea con la intención del RGPD. Si bien la jurisprudencia del Tribunal de Justicia de la Unión Europea señala que es irrelevante que el propio administrador de un sitio de Internet tenga acceso a los datos recogidos por Facebook (véase el TJUE C-40/17, apartado 82), esta circunstancia no se aplicaría en este caso, ya que, según se establece en el apartado 3.2 de la Política de Privacidad de MAILTRACK, tiene acceso efectivo a datos personales de los destinatarios de los correos. En este sentido, el artículo 6, “Licitud del tratamiento”, del RGPD, dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/44 1.El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
47. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
48. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
49. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
50. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
51. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
52. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
53. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. (…)”. La condición de MAILTRACK como responsable de tratamiento determina que, para considerar lícitos tales tratamientos, deben cumplirse alguna de las condiciones del artículo 6.1 del RGPD. En el presente caso, al menos respecto a la finalidad que consiste en mejorar el servicio, no resulta de aplicación el apartado
54. a)del artículo 6 del RGPD dado que no se ha solicitado el consentimiento de los interesados a tal fin. Tampoco resulta de aplicación el apartado
55. b)del artículo 6 del RGPD toda vez que no es un tratamiento necesario para la ejecución del contrato ni para prestar el servicio. No es de aplicación el apartado
56. c)del artículo 6 del RGPD dado que no es un tratamiento que se realice para el cumplimiento de una obligación legal aplicable a MAILTRACK. Tampoco es de aplicación el apartado
57. d)del artículo 6 del RGPD toda vez que con este tratamiento no se protegen intereses vitales de los interesados, ni es de aplicación el apartado
58. e)del artículo 6 del RGPD ya que no es un tratamiento necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos. Por último, tampoco resulta de aplicación el apartado
59. f)del artículo 6 del RGPD toda vez que no ha quedado acreditado que el tratamiento en cuestión fuera necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/44 derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. De conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a MAILTRACK, por vulneración del artículo 6.1 del RGPD. IX Tipificación de la infracción del artículo 6 del RGPD La citada infracción del artículo 6 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
60. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
61. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.(…)” X Sanción por la infracción del artículo 6 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/44 Como agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por realizar tratamientos de datos personales sin tener base jurídica para ello, teniendo en cuenta que MAILTRACK tiene más de 1.900.000 usuarios de su servicio de seguimiento, siendo potenciales perjudicados los destinatarios de los correos enviados por los usuarios de dicho servicio (Fuente: https://mailtrack.io/es/). Ello desde su fundación en el año 2013, situación que perdura en la actualidad. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): La actividad de MAILTRACK conlleva el tratamiento habitual de los datos personales de los destinatarios de los correos de sus usuarios. Teniendo en cuenta el contexto del tratamiento, esto es, que la actividad principal del responsable del tratamiento esté vinculada al manejo de datos personales, determina la necesidad de una mayor diligencia en el cumplimiento del RGPD. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6 del RGPD, permite imponer una sanción de 30.000 € (treinta mil euros). XI Imposición de medidas por la infracción del artículo 6 del RGPD Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
62. d)del artículo 58, “Poderes”, lo siguiente: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
63. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;(…).” Por consiguiente, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, procede ordenar a MAILTRACK que, en el plazo de 60 días a partir de la notificación de la resolución finalizadora de este procedimiento, de cumplimiento a lo siguiente, sin perjuicio de las medidas que pudiera haber aplicado: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/44  Garantizar la licitud del tratamiento de datos que realiza con ocasión del desarrollo del servicio, cumpliendo con alguna de las condiciones del artículo 6.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016,  Facilitar a esta Agencia la documentación justificativa en la que se confirme que se ha cumplido la solicitud mencionada en el plazo establecido. Asimismo, las medidas adoptadas con relación a la licitud del tratamiento de datos se aplicarán en todos los países de la Unión Europea en los que opere MAILTRACK. Se advierte que no atender a los requerimientos de este organismo podría ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. XII Principios relativos al tratamiento El artículo 5 “Principios relativos al tratamiento” del RGPD dispone: “1. Los datos personales serán:
64. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); (…)” En el presente caso, en las “Condiciones de uso y contratación” de MAILTRACK, en su apartado 1.1, en su último párrafo, dispone que: “Con respecto a la recopilación y el tratamiento de datos personales, serán de aplicación la Política de Privacidad y la Política de Cookies”. Por lo tanto, la Política de Privacidad es un documento legal que, junto a las Condiciones de uso y contratación, vincula a MAILTRACK respecto al tratamiento de datos que realiza de sus usuarios y de los destinatarios de los correos enviados utilizando la herramienta. El punto 6º de la Política de Privacidad de MAILTRACK, establece la forma de exclusión de su servicio respecto a los destinatarios de los correos cuyos datos personales son objeto de tratamiento: “6. Exclusión del Servicio de Mailtrack 6.1. El Destinatario de un correo electrónico enviado por el Usuario del Servicio puede ser excluido del seguimiento realizado por el Usuario si el destinatario selecciona la casilla de verificación «Opt-out» disponible en la sección «Privacidad del Usuario». 6.2. Debido a limitaciones técnicas, la única forma de excluir del Servicio al destinatario implica la instalación de una cookie desde el sitio web mailtrack.io. Por lo tanto, en caso de que el destinatario proceda a eliminar las cookies de su navegador, el destinatario se incluirá una vez más en el Servicio. 6.3. La cookie mencionada solo funcionará en el navegador utilizado por el destinatario para seleccionar la exclusión. Por lo tanto, en caso de utilizar un navegador diferente, el destinatario tendrá que llevar a cabo el proceso de exclusión en dicho navegador.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/44 Debido a las limitaciones técnicas recogidas en la cláusula 6 de la Política de Privacidad de MAILTRACK, la utilización del servicio por parte del usuario conlleva, en todo caso, la actividad necesaria para el tratamiento de los datos del destinatario, teniendo que ser este último quien realice las actuaciones necesarias para que sus datos no sean objeto de tratamiento. Esto es contrario al RGPD, no es el interesado quien debe protegerse contra un tratamiento de datos en concreto, si no que quien realiza ese tratamiento tiene que ejecutar las actuaciones oportunas para la finalización de dicho tratamiento. Además, cabe señalar que, el artículo 5 del RGPD obliga a que el tratamiento de datos personales sea transparente y que, en este sentido, el artículo 12 del RGPD dispone que “…toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo…” Pues bien, la herramienta para la exclusión en el tratamiento de los datos del destinatario de los correos no es fácilmente accesible, ya que: - No consta el acceso a la sección “Privacidad del Usuario” en la página web https://mailtrack.io/es/ No existe un enlace en la propia Política de Privacidad de MAILTRACK. Realizando una búsqueda de “the mail track company privacidad del usuario” en un buscador de internet, no se obtiene un resultado directo. Finalmente, según la información que consta en la página web “***URL.22”, la limitación al tratamiento de los datos se produce mediante la desactivación de las imágenes en el correo del destinatario. Por tanto, en el presente caso, en la política de privacidad se indica que los destinatarios de los correos pueden ser excluidos del seguimiento realizado por MAILTRACK si seleccionan la casilla de verificación “Opt-out” supuestamente disponible en la sección “Privacidad del Usuario”, pero esta afirmación es engañosa, toda vez que tal casilla no está disponible en la página web de MAILTRACK. Además, también se indica en la política de privacidad que la única forma que tienen los destinatarios de ser excluidos del servicio que presta MAILTRACK es instalándose una cookie específica, que debe volver a ser instalada cada vez que se eliminen las que utilice. La otra opción que tendría el usuario de MAILTRACK, pero que tampoco se menciona en la política de privacidad de la citada web sino que se explica en un apartado de artículos sobre la herramienta, sería desactivar las imágenes en el correo del destinatario. El tratamiento así realizado vulneraría los principios de lealtad y transparencia del RGPD, toda vez que las Directrices 4/2019 relativas al artículo 25 Protección de datos desde el diseño y por defecto Versión 2.0, en su apartado 3.3 establecen que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/44 “La lealtad es un principio general que exige que los datos personales no se traten de manera injustificadamente perjudicial, ilícitamente discriminatoria, inesperada o engañosa para el interesado”. En este sentido, pretender que sea el destinatario de los correos quien realice una serie de operaciones engorrosas (tales como instalar una cookie en todos los navegadores y cada vez que se borran las cookies del navegador en cuestión, o deshabilitar las imágenes de los correos electrónicos), que no están al alcance del entendimiento de cualquier usuario, y que encima ni siquiera esta información resulta fácilmente accesible, para poder ser excluido de dicho tratamiento, resulta completamente contrario al principio de lealtad y transparencia que regula el artículo 5.1.
65. a)del RGPD. A mayor abundamiento, los destinatarios de los correos en algunos casos ni siquiera se dan cuenta de que son rastreados, porque el aviso «Remitente notificado por MAIL TRACK» en el correo rastreado puede ser deshabilitado por los usuarios si compran una suscripción «PRO» o «ADVANCED». Ya en 2006, en la Opinión 2/2006 del Grupo de Trabajo del Art. 29 sobre asuntos de privacidad relativos a la provisión de servicios de escaneo de correos electrónicos, “el Grupo de Trabajo del Art. 29 expresa su mayor oposición a este tratamiento porque los datos personales sobre el comportamiento de los destinatarios se registran y transmiten sin el consentimiento inequívoco de un destinatario pertinente. Este tratamiento, realizado en secreto, es contradictorio con los principios de protección de datos que requieren lealtad y transparencia en la recopilación de datos personales, previstos en el artículo 10 de la Directiva sobre protección de datos. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable MAILTRACK, por vulneración del artículo 5.1.
66. a)del RGPD. XIII Tipificación de la infracción del artículo 5.1.
67. a)del RGPD La citada infracción del artículo 5.1.
68. a)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
69. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/44 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
70. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” XIV Sanción por la infracción del artículo 5.1.
71. a)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por no realizar un tratamiento leal y transparente de los datos de los destinatarios de los correos de sus usuarios, quienes son los que deben adoptar las medidas técnicas necesarias para evitar que sus datos sigan siendo tratados, teniendo en cuenta que MAILTRACK tiene más de 1.900.000 usuarios de su servicio de seguimiento, siendo potenciales perjudicados los destinatarios de los correos enviados por los usuarios de dicho servicio (Fuente: https://mailtrack.io/es/). Ello desde su fundación en el año 2013, situación que perdura en la actualidad. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): La actividad de MAILTRACK conlleva el tratamiento habitual de los datos personales de los destinatarios de los correos de sus usuarios. Teniendo en cuenta el contexto del tratamiento, esto es, que la actividad principal del responsable del tratamiento esté vinculada al manejo de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/44 personales, determina la necesidad de una mayor diligencia en el cumplimiento del RGPD. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en los artículos 17 y 21 del RGPD, permite imponer una sanción de 50.000 € (cincuenta mil euros). XV Imposición de medidas por la infracción del artículo 5.1.
72. a)del RGPD Se estima imponer a MAILTRACK que en el plazo de 90 días proceda a adoptar las medidas apropiadas para facilitar el acceso a la exclusión del seguimiento por el servicio de MAILTRACK, sin que suponga un elemento tan gravoso para el interesado como la instalación de cookies en sus navegadores o la modificación de la configuración de elementos que no son de seguridad o privacidad en su correo electrónico, de acuerdo con lo establecido en el citado artículo 58.2
73. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Asimismo, las medidas con relación a la exclusión del seguimiento por el servicio de MAILTRACK, se aplicarán en todos los países de la Unión Europea en los que opere MAILTRACK. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a THE MAIL TRACK COMPANY, S.L., con NIF B66095670, por una infracción de los artículos 13 y 14 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 20.000 € (veinte mil euros). IMPONER a THE MAIL TRACK COMPANY, S.L., con NIF B66095670, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 30.000 € (treinta mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/44 IMPONER a THE MAIL TRACK COMPANY, S.L., con NIF B66095670, por una infracción del artículo 5.1.
74. a)del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 50.000 € (cincuenta mil euros). SEGUNDO: ORDENAR a THE MAIL TRACK COMPANY, S.L., con NIF B66095670, que en el plazo de 30 días acredite ante esta Agencia que ha adaptado a la realidad la información proporcionada a los usuarios de su servicio, así como a los destinatarios de los correos enviados utilizando dicha herramienta, indicando que actúa como responsable de tratamiento de datos personales. ORDENAR a THE MAIL TRACK COMPANY, S.L., con NIF B66095670, que en el plazo de 60 días acredite ante esta Agencia que ha garantizado la licitud del tratamiento de datos que realiza con ocasión del desarrollo del servicio, cumpliendo con alguna de las condiciones del artículo 6.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. ORDENAR a THE MAIL TRACK COMPANY, S.L., con NIF B66095670, que en el plazo de 90 días acredite ante esta Agencia que ha adoptado las medidas apropiadas para facilitar el acceso a la exclusión del seguimiento por el servicio de MAILTRACK, sin que suponga un elemento tan gravoso para el interesado como la instalación de cookies en sus navegadores o la modificación de la configuración de elementos que no son de seguridad o privacidad en su correo electrónico. TERCERO: NOTIFICAR la presente resolución a THE MAIL TRACK COMPANY, S.L. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
75. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 44/44 De acuerdo con lo establecido en el artículo 60.7 del RGPD, se informará de esta resolución, una vez sea firme, a las autoridades de control interesadas y al Comité Europeo de Protección de Datos. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
76. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-120722 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es