PS-00329-2015

1/31 Procedimiento Nº PS/00329/2015 RESOLUCIÓN: R/03113/2015 En el procedimiento sancionador PS/00329/2015, instruido por la Agencia Española de Protección de Datos a la entidad VACACIONES EDREAMS SOCIEDAD LIMITADA UNIPERSONAL, vista la denuncia presentada por Don D.D.D., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 29 de diciembre de 2014 tiene entrada en esta Agencia un escrito de Don D.D.D., (en adelante el denunciante), en el que declara que: Después de utilizar el servicio de http:// F.F.F. comenzó a recibir la newsletter remitida por VACACIONES EDREAMS SOCIEDAD LIMITADA UNIPERSONAL, (en lo sucesivo VACACIONES EDREAMS) en su dirección de correo electrónico G.G.G. El enlace incluido en los envíos para poder darse de baja no funciona correctamente, ya que aunque ha hecho uso del mismo en varias ocasiones sigue recibiendo la newsletter semanal. Con fecha 15 de diciembre de 2014, se dio de baja en el servicio de newsletter a través del correo electrónico C.C.C., siendo confirmada la baja por la entidad denunciada mediante un correo recibido desde la misma dirección y con esa misma fecha. Aporta copia del correo recibido confirmando la baja. Tres semanas después sigue recibiendo la newsletter semanal. Aporta copia de la newsletter recibida con fecha 29 de diciembre de 2014 en su dirección de correo electrónico. SEGUNDO: Consta que en esta Agencia se recibieron nueve denuncias, entre las que se encuentra la del denunciante, en las que se ponía de manifiesto el funcionamiento incorrecto de los procedimientos establecidos por EDREAMS para facilitar a los destinatarios de los correos electrónicos comerciales el ejercicio del derecho de oposición a la recepción de nuevas comunicaciones publicitarias en sus señas electrónicas. Dicha circunstancia, unida a que los denunciantes habían acreditado seguir recibiendo comunicaciones comerciales con posterioridad a haber recibido la confirmación de la baja en el servicio de newsletter después de haber utilizado el enlace incluido en los correos recibidos o, en su caso, haberse dirigido con dicha finalidad a la dirección de correo electrónico C.C.C., propició que con fecha 11 de mayo de 2015 los Servicios de Inspección de esta Agencia realizasen una inspección en el domicilio de VACACIONES EDREAMS, S.L. UNIPERSONAL a los efectos, por un lado, de analizar los procedimientos de oposición habilitados por esa entidad para darse de baja en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/31 servicio de newsletter como, por otro lado, para realizar las averiguaciones pertinentes en relación con las comunicaciones comerciales recibidas por los denunciantes con posterioridad a la confirmación de las bajas. Esa inspección dio lugar al Acta de Inspección de referencia I/1533/2015-I/1, en la que se ponía de manifiesto en relación con la primera cuestión analizada lo siguiente: 1 EDREAMS es responsable del fichero denominado CLIENTES, inscrito en el Registro General de Protección de Datos con el código ***CÓD.1 y descrito como “Control comercial de clientes y personalización de campañas de marketing”. 2 En dicho fichero se gestionan los datos tanto de las personas que se registran en la página web, como de las personas que realizan compras a través de la misma. 3 En ambos casos, antes de “enviar” el formulario de registro, el usuario debe aceptar la “Política de Protección de Datos” en la que se informa, de que una de las finalidades con la que se trataran los datos es la de enviarle información y publicidad sobre las ofertas, promociones y recomendaciones que pueden ser de su interés. 4 Además de aceptar la “Política de Protección de Datos”, y también antes de enviar el formulario el usuario puede marcar las casillas:  “Si, deseo recibir los boletines de ofertas y promociones de Edreams” en cuya leyenda se indica que se acepta por parte del usuario la recepción de comunicaciones comerciales de ideas u ofertas para viajar. “Si, deseo recibir información acerca de diferentes productos y/o servicios de empresas colaboradoras de Edreams”. 5 En el caso de que la persona que se registra marque la primera de las opciones, se le remite a la dirección de correo electrónico que ha facilitado en el formulario, un boletín con información de la compañía (newsletter) semanalmente (los lunes), desde la dirección B.B.B.. 6 Si además, ha marcado la segunda opción se le remite también información de otras empresas colaboradoras, también con periodicidad semanal, en este caso los miércoles. 7 La gestión de los envíos de newsletter se realiza por la empresa Ecircle GmbH, con quien EDREAMS tiene suscrito un contrato suscrito con fecha 1 de junio de 2011, aunque en la actualidad están en proceso de revisión del contrato. 8 Hasta aproximadamente Septiembre de 2014, solo se remitían los boletines semanales a los usuarios registrados, a partir de esa fecha, de forma gradual, se comienzan a remitir también a los clientes que han adquirido algún producto de la compañía. El primer envió del boletín al cliente era relacionado con su compra. 9 En el periodo de noviembre de 2014 a febrero de 2015 se remitieron boletines (newsletter) por correo electrónico aproximadamente a 144.000 contactos, de los cuales 101.000 eran clientes. 10 Respecto al procedimiento establecido por la compañía para que los usuarios registrados y los clientes puedan darse de baja en la recepción de comunicaciones comerciales por correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/31 a. En todos los correos remitidos figura una opción con el texto “Si no deseas seguir recibiendo nuestras newsletter puedes cursar tu baja haciendo click aquí. Al hacer click en la baja, automáticamente se marca en el fichero la opción “1”, que significa que al usuario marcado no se le remiten de nuevo newsletters. Además se envía automáticamente un mensaje el usuario confirmando la baja. b. En la página web F.F.F. a través de la opción “Atención al cliente” se puede cumplimentar un formulario para formular cualquier consulta o reclamación y también se pueden ejercitar los derechos ARCO, según se informa en el apartado “Política de Privacidad”. El formulario genera un correo electrónico a la dirección C.C.C.. Las solicitudes de baja recibidas en esta dirección se atienden desde el Servicio de Atención al Cliente de la compañía. c. Cuando se recibe una solicitud de baja en el envío de newsletter en el citado servicio, hasta aproximadamente febrero de 2015, se marcaba la baja en la aplicación web que el Servicio de Atención al Cliente utiliza para la gestión de los datos de los clientes o usuarios y se remitía al solicitante un correo de confirmación de la baja. 11 En el mes de febrero de 2015, la compañía tiene conocimiento, al recibir un requerimiento de información de la Agencia, de que la opción de baja tanto a través del link existente en los correos como a través de la aplicación existente en el Servicio de Atención al Cliente, no estaba funcionando correctamente, ya que no marcaba en el fichero de CLIENTES la opción “1” en el registro correspondiente. 12 A partir de ese momento, se realizan las correspondientes modificaciones en las aplicaciones, con objeto de solucionar el error y además para asegurar la correcta atención de las solicitudes que se reciben en la dirección de correo electrónico C.C.C., se remiten al departamento de CRM para que se comprueben una a una. 13 Por otra parte, la compañía manifiesta que, según sus comprobaciones y las fechas de las reclamaciones, el error en el funcionamiento del link de baja tanto en el propio correo como en la aplicación del Departamento de Atención al Cliente se produjo cuando se empezaron a remitir los boletines de newsletter a los Clientes. TERCERO: Respecto al caso del denunciante, en la mencionada inspección de fecha 11 de mayo de 2015 se levantó Acta de Inspección de referencia I/1533/2015-I/2, en la que se ponía de manifiesto lo siguiente en relación con el posible envío de comunicaciones comerciales no consentidas al denunciante: a. En el fichero en el que se gestiona el envío de la newsletter de la compañía no constan datos asociados al correo electrónico G.G.G.. A este respecto los responsables de la entidad han manifestado que los datos asociados a dicha dirección se eliminaron en diciembre de 2014, sin que puedan precisar la fecha. b. En el fichero de CLIENTES de EDREAMS, se realizan las siguientes comprobaciones de las que se adjunta copia impresa. i.Constan dos compras realizadas por el denunciante con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/31 fecha 22 de octubre de 2014. ii.Consta una solicitud del denunciante de fecha 15 de diciembre de 2014, en la que manifiesta que ha intentado darse de baja en varias ocasiones y solicita no seguir recibiendo newsletters. iii.Constan dos contestaciones al cliente con fechas 15 de diciembre de 2014 y 2 de enero de 2015, en la que le confirman la baja de su correo electrónico de la newsletter en la base de datos En lo referente al envío del 29 de diciembre de 2014, hay que tener en cuenta que la LSSI no fija de forma expresa ningún plazo para hacer efectivas las solicitudes de baja, no obstante lo cual esta Agencia considera que en este caso, dado que también se ha producido el tratamiento del dato personal del correo electrónico del denunciante, resulta de aplicación el plazo de diez días, a contar desde la recepción de la solicitud de oposición, que fija en el artículo 35 del Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (en adelante RDLOPD) para hacer efectivo el derecho ejercido por el interesado, y ello en virtud de lo establecido en el artículo 19.2 de la LSSI. Este último precepto dispone que en el envío de comunicaciones comerciales por vía electrónica también será de aplicación la Ley Orgánica 15/1999 y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales. El mencionado plazo deberá computarse conforme a lo previsto en el artículo 48.5 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. Por lo tanto, la newsletter remitida el 29 de diciembre de 2014 no conculcaría lo previsto en el artículo 21.1, máxime si se considera que se trata de envíos periódicos cuya programación ya estaba en curso cuando se recibió dicha solicitud de oposición, a lo que hay que añadir que no está acreditado que el denunciante recibiera otras comunicaciones comerciales de EDREAMS posteriores a la denunciada. CUARTO: Con fecha 23 de junio de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VACACIONES EDREAMS SOCIEDAD LIMITADA UNIPERSONAL por la presunta infracción de los artículos 21.2 y 22.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificadas como infracción grave en los artículos 38.3.

1. c)y 38.3.
2. d), respectivamente, de dicha norma, pudiendo ser sancionadas cada una de ellas con multa de 30.001 € hasta 150.000 €, de acuerdo con el artículo 39.1.
3. b)de la LSSI. Notificado el día 24 de junio de 2015 el citado Acuerdo de inicio, con fecha 13 de julio se amplía el plazo para efectuar alegaciones y con fecha 14 de julio de 2015 se entrega copia de la documentación obrante en el procedimiento a la persona autorizada por la representante legal de VACACIONES EDREAMS. QUINTO: Con fecha 22 de julio C/ Jorge Juan, 6 28001 – Madrid de 2015 se registra de entrada en esta Agencia www.agpd.es sedeagpd.gob.es 5/31 escrito de alegaciones de VACACIONES EDREAMS solicitando el archivo del procedimiento sancionador por inexistencia de las infracciones imputadas en el mismo o, subsidiariamente, apercibir y, en su caso, aplicar lo previsto en los artículos 39 bis y 40 de la LSSI con fundamento en los argumentos que, en síntesis, son los siguientes: - Respecto de los hechos se incide en lo siguiente: el Denunciante con fecha 22 de octubre de 2014 realizó dos compras a través de la página web de la entidad adquiriendo de este modo la condición de cliente; el afectado aceptó la Política de Privacidad en la que se informa expresamente que una de las finalidades de la recogida de datos es el envío de comunicaciones comerciales; las comunicaciones comerciales son enviadas periódicamente VACACIONES EDREAMS con información y ofertas comerciales de los servicios prestados por la empresa; el Denunciante solicitó la baja de la Newsletter el día 15 de diciembre 2014 mediante correo enviado a la dirección C.C.C., recibiendo con esa misma fecha un mensaje confirmando la baja; en el fichero de la entidad que registra el envío de la newsletter no constan datos asociados a la cuenta de correo del Denunciante desde diciembre de 2014, por lo que no puede acreditarse que el Denunciante haya recibido algún envío posterior al remitido el 29/12/2014 , el cual fue fruto de la programación anticipada de este tipo de envíos periódicos que resulta de difícil cancelación, conforme figura en el texto del mensaje que se recibe tras solicitar la baja; la gestión de la lista de distribución para el envío de newsletters se llevaba a cabo por la empresa eCircle GMBH. - La actuación de la entidad se ha ajustado a la diligencia que la normativa y el desarrollo de su actividad empresarial requieren. -En cuanto a la supuesta vulneración del artículo 21.2 de la LSSI se incide en que la petición del denunciante fue satisfecha en tiempo y forma, tal y como la propia Agencia ha señalado en el acuerdo de inicio del expediente. Se insiste en que la empresa ha puesto a disposición del Denunciante en particular, y de los clientes, en general, medios sencillos y gratuitos para que puedan mostrar su oposición a la recepción de comunicaciones comerciales tanto en el momento de la recogida de los datos, a través de la marcación de la correspondiente casilla en el formulario de suscripción, como en cada una de las comunicaciones remitidas. En lo que respecta al medio habilitado en cada uno de los correos, ponen de manifiesto que con ocasión de una incidencia técnica imperceptible y de difícil identificación se ha producido, durante un tiempo determinado, un funcionamiento deficiente del link incluido en la newsletter. Así, aunque el link parecía funcionar correctamente al pincharse, como prueba la recepción del mensaje de acuse de recibo por el cliente , sin embargo la solicitud de baja no quedaba reflejada en la plataforma tecnológica gestionada por el proveedor externo, provocando que el Denunciante siguiera figurando como cliente frente a la entidad. Desde el momento en que se tuvo conocimiento de la incidencia técnica acaecida se adoptaron las medidas necesarias para su subsanación y garantizar la operatividad de los medios y procedimientos necesarios para que el cliente pudiera causar baja voluntaria en la recepción de la newslwtter. Se resaltan también las medidas correctoras y de mejora que se adoptaron para acabar de raíz con la incidencia técnica causante del funcionamiento anómalo del procedimiento puesto a disposición del Denunciante. Se citan las resoluciones acordadas por la Agencia en los procedimientos sancionadores PS/00529/2012, PS/00138/2012 y PS/00070/2013 en las que existiendo problemas o fallos técnicos en el sistema las infracciones imputadas se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/31 tipificaron como leves. - En cuanto a la supuesta vulneración del artículo 22.1 de la LSSI, se señala que se han habilitado los medios necesarios y suficientes para que el cliente pueda revocar su consentimiento a través de la sección de Atención al Cliente o bien indicando cómo proceder en el texto de la Política de Privacidad. Se señala que en este caso concreto el Denunciante solicitó la baja a través del Servicio de Atención al Cliente. - Tan pronto como se conoció la incidencia técnica que venía afectando al link para cursar la baja automática, la compañía desarrolló un protocolo de actuación interno que pasaba por la adopción progresiva de las siguientes medidas internas y externas:
4. a)Cambio de proveedor tecnológico, rescindiéndose el contrato de prestación de servicios con eCircle suscribiéndose con otro proveedor más adecuado para la gestión tecnológica de la plataforma, habida cuenta del volumen de registros alcanzados desde septiembre de 2014. Con la implantación de la solución tecnológica del nuevo proveedor (SalesForce), la incidencia técnica ha quedado resuelta definitivamente al funcionar correctamente en todos los casos el link de baja automática incluido en las Newsletter.
5. b)Inversión de 1.700.000 euros a tres años para que los medios y procedimientos tecnológicos sean eficaces, válidos y seguros.
6. c)Revisión periódica de los procedimientos internos con interacción permanente entre el Servicio de Atención al Cliente y el Departamento de Marketing ( CRM).
7. d)Cambio en el procedimiento interno para dar respuesta a todos los clientes que solicitan la baja a través del Servicio de Atención al cliente, que se basa en la conexión y comunicación entre los departamentos antes citados para lograr mayor capacidad de reacción ante cualquier incidencia. El procedimiento se resume en los siguientes puntos: 1). El cliente contacta al Servicio de Atención al Cliente para solicitar la baja de suscripción, mediante el formulario habilitado en el sitio web F.F.F.; 2) El Servicio de Atención al Cliente contacta con el Departamento de CRM para pedir la baja; 3) El Departamento de CRM gestiona la baja del cliente de forma manual en el sistema y registra la fecha.; 4) Se confirma al cliente vía correo electrónico que la baja ha sido cursada mediante el modelo de comunicación previsto; 5) Cuando no pueda identificarse la dirección de correo del cliente que cursa la baja, el Departamento de CRM envía un email notificando dicho extremo al Servicio de Atención al Cliente, desde el que se notifica al cliente que no se ha podido gestionar su solicitud y se le pide confirmación de sus datos.
8. e)Cambio en el procedimiento externo: elaboración de nuevos modelos de comunicaciones para enviar al cliente y eliminación del link, de los que se traslada el texto de la comunicación confirmando la solicitud de baja y de la comunicación informando sobre la imposibilidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/31 cursar la solicitud de baja.
9. f)Formación del personal de las mencionadas áreas para reforzar con la intervención humana el correcto funcionamiento de los procedimientos propuestos y los procesos previstos. -Subsidiariamente, y para el caso de que no se admitiera la inexistencia de vulneración grave a lo previsto en los artículos 21.2 y 22.1 de la LSSI, se solicita la aplicación de las previsiones contenidas en los artículos 39 bis y 40 de la LSSI con la finalidad de proceder a la imposición de las multas aplicando la escala relativa a la clase de infracción que precede inmediatamente en gravedad a aquellas en que se integras las consideradas en este supuesto y, en su caso, a la graduación de las sanciones en su menor cuantía, facultad cuyo uso se justifica en este caso en razón de los siguientes supuestos recogidos en el artículo 39 bis, a saber:
10. a)Concurrencia de varios de los criterios del artículo 40 de la LSSI: - Ha quedado probada la falta de intencionalidad, ya sea a título de dolo o culpa de VACACIONES EDREAMS en la conducta objeto del presente expediente. Se ha actuado bajo el convencimiento de que los medios puestos a disposición del Denunciante y las medidas internas aplicadas para el control de las solicitudes de baja de la recepción de comunicaciones comerciales eran los adecuados, conforme prueba la diligencia mostrada ante la petición formulada por el Denunciante.. En relación con la atribución de la culpabilidad se entiende que lo relevante es la diligencia desplegada en la acción por el sujeto. Se han adoptado, incluso con anterioridad al inicio del presente procedimiento, y desde el mismo momento en el que tuvo conocimiento de la incidencia técnica, las medidas correctoras oportunas para adecuar su conducta a las exigencias de los artículos 21.2 y 22.1 de la LSSI, estableciendo mecanismos internos y externos válidos y operativos que le permiten tener un control de las bajas y solicitudes formuladas en relación con la negativa a la recepión de comunicaciones comerciales. - No hay constancia de que el Denunciante haya podido sufrir perjuicios derivados de la recepción de los correos electrónicos, habiendo sido atendida su petición. El envío en cuestión no ha supuesto beneficio económico o reputacional alguno a la remitente, sino al contrario, ya que al conocer las circunstancias ha llevado a cabo una inversión económica tendente a garantizar el cumplimiento de las medidas correctoras propuestas. -La buena fe ha inspirado la forma de actuar de VACACIONES EDREAMS, habiéndose probado que, en todo momento, ha pretendido respetar las garantías de la LSSI habilitando los mecanismos legales necesarios.
11. b)Adopción en forma diligente de las medidas internas y externas necesarias para regularizar la incidencia técnica detectada que no afecta al caso concreto del Denunciante en la medida en que su petición fue cursada debidamente.
12. c)No puede obviarse que la dificultad técnica sufrida en su plataforma tecnológica ha provocado el envío de correos que no estaban bajo su control. Por lo que, acreditada la concurrencia significativa de varios de los criterios del artículo 40 de la LSSI, en concreto los supuestos a),
13. d)y
14. e)anteriormente citados , las multas a imponer deberían fijarse atendiendo a la concurrencia de los referidos criterios de moderación de las sanciones a fin de ajustarlas a la verdadera entidad de la conducta infractora, al igual que se procedió en una serie de casos resueltos por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/31 Agencia cuya referencia cita, graduando la cuantía de la sanción correspondiente a las infracciones leves en su menor cuantía, de acuerdo con lo previsto en el 40 de la LSSI. VACACIONES EDREAMS, en apoyo de sus pretensiones, cita varias Sentencias de la Audiencia Nacional y tres resoluciones de expedientes sancionadores tramitados por la AEPD en las que se han aplicado los criterios de minoración y graduación de las sanciones recogidos en los artículos 39 bis y 40 de la LSSI. SEXTO: Con fecha 24 de julio de 2015, se inició por la Instructora del procedimiento la apertura de un período de práctica de pruebas, en el que se acordó dar por reproducidos a efectos probatorios la denuncia interpuesta por el Denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante VACACIONES EDREAMS, S.L.U., el Informe de actuaciones previas de Inspección que forman parte del expediente E/01533/2015 y las alegaciones al acuerdo de inicio PS/00341/2015 presentadas por la reseñada sociedad. Asimismo, se acordó solicitar a dicha sociedad la aportación de la siguiente documentación y la contestación a las siguientes cuestiones: 1)Acreditación del plazo de tiempo que perduró la incidencia técnica que según sus alegaciones ocasionó los hechos acaecidos; 2) Acreditación de la forma y fecha exacta en que se detectó dicha incidencia; 3) Justificación de la efectiva adopción por parte de esa empresa de cada una de las medidas internas y externas de carácter corrector que se indica se han adoptado en su escrito de alegaciones a los efectos de subsanar la irregularidad detectada, solicitándose la remisión de copia del contrato suscrito con Sales Force como nuevo proveedor tecnológico. SÉPTIMO: Con fecha 10 de agosto de 2015 se registra de entrada en esta Agencia escrito de VACACIONES EDREAMS contestando lo siguiente: - Se trató de una incidencia intermitente y progresiva que originó un funcionamiento deficiente del link desde octubre de 2014 hasta febrero de 2015, que coincidió con las fases de implantación del aumento de registros de envíos de la Newsletter que la entidad, junto con el soporte técnico del proveedor externo, había ido implantando progresivamente a través de su plataforma. Se aporta copia de una presentación interna realizada para reportar los resultados del primer envío de Newsletter a clientes (no usuarios registrados) de fecha 2 de octubre de 2014, a partir del cual se procedió, progresivamente, a incorporar toda la base de datos de clientes. - La incidencia se detecta a partir de dos reclamaciones recibidas en febrero de 2015, una a través de denuncia presentada en la AEPD y otra mediante una petición recibida internamente por la entidad. Ambas reclamaciones se ponen en conocimiento del Departamento Jurídico que, a su vez informa a las personas responsables como prueba el correo informativo cuya copia se aporta. - Desde que se tuvo conocimiento de la incidencia se adoptaron, por fases las medidas correctoras comunicadas en el escrito de alegaciones, que se acreditan:
15. a)Se aporta copia del contrato suscrito con SalesForce, nuevo proveedor tecnológico contratado por el grupo empresarial al que pertenece VACACIONES EDREAMS;
16. b)En dicho contrato se reflejan las cantidades económicas invertidas en la citada contratación, sin perjuicio de las cantidades adicionales dedicadas al desarrollo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/31 tecnológico que aparecen en la documentación que se presenta;
17. c)La comunicación entre el Servicio de Atención al Cliente y el Departamento de CRM se concreta en el reporte semanal de las solicitudes de baja recibidas por parte del primero al segundo, con el objeto de que el citado Departamento compruebe manualmente que dichas bajas se han cursado y están reflejadas en la plataforma tecnológica que soporta la lista de distribución para el envío de las newsletter. Se adjunta documentación al respecto. Esta conexión interdepartamental permite detectar y reaccionar rápidamente ante una potencial incidencia para su subsanación en orden a su identificación, detección y corrección, así como controlar la correcta gestión de las bajas solicitadas a través de Atención al Cliente, en lugar de utilizar el link;
18. d)Se alude a los modelos de comunicaciones elaborados para enviar a los clientes que acudían a Atención al Cliente para darse de baja del servicio de Newsletter, aportándose copia del proceso de baja de la Newsletter actualmente en curso;
19. e)Se aporta copia de la presentación utilizada por el Departamento Jurídico para dar sesiones de formación al personal OCTAVO: Con fecha 2 de noviembre del procedimiento se incorpora al procedimiento impresión de la siguiente documentación obtenida en el sitio web www. H.H.H.: Página inicial del sitio, Documento de “Política de privacidad” de eDreams, Documento de “ Términos y condiciones eDreams”, Información relativa al apartado de “Contacto” que aparece en el enlace “Atención al Cliente”. Asimismo, se incorpora copia de las denuncias que dieron lugar a las actuaciones previas de inspección de referencia E/02179/2015 , E/02180/2015 y E/02718/2015 . NOVENO: Con fecha 18 de noviembre de 2015 se formuló propuesta de resolución en el siguiente sentido: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a VACACIONES EDREAMS, SOCIEDAD LIMITADA UNIPERSONAL con multa de 30.000 € (Treinta mil euros) por la infracción del artículo 21.2 de la LSSI, tipificada como grave en el artículo 38.3.
20. c)de dicha norma, de conformidad con lo dispuesto en los artículos 39.1.
21. b)y c), 39 bis 1.
22. c)y 40 de la LSSI. Que por la Directora de la Agencia Española de Protección de Datos se sancione a VACACIONES EDREAMS, SOCIEDAD LIMITADA UNIPERSONAL con multa de 30.000 € (Treinta mil euros) por la infracción del artículo 22.1 de la LSSI, tipificada como grave en el artículo 38.3.
23. d)de dicha norma, de conformidad con lo dispuesto en los artículos 39.1.
24. b)y c), 39 bis 1.
25. c)y 40 de la LSSI.” DÉCIMO: : Notificada dicha propuesta de resolución, con fecha 11 de diciembre de 2015 se registra de entrada en esta Agencia escrito de alegaciones de VACACIONES EDREAMS significando que, sin perjuicio de que, en todo momento, ha creído que “tenía implementados los procedimientos correctos para cumplir todas las pautas fijadas en la normativa aplicable y reguladora del envío de comunicaciones comerciales y, en su caso, sobre la posibilidad de mostrar la negativa a la recepción de dichas comunicaciones”, la entidad pasa a manifestar su responsabilidad a título de culpa reconociendo la falta de diligencia mostrada respecto de los hechos objeto de imputación por infracción de las exigencias fijadas en los artículos 21 y 22.1 de la LSSI, todo ello teniendo en cuenta las singulares circunstancias concurrentes en este supuesto Además, se hace hincapié en que el presente procedimiento sancionador C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/31 forma parte de un grupo de un total de nueve asuntos vinculados a las mismas circunstancias con las consiguientes consecuencias que las sanciones económicas previstas pueden suponer para la compañía, especialmente en este caso concreto en el que se propone la imposición de una doble sanción. No obstante el reconocimiento de culpa, VACACIONES EDREAMS recuerda el conjunto de medidas correctoras y de mejora puestas en marcha cuando tuvo conocimiento de los hechos, y actualmente ya implantadas y desarrolladas, a fin de garantizar tanto la operatividad inmediata y real de los procedimientos de baja de la newsletter puestos a disposición de los clientes, como para evitar la reproducción de los hechos acaecidos. En aplicación de los criterios previstos en los artículos 39 bis y 40 de la LSSI, solicita que para cada una de las infracciones cuya comisión se imputa en el presente procedimiento se impongan sanciones inferiores a la propuestas, solicitud que extiende a los restantes expedientes afectados por la misma incidencia, valorando para ello, junto a los criterios
26. d)y
27. e)que ya fueron puestos de manifiesto en anteriores alegaciones, las siguientes circunstancias atenuadoras de la culpabilidad: reconocimiento de la responsabilidad en los hechos en el sentido de falta de diligencia dadas las singulares circunstancias del supuesto, la diligencia mostrada al reaccionar implantando una serie de medidas correctoras internas y externas que solucionasen lo sucedido a la mayor brevedad posible, y cuya puesta en marcha ha supuesto la correspondiente inversión económica, el gasto económico que conlleva el número de expedientes a los que la compañía está haciendo frente y, especialmente, el impacto económico que las sanciones que se impongan pueden suponer en las cuentas de la entidad. VACACIONES EDREAMS justifica esta última circunstancia señalando que sumando el conjunto de sanciones propuestas la cifra final a abonar podría alcanzar los 200.000 € , cantidad que representa el 3,5% de su beneficio anual en España teniendo en cuenta el resultado del ejercicio que consta en sus Cuentas Anuales depositadas en el Registro Mercantil de Barcelona. HECHOS PROBADOS PRIMERO: VACACIONES EDREAMS, empresa que opera en el mercado español como agencia de viajes online, es propietaria de la página web https:// F.F.F. , desde la que proporciona un servicio de búsqueda y comparación de productos o servicios de viajes ofrecidos por proveedores de viajes, así como un servicio de intermediación que permite al usuario comprar vía on-line los servicios que éste seleccione. (folios 85, 277 y 278) SEGUNDO: La citada página web contiene un formulario para registrarse como usuario en el que, entre otros datos, debe facilitarse el correo electrónico del registrante, quien, antes de enviar el formulario, debe aceptar la “Política de Privacidad” de la página web https:// F.F.F. marcando la casilla habilitada al efecto por la empresa. (folios 61. 62, 65) Para recibir el boletín de ofertas de la entidad el registrante C/ Jorge Juan, 6 28001 – Madrid puede marcar una o www.agpd.es sedeagpd.gob.es 11/31 ambas de las siguientes casillas: (folios 66 y 67)  “Si, deseo recibir los boletines de ofertas y promociones de eDreams. Condiciones”  “Si, deseo recibir información acerca de diferentes productos y/o servicios de empresas colaboradoras de eDreams. Condiciones” Al pinchar el enlace que remite a las Condiciones aparece un mensaje con el siguiente texto:“La aceptación expresa por parte del usuario registrado a recibir comunicaciones comerciales, de ideas y ofertas para viajar, e implica la aceptación por parte del mismo a recibir impactos publicitarios, tanto aquellos incluidos dentro de las comunicaciones comerciales, como aquellos que contengan únicamente información exclusiva del anunciante. De acuerdo a lo establecido en la Política de Protección de Datos.” (folio 67) TERCERO: Según VACACIONES EDREAMS, cuando el usuario marca la primera opción de las descritas en el Hecho anterior recibe desde la cuenta de correo B.B.B. un boletín publicitario semanal (los lunes) en la cuenta de correo electrónico facilitada al registrarse. En caso de marcar la segunda opción de las descritas, el usuario recibe también un boletín publicitario semanal (los miércoles) con información publicitaria de terceras empresas colaboradoras. Estos boletines hasta septiembre de 2014 únicamente se remitieron a los usuarios registrados en la página web de VACACIONES EDREAMS. (folio 62) CUARTO: Entre septiembre y diciembre de 2014 VACACIONES EDREAMS empezó a incluir, de forma gradual como destinatarios de los boletines comerciales semanales también a los clientes de la entidad. (folios 62, 86 y 87) QUINTO: Entre noviembre de 2014 y febrero de 2015 VACACIONES EDREAMS ha reconocido haber enviado con periodicidad semanal su boletín electrónico comercial a 144.000 contactos, de los que 101.000 eran clientes.. (folio 62) SEXTO: Consta que en el documento de “Política de Privacidad” de la reseñada página web se informa que todos los datos personales proporcionados serán tratados en ficheros automatizados titularidad de VACACIONES EDREAMS para, entre otras finalidades, enviar información publicitaria sobre ofertas, promociones y recomendaciones. Igualmente se informa de la posibilidad de ejercer los derechos de acceso, rectificación, cancelación y oposición de sus datos de carácter personal dirigiéndose a la dirección postal de VACACIONES EDREAMS que se facilita o contactando a través de la sección “Atención al Cliente” de la web con el Servicio de Atención al Cliente. (folios 68 y 276) SÉPTIMO: Se ha verificado que a través de las opciones de “Ayuda OnLine” o “Contacta” habilitadas en el enlace de “Atención al cliente” de la página web https:// F.F.F. se accede a un formulario de “contacto por correo electrónico” que permite manifestar al destinatario su voluntad de revocar el consentimiento inicialmente prestado a la recepción de la newsletter o, en su caso, oponerse a recibir dichos boletines publicitarios en su cuenta de correo electrónico. (folios 84, 293 al 297) OCTAVO: Según manifestaciones de los responsables de VACACIONES EDREAMS, hasta febrero de 2015 en los casos en que se solicitaba la baja a través del correo electrónico que se genera al usar la opción de contacto habilitada en la sección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/31 “Atención al Cliente”, desde el Servicio de Atención al Cliente de la entidad se procedía a marcar la baja en la aplicación web que dicho servicio utiliza para la gestión de los datos de los clientes o usuarios y se remitía al solicitante desde la cuenta C.C.C. un correo de confirmación de baja. (folio 62) NOVENO: Consta que los correos electrónicos comerciales enviados por VACACIONES EDREAMS contenían un enlace o link de baja para que los destinatarios de los mismos (usuarios registrados y clientes) pudiesen oponerse a la recepción de nuevos envíos publicitarios en sus cuentas de correo electrónico. El procedimiento ofrecido, situado al pie de los boletines comerciales remitidos, tenía el siguiente texto: “En cumplimiento de la ley de Servicios de la Sociedad de la Información y de Comercio Electrónico y de la ley Orgánica de Protección de Datos, te informamos que si no deseas seguir recibiendo nuestras newsletter puedes cursar tu baja haciendo click aquí”. (folios 65, 66, 82) DÉCIMO: VACACIONES EDREAMS ha manifestado que cuando el destinatario utiliza el enlace de baja contenido en el boletín electrónico comercial se produce en el fichero la marcación automática de la opción “1”, excluyendo el correo electrónico en cuestión de futuros envíos publicitarios. Además, se genera la remisión automática a las señas desde las que se usa el enlace de un mensaje confirmando la baja solicitada. (folio 62) UNDÉCIMO: VACACIONES EDREAMS ha manifestado que a partir de febrero de 2015, y con motivo de un requerimiento de información de la AEPD, tuvo conocimiento de que la opción de baja del link existente en los correos y la ofrecida a través de la aplicación del Servicio de Atención al Cliente no funcionaban correctamente al no marcarse la opción “1” en el registro correspondiente. (folio 62) DUODÉCIMO: el fichero que gestiona el envío de la newsletter afectado por la citada incidencia contiene datos asociados tanto a los usuarios registrados como a los clientes de la entidad (folio 86) DECIMOTERCERO: Con fecha 15 de junio de 2011 VACACIONES EDREAMS S.L. suscribió contrato de prestación de servicios con el proveedor tecnológico externo eCircle GmbH a los efectos de que esta empresa gestionase la plataforma tecnológica desde la que se remitía la newsletter de VACACIONES EDREAMS. El proveedor actuaba como encargado de tratamiento . (folios 62, 69 al 76, 87) DECIMOCUARTO: Con fecha 23 de octubre de 2014 el grupo empresarial al que pertenece VACACIONES EDREAMS suscribió contrato de prestación de servicios con SALESFORCE.COM EMEA LIMITED, empresa que pasó a ser su nuevo proveedor tecnológico externo a los efectos de gestionar la plataforma de los envíos de la newsletter. El contrato está suscrito por los representantes de las respectivas partes. (folios ( 196, 214 al 228) DECIMOQUINTO: Entre diciembre de 2014 y marzo de 2015, nueve denunciantes pusieron de manifiesto ante esta Agencia que tras solicitar, reiteradamente, la baja de la newsletter utilizando el link incluido en los boletines comerciales y el formulario habilitado en la sección de Atención al Cliente de la página web de la entidad que dirige al correo electrónico C.C.C. , continuaron recibiendo el boletín comercial de la entidad, no obstante las confirmaciones de baja recibidas en respuesta a sus solicitudes. (folios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/31 87, 120 al 125 y 298 al 301) DECIMOSEXTO: Con fecha 11 de mayo de 2015 se practica inspección por la AEPD en las instalaciones de VACACIONES EDREAMS comprobándose que cuatro cuentas de correo electrónico de las nueve objeto de inspección ya figuraban marcadas como de baja con fechas 11/03/2015, 16/03/2015, 13/04/2015 y 29/04/2015 en el fichero que gestiona la newsletter. Otras cuatro se dieron de baja en esa misma fecha al comprobarse que los datos asociados a las respectivas direcciones de correo electrónico de los denunciantes afectados no estaban marcadas con la opción de no recibir newsletter. (folios 107 al 119 ) DECEIMOSÉPTIMO: En relación con el denunciante Don D.D.D., cliente de VACACIONES EDREAMS desde 22 de octubre de 2014, se verificó durante la citada inspección que los datos asociados al correo electrónico E.E.E. no figuraban registrados en fichero que gestiona el envío de la newsletter. Igualmente, se comprobó que en el fichero de clientes de la entidad está registrado que la solicitud de baja de fecha 15 de diciembre de 2014 efectuada por el denunciante desde su cuenta de correo electrónico a la dirección C.C.C. fue contestada, con esa misma fecha, confirmando la baja y advirtiendo de la posibilidad de recibir un envío ya programado con anterioridad. También consta que con fecha 2 de enero de 2015 se le volvió a confirmar la baja de su correo electrónico de la newsletter en la base de datos. (folios 127 y 133 al 137 ) FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
28. d)e
29. i)y 38.4 d),
30. g)y
31. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II Con carácter previo a examinar si la entidad imputada resulta responsable de la vulneración de lo previsto en los artículos 21.2 y 22.1 de la LSSI, conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/31 telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI, también en la redacción dada por la mencionada Ley General de Telecomunicaciones, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. De este modo la LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/31 datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De lo que antecede, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del párrafo primero del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
32. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
33. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
34. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/31 las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. El concepto de comunicación comercial, de acuerdo con la definición recogida en el Anexo f), párrafo primero de la LSSI, engloba todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. Por otro lado, la LSSI en su Anexo
35. a)define “Servicio de la Sociedad de la Información” como “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios”. Añade el referido apartado que el envío de comunicaciones comerciales es un servicio de la sociedad de la información, siempre que represente una actividad económica. Según el apartado
36. d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
37. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV Lo dispuesto en los artículos 21 y 22.1 de la LSSI debe ponerse en relación con lo establecido en la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), en cuyos considerandos 40 y 41 se establece en relación con las comunicaciones electrónicas, que: “