PS-00339-2015 | Europaius

1/26 Procedimiento Nº PS/00339/2015 RESOLUCIÓN: R/03002/2015 En el procedimiento sancionador PS/00339/2015, instruido por la Agencia Española de Protección de Datos a la entidad VACACIONES EDREAMS SOCIEDAD LIMITADA UNIPERSONAL, vista la denuncia presentada por Don D.D.D., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 13 de marzo de 2015 tiene entrada en esta Agencia un escrito de Don D.D.D. (en lo sucesivo el denunciante) poniendo de manifiesto el envío de comunicaciones comerciales no autorizadas por parte de la entidad VACACIONES EDREAMS, SOCIEDAD LIMITADA UNIPERSONAL ( en lo sucesivo VACACIONES EDREAMS), con posterioridad a la confirmación de la baja del servicio de newsltter. Según la denunciante, con fecha 17 de diciembre de 2014 realizó una compra en VACACIONES EDREAMS y, desde entonces, está recibiendo en su dirección de correo electrónico C.C.C. envíos publicitarios de esa compañía. Señala que ha solicitado la baja al menos en tres ocasiones a través de correos electrónicos remitidos a la dirección B.B.B.. La denunciante aporta copia del correo recibido desde esa dirección con fecha 27 de diciembre de 2014 en su cuenta de correo informándole que no volverá a recibir correos publicitarios. No obstante lo cual, con posterioridad a la confirmación de la baja ha seguido recibiendo correos electrónicos publicitarios desde la dirección A.A.A. . Aporta copia de la bandeja de entrada de su buzón de correo electrónico que muestra un total de 10 correos remitidos por EDREAMS entre el 23 de enero y el 26 de febrero de 2015. SEGUNDO: Consta que con fecha 11 de mayo de 2015 los Servicios de Inspección de esta Agencia realizaron una inspección en el domicilio de VACACIONES EDREAMS, SLU en relación con los procedimientos establecidos para que los interesados se den de baja en el servicio de newsletter, a raíz de la cual se levantó el Acta de Inspección de referencia I/1533/2015-I/1, en la se ponían de manifiesto, entre otros hechos, lo siguiente : 1 VACACIONES EDREAMS es responsable del fichero denominado CLIENTES, inscrito en el Registro General de Protección de Datos con el código ***CÓD.1 y descrito como “Control comercial de clientes y personalización de campañas de marketing”. 2 En dicho fichero se gestionan los datos tanto de las personas que se registran en la página web, como de las personas que realizan compras a través de la misma. 3 En ambos casos, antes de “enviar” el formulario de registro, el usuario debe aceptar la “Política de Protección de Datos” en la que se informa, de que una de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/26 las finalidades con la que se trataran los datos es la de enviarle información y publicidad sobre las ofertas, promociones y recomendaciones que pueden ser de su interés. 4 Además de aceptar la “Política de Protección de Datos”, y también antes de enviar el formulario el usuario puede marcar las casillas:  “Si, deseo recibir los boletines de ofertas y promociones de Edreams” en cuya leyenda se indica que se acepta por parte del usuario la recepción de comunicaciones comerciales de ideas u ofertas para viajar. “Si, deseo recibir información acerca de diferentes productos y/o servicios de empresas colaboradoras de Edreams”. 5 En el caso de que la persona que se registra marque la primera de las opciones, se le remite a la dirección de correo electrónico que ha facilitado en el formulario, un boletín con información de la compañía (newsletter) semanalmente (los lunes), desde la dirección A.A.A.. 6 Si además, ha marcado la segunda opción se le remite también información de otras empresas colaboradoras, también con periodicidad semanal, en este caso los miércoles. 7 La gestión de los envíos de newsletter se realiza por la empresa Ecircle GmbH, con quien EDREAMS tiene suscrito un contrato suscrito con fecha 1 de junio de 2011, aunque en la actualidad están en proceso de revisión del contrato. 8 Hasta aproximadamente Septiembre de 2014, solo se remitían los boletines semanales a los usuarios registrados, a partir de esa fecha, de forma gradual, se comienzan a remitir también a los clientes que han adquirido algún producto de la compañía. El primer envió del boletín al cliente era relacionado con su compra. 9 En el periodo de noviembre de 2014 a febrero de 2015 se remitieron boletines (newsletter) por correo electrónico aproximadamente a 144.000 contactos, de los cuales 101.000 eran clientes. TERCERO: Durante la citada inspección de fecha 11 de mayo de 2015, los Servicios de Inspección de esta Agencia levantaron Acta de Inspección E/02719/2015/I-01 en relación con los hechos comunicados por el denunciante, en la que figura la realización de las siguientes comprobaciones: 1. Se accede al fichero en el que se gestiona el envío de la newsletter de la compañía, comprobándose que los datos asociados a la dirección de correo electrónico del denunciante NO figuran marcados con la opción de no recibir la newsletter. En el momento de la inspección se marca dicha opción 2. Se accede al fichero de CLIENTES de la compañía, realizando las siguientes comprobaciones a. Consta una compra realizada por el denunciante con fechas 17 de octubre de 2014. b. Constan varias solicitudes de baja en el envío de newsletter del cliente: de fecha 9 de noviembre de 2014, en la que solicita no recibir más correos electrónicos de la compañía, de fecha 26 de diciembre de 2014, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/26 reiterando su petición, de fecha 16 de enero de 2015, reiterando de nuevo la solicitud de baja, de fecha 26 de enero de 2015, en la que manifiesta su intención de denunciar ante la Agencia. c. Constan varias contestaciones al cliente: con fecha 24 de noviembre de 2014 en la que le comunican que no volverá a recibir correos, de fecha 27 de diciembre de 2014, en el que de nuevo le comunican que no volverá a recibir más correos, de fecha 16 de enero de 2015, en la que le comunican que han cancelado su suscripción a los boletines, de fecha 26 de enero de 2015 en la que le informan que ha cancelado con éxito su suscripción a los boletines de la compañía. A la vista de la periodicidad con la que se remitían las newsletters, según figura en el Acta de Inspección de referencia I/1533/2015-I/1, se considera que desde el 24 de noviembre de 2014, fecha de la confirmación de la baja a la denunciante, hasta el día 11 de mayo de 2015, fecha efectiva de la realización de la baja en el fichero que gestiona el envío de la newsletter de la compañía, se envió al correo electrónico del denunciante, como mínimo, un boletín publicitario por semana. CUARTO: Con fecha 2 de julio de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VACACIONES EDREAMS SOCIEDAD LIMITADA UNIPERSONAL por la presunta infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como grave en el artículo 38.3.

c)de dicha norma, pudiendo ser sancionada con multa de 30.001 € hasta 150.000 €, de acuerdo con el artículo 39.1.
b)de la LSSI. Notificado con fecha 9 de julio de 2015 el citado Acuerdo de inicio a VACACIONES EDREAMS, con fecha 17 de julio de 2015 se acuerda ampliar el plazo para formular alegaciones en contestación a la solicitud realizada el 14 de julio de 2015 por dicha compañía en tal sentido, mientras que con fecha 20 de julio de 2015 se entrega copia de la documentación obrante en el procedimiento a la persona autorizada por la representante legal de la entidad imputada. Con fechas 9 y 10 de julio de 2015 resultaron infructuosos por “Ausente” los intentos de notificación del citado acuerdo de inicio al denunciante en el domicilio indicado por el mismo en la denuncia, el cual fue devuelto por el Servicio de Correos con fecha 20 de julio por caducado en Lista de Correos. Dicho acuerdo de inicio se notificó en el Boletín Oficial del Estado nº 178 de fecha 27 de julio de 2015 de conformidad con lo dispuesto en los artículos 59.5, 60.2 y 61 de la Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Púbicas. QUINTO: Con fecha 30 de julio de 2015 se registra de entrada en esta Agencia escrito de alegaciones de VACACIONES EDREAMS solicitando el archivo del procedimiento sancionador por inexistencia de infracción o, subsidiariamente, apercibir y, en su caso, aplicar lo previsto en los artículos 39 bis y 40 de la LSS con fundamento en los argumentos que, en síntesis, se exponen a continuación: - Respecto de los hechos se incide en lo siguiente: el Denunciante adquirió la condición de cliente al realizar una compra con fecha 17 de octubre de 2014 a través de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/26 la página web de la entidad; el afectado aceptó la Política de Privacidad en la que se informa expresamente que una de las finalidades de la recogida de datos es el envío de comunicaciones comerciales; las comunicaciones comerciales son enviadas periódicamente VACACIONES EDREAMS con información y ofertas comerciales de los servicos prestados por la emrpesa; el Denunciante solicitó la baja de la Newsletter el día 27 de diciembre de 2014 a través del link de baja contenido en la misma, recibiendo con esa misma fecha un correo confirmando la baja; el día 5 de enero de 2015 el denunciante remite otras solicitudes de baja a través del Servicio de Atención al Cliente debido a que continúa recibiendo correos electrónicos, informándole que debe seguir el proceso previsto al efecto en el caso de querer articular una reclamación y le remite el mismo link que se incluye en la newsletter ; la gestión de la lista de distribución para el envío de newsletters se llevaba a cabo por la empresa eCircle GMBH; en el mensaje de confirmación que se recibe tras solicitar la baja se informa que puede recibirse algún correo adicional al ser envíos periódicos programados con antelación. - No cabe imputar la comisión de la infracción grave tipificada en el artículo 38.3.
c)de la LSSI ya que su actuación se ha ajustado a la diligencia que la normativa y el desarrollo de su actividad empresarial requieren, en tanto que estaba habilitada para el envío de comunicaciones comerciales al Denunciante y tenía fijados los medios necesarios tanto para que pudiera manifestar su intención de no recibir comunicaciones comerciales como para dar respuesta automática a su petición. Los hechos acaecidos se han debido a una incidencia técnica imperceptible y de difícil identificación que afectó durante un período determinado al funcionamiento del link incluido en la Newsletter que la denunciante recibió. Así, aunque el link parecía funcionar correctamente al pincharse, como prueba la recepción del mensaje de acuse de recibo, sin embargo la solicitud de baja no quedaba reflejada en la plataforma tecnológica gestionada por el proveedor externo, provocando que la denunciante siguiera figurando como cliente frente a la entidad. Se señala que aunque el denunciante contactó con el Servicio de Atención al Cliente al recibir una nueva Newsletter, dicho servicio procedió, de acuerdo con el procedimiento interno y diligentemente, a cursar la solicitud reenviando de nuevo el link de baja al desconocer la existencia de la incidencia técnica que afectaba a su funcionamiento. Por otra parte, el aumento de peticiones asociadas con la solicitud de baja de la Newsletter detectado se atribuyó, inicialmente, al aumento de registros de envíos de la Newsletter que la compañía había puesto en marcha recientemente con el proveedor externo encargado de la gestión de la plataforma. Excepto el primero de los envíos recibidos por el Denunciante, que se debió a la previa programación de los mismos, el resto de envíos fue consecuencia de la mencionada incidencia técnica temporal que se localizó posteriormente, sin perjuicio de que cuando se detectó la situación del denunciante se procedió a registrarlo en el fichero correspondiente en forma inmediata. Se resalta que nada más conocerse la incidencia se tomaron las medidas correctoras tendentes a subsanar la anomalía y garantizar la operatividad y mejora los procedimientos de baja voluntaria en la Newsletter de la compañía. A la vista de todo lo cual se invoca el principio de presunción de inocencia del artículo 24.2 de la Constitución defendiendo que, existiendo dudas acerca de las posiciones enfrentadas, los hechos denunciados se ajustan a los correos identificados en la denuncia presentada por el Denunciante sin que proceda ir más allá de los mismos. Asimismo, se citan las resoluciones acordadas por la Agencia en los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/26 procedimientos sancionadores PS/00529/2012 y PS/00138/2012, en las que existiendo problemas o fallos técnicos en el sistema se tipificaron como leves las infracciones imputadas. - A los efectos de subsanar la situación, la compañía desarrolló un protocolo de actuación interno a desarrollar en seis meses, con finalización prevista en mayo-junio de 2015, que pasa por la adopción de las siguientes medidas internas y externas:
a)Cambio de proveedor tecnológico, rescindiéndose el contrato de prestación de servicios con eCircle suscribiéndose con otro proveedor más adecuado para la gestión tecnológica de la plataforma, habida cuenta del volumen de registros alcanzados desde septiembre de 2014. La incidencia técnica ha quedado resuelta definitivamente al funcionar correctamente el link de baja automática incluido en las Newsletter.
b)Inversión de 1.700.000 euros a tres años para que los medios y procedimientos tecnológicos sean eficaces, válidos y seguros.
c)Revisión periódica de los procedimientos internos con interacción permanente entre el Servicio de Atención al Cliente y el Departamento de CRM.
d)Cambio en el procedimiento interno para dar respuesta a todos los clientes que solicitan la baja a través del Servicio de Atención al cliente, que se basa en la conexión y comunicación entre los departamentos antes citados para lograr mayor capacidad de reacción ante cualquier incidencia. El procedimiento se resume en los siguientes puntos: 1). El cliente contacta al Servicio de Atención al Cliente para solicitar la baja de suscripción, mediante el formulario habilitado en el sitio web www.edreams.es; 2) El Servicio de Atención al Cliente contacta con el Departamento de CRM para pedir la baja; 3) El Departamento de CRM gestiona la baja del cliente de forma manual en el sistema y registra la fecha.; 4) Se confirma al cliente vía correo electrónico que la baja ha sido cursada mediante el modelo de comunicación previsto; 5) Cuando no pueda identificarse la dirección de correo del cliente que cursa la baja, el Departamento de CRM envía un email notificando dicho extremo al Servicio de Atención al Cliente, desde el que se notifica al cliente que no se ha podido gestionar su solicitud y se le pide confirmación de sus datos.
e)Cambio en el procedimiento externo: elaboración de nuevos modelos de comunicaciones para enviar al cliente y eliminación del link, de los que se traslada el texto de la comunicación confirmando la solicitud de baja y de la comunicación informando sobre la imposibilidad de cursar la solicitud de baja.
f)Formación del personal de las mencionadas áreas para reforzar con la intervención humana el correcto funcionamiento de los procedimientos propuestos y los procesos previstos. -Subsidiariamente, y para el caso de que no se admitiera la inexistencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/26 vulneración grave a lo previsto en el artículo 21.1 de la LSSI, se solicita la aplicación de las previsiones contenidas en los artículos 39 bis y 40 de la LSSI con la finalidad de proceder a la imposición de la multa aplicando la escala relativa a la clase de infracción que precede inmediatamente en gravedad a aquella en que se integra la considerada en este supuesto y, en su caso, a la graduación de la sanción en su menor cuantía, facultad cuyo uso se justifica en este caso en razón de los siguientes supuestos recogidos en el artículo 39 bis, a saber:
a)Concurrencia de varios de los criterios del artículo 40 de la LSSI: - Sobre la intencionalidad, ha quedado probada la falta de intencionalidad, ya sea a título de dolo o culpa de VACACIONES EDREAMS en la conducta objeto del presente expediente. Se ha actuado bajo el convencimiento de que los medios puestos a disposición de la denunciante y las medidas internas aplicadas para el control de las solicitudes de baja de la recepción de comunicaciones comerciales eran los adecuados. En relación con la atribución de la culpabilidad se entiende que lo relevante es la diligencia desplegada en la acción por el sujeto. Se han adoptado, incluso con anterioridad al inicio del presente procedimiento, y desde el mismo momento en el que tuvo conocimiento de la incidencia técnica, las medidas correctoras oportunas para adecuar su conducta a las exigencias del artículo 21.1 de la LSSI y subsanar la situación creada conforme se ha justificado. - No hay constancia de que el denunciante haya podido sufrir perjuicios derivados de la recepción de los correos electrónicos, sin que el envío en cuestión haya supuesto beneficio económico o reputacional alguno a la remitente, que al conocer las circunstancias ha debido llevar a cabo una inversión económica tendente a garantizar el cumplimiento de las medidas correctoras propuestas. -La buena fe ha inspirado la forma de actuar de VACACIONES EDREAMS, habiéndose probado que, en todo momento, ha pretendido respetar las garantías de la LSSI.
b)Adopción en forma diligente de las medidas internas y externas necesarias para regularizar el problema técnico y evitar situaciones similares a la ahora analizada.
c)No puede obviarse que la dificultad técnica sufrida en su plataforma tecnológica ha provocado el envío de correos que no estaban bajo su control, como es el caso de los envíos posteriores a la solicitud de baja enviados al denunciante. Por lo que, acreditada la concurrencia significativa de varios de los criterios del artículo 40 de la LSSI, en concreto los supuestos a),
d)y
e)anteriormente citados , la multa a imponer debería fijarse atendiendo a la concurrencia de los referidos criterios de moderación de las sanciones a fin de ajustarla a la verdadera entidad de la conducta infractora, al igual que se procedió en una serie de casos resueltos por la Agencia cuya referencia cita, graduando la cuantía de la sanción correspondiente a las infracciones leves en su menor cuantía, de acuerdo con el artículo 40 de la LSSI. VACACIONES EDREAMS, en apoyo de sus pretensiones, refiere varias Sentencias de la Audiencia Nacional y numerosas resoluciones de expedientes sancionadores tramitados por la AEPD en las que se han aplicado los criterios de minoración y graduación de las sanciones recogidos en los artículos 39 bis y 40 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/26 SEXTO: Con fecha 4 de agosto de 2015, se inició por la Instructora del procedimiento la apertura de un período de práctica de pruebas, en el que se acordó dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección en relación con VACACIONES EDREAMS, el Informe de actuaciones previas de Inspección que forman parte del expediente E/01542/2015, las alegaciones al acuerdo de inicio PS/00339/2015 presentadas por la reseñada sociedad. Asimismo, se acordó solicitar a dicha sociedad la aportación de la siguiente documentación y la contestación a las siguientes cuestiones: 1) Acreditación del plazo de tiempo que perduró la incidencia técnica que según sus alegaciones ocasionó los hechos acaecidos: 2) Acreditación de la forma y fecha exacta en que se detectó dicha incidencia; 3) Justificación de la efectiva adopción por parte de esa empresa de cada una de las medidas internas y externas de carácter corrector que se indica se han adoptado en su escrito de alegaciones a los efectos de subsanar la irregularidad detectada, solicitándose la remisión de copia del contrato suscrito con Sales Force como nuevo proveedor tecnológico. SÉPTIMO: Con fecha 13 de agosto de 2015 se registra de entrada en esta Agencia escrito de VACACIONES EDREAMS contestando lo siguiente: - Se trató de una incidencia intermitente y progresiva que originó un funcionamiento deficiente del link desde octubre de 2014 hasta febrero de 2015, que coincidió con las fases de implantación del aumento de registros de envíos de la Newsletter que la entidad, junto con el soporte técnico del proveedor externo, había ido implantando progresivamente a través de su plataforma. Se aporta copia de una presentación interna realizada para reportar los resultados del primer envío de Newsletter a clientes (no usuarios registrados) de fecha 2 de octubre de 2014, a partir del cual se procedió, progresivamente, a incorporar toda la base de datos de clientes. - La incidencia se detecta a partir de dos reclamaciones recibidas en febrero de 2015, una a través de denuncia presentada en la AEPD y otra mediante una petición recibida internamente por la entidad. Ambas reclamaciones se ponen en conocimiento del Departamento Jurídico que, a su vez informa a las personas responsables como prueba el correo informativo cuya copia se aporta. - Desde que se tuvo conocimiento de la incidencia se adoptaron, por fases las medidas correctoras comunicadas en el escrito de alegaciones, que se acreditan:
a)Se aporta copia del contrato suscrito con SalesForce, nuevo proveedor tecnológico contratado por el grupo empresarial al que pertenece VACACIONES EDREAMS;
b)En dicho contrato se reflejan las cantidades económicas invertidas en la citada contratación, sin perjuicio de las cantidades adicionales dedicadas al desarrollo tecnológico que aparecen en la documentación que se presenta;
c)La comunicación entre el Servicio de Atención al Cliente y el Departamento de CRM se concreta en el reporte semanal de las solicitudes de baja recibidas por parte del primero al segundo, con el objeto de que el citado Departamento compruebe manualmente que dichas bajas se han cursado y están reflejadas en la plataforma tecnológica que soporta la lista de distribución para el envío de las newsletter. Se adjunta documentación al respecto. Esta conexión interdepartamental permite detectar y reaccionar rápidamente ante una potencial incidencia para su subsanación en orden a su identificación, detección y corrección, así como controlar la correcta gestión de las bajas solicitadas a través de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/26 Atención al Cliente, en lugar de utilizar el link;
d)Se alude a los modelos de comunicaciones elaborados para enviar a los clientes que acudían a Atención al Cliente para darse de baja del servicio de Newsletter, aportándose copia del proceso de baja de la Newsletter actualmente en curso;
e)Se aporta copia de la presentación utilizada por el Departamento Jurídico para dar sesiones de formación al personal OCTAVO: Con fecha 4 de noviembre de 2015 se formuló propuesta de resolución en el sentido de que por la l Directora de la Agencia Española de Protección de Datos se sancionase a VACACIONES EDREAMS, SOCIEDAD LIMITADA UNIPERSONAL con multa de 20.000 € (Veinte mil euros) por la infracción del artículo 21.1 de la LSSI, tipificada como grave en el artículo 38.3.
c)de dicha norma, de conformidad con lo dispuesto en los artículos 39.1.
b)y c), 39 bis 1.
c)y 40 de la LSSI. NOVENO: Notificada dicha propuesta de resolución, con fecha 25 de noviembre de 2015 se registra de entrada en esta Agencia escrito de alegaciones de VACACIONES EDREAMS en el que, sin perjuicio de que, en todo momento, ha creído que tenía implementados los procedimientos correctos para cumplir las exigencias fijadas en el artículo 21 de la LSSI, pasa a reconocer su responsabilidad a título de culpa con motivo del envío de comunicaciones comerciales con posterioridad a la petición de baja del Denunciante. No obstante lo cual, recuerda el conjunto de medidas correctoras y de mejora puestas en marcha cuando tuvo conocimiento de los hechos, y actualmente ya implantadas y desarrolladas, a fin de garantizar tanto la operatividad inmediata y real de los procedimientos de baja de la newsletter puestos a disposición de los clientes, como para evitar la reproducción de los hechos acaecidos. Solicita que en aplicación de los criterios previstos en los artículos 39 bis y 40 de la LSSI se imponga una sanción inferior a la propuesta, tanto en este procedimiento como en los ocho expedientes restantes afectados por la misma incidencia, valorando para ello, junto a los criterios
d)y
e)que ya fueron puestos de manifiesto en anteriores alegaciones, las siguientes circunstancias atenuadoras de la culpabilidad: reconocimiento de la responsabilidad en los hechos en el sentido de falta de diligencia dadas las singulares circunstancias del supuesto, la diligencia mostrada al reaccionar implantando una serie de medidas correctoras internas y externas que solucionasen lo sucedido a la mayor brevedad posible, y cuya puesta en marcha ha supuesto la correspondiente inversión económica, el gasto económico que conlleva el número de expedientes a los que la compañía está haciendo frente y, especialmente, el impacto económico que las sanciones que se impongan pueden suponer en las cuentas de la entidad. VACACIONES EDREAMS justifica esta última circunstancia señalando que sumando el conjunto de sanciones propuestas la cifra final a abonar podría alcanzar los 200.000 € , cantidad que representa el 3,5% de su beneficio anual en España teniendo en cuenta el resultado del ejercicio que consta en sus Cuentas Anuales depositadas en el Registro Mercantil de Barcelona. DÉCIMO: Con fecha 27 de noviembre de 2015 se registra de entrada escrito del Denunciante comunicando que continúa recibiendo correos promocionales de VACACIONES EDREAMS, circunstancia que no documenta mediante ningún elemento de prueba. En lo que respecta a las afirmaciones vertidas por éste sobre la falta de respuesta de esta Agencia a los hechos denunciados, en el Antecedente de Hecho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/26 Cuarto de esta resolución aparecen detalladas las circunstancias asociadas a la notificación del acuerdo de inicio del presente procedimiento que fue dirigido al domicilio indicado por el denunciante en su escrito de denuncia y el modo en que se practicó la notificación de dicho acto. HECHOS PROBADOS PRIMERO: Con fecha 13 de marzo de 2015 se registra de entrada en esta Agencia denuncia de Don D.D.D., (el Denunciante), poniendo de manifestó que aunque ha recibido varias confirmaciones de VACACIONES EDREAMS de la tramitación de las solicitudes de baja de la newsletter que venía recibiendo de esa empresa efectuadas por distintos medios, que incluyen el link ofrecido en los mensajes y tres peticiones dirigidos a la empresa solicitando el cese de los envíos, continúa recibiendo cada semana correos electrónicos promocionales procedentes de esa entidad. (folios 1 al 5) SEGUNDO: El denunciante es cliente de VACACIONES EDREAMS, habiendo reconocido que con fecha 17 de octubre de 2014 compró un vuelo múltiple a través de esa agencia on-line. (folios 7, 12) TERCERO: En los sistemas de VACACIONES EDREAMS consta que el Denunciante dirigió con fechas 9 de noviembre y 26 de diciembre de 2014 y 16 y 26 de enero de 2015 desde su cuenta de correo electrónico C.C.C. a la dirección B.B.B. sendas solicitudes de baja de la newsletter remitida por esa empresa. En todas las solicitudes se hace mención a que continuaba recibiendo los envíos comerciales no obstante haberse dado de baja en varias ocasiones, llegando a citar hasta 5 veces en a petición del 26 de diciembre de 2014. (folios 8, 13 al 16) CUARTO: Con fechas 24 de noviembre y 27 de diciembre de 2014 el Denunciante recibió en su cuenta de correo electrónico C.C.C. desde la dirección de correo B.B.B. de VACACIONES EDREAMS sendos envíos en los que se le indicaba que “A partir de ahora no volverá a recibir mensajes, aunque es posible que durante esta semana reciba un último número del boletín, debido a que los envíos son programados con cierta anterioridad.” (folios 4 , 8, 17, 18 ) QUNTO: Con fecha 16 de enero de 2015 el Denunciante recibe en su dirección de correo electrónico nueva comunicación procedente de la cuenta de correo indicada con el siguiente texto: “Lamentamos las molestias ocasionadas, hemos cancelado la suscripción a los boletines de eDreams con su email C.C.C. “ (folio 19) SEXTO: Con fecha 26 de enero de 2015 el Denunciante recibe en su dirección de correo electrónico nueva comunicación procedente de la cuenta de correo B.B.B. con el siguiente texto: “Has cancelado con éxito tu suscripción a los boletines de eDreams con su email C.C.C. “ (folio 20) SÉPTIMO: El Denunciante ha aportado copia de la bandeja de entrada de su correo electrónico de fecha 5 de marzo de 2015 que muestra las fechas y los asuntos a los que se refieren los siguientes correos comerciales que le fueron remitidos por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/26 VACIONES EDREAMS : (folio 5) - Enero 2015: días 23 (viernes), 26 (lunes) ,30 (viernes). - Febrero 2015: días 2 (lunes) 6 (viernes), 9 (lunes), 12 (jueves), 16 (lunes), 19 (jueves), 26 (jueves) . OCTAVO: Los envíos de la newsletter se producían con periodicidad semanal, pudiendo suponer la remisión de uno o más boletines por semana. (folios 23 y 49) NOVENO: Con fecha 11 de mayo de 2015 VACACIONES EDREAMS registró la baja la dirección de correo electrónico del Denunciante en el fichero en el que se gestiona el envío de la newsletter de la compañía. (folios 7 y 11) FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
d)e
i)y 38.4 d),
g)y
h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II A los efectos de examinar si los hechos objeto de imputación vulneran lo dispuesto en el artículo 21.1 de la LSSI conviene realizar una breve exposición del marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medido de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/26 relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI, también en la redacción dada por la mencionada Ley General de Telecomunicaciones, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. De este modo la LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/26 electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. El concepto de comunicación comercial, de acuerdo con la definición recogida en el Anexo f), párrafo primero de la LSSI, engloba todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. Por otro lado, la LSSI en su Anexo
a)define “Servicio de la Sociedad de la Información” como “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/26 actividad económica para el prestador de servicios”. Añade el referido apartado que el envío de comunicaciones comerciales es un servicio de la sociedad de la información, siempre que represente una actividad económica. Según el apartado
d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV En el presente supuesto, de la valoración conjunta de los elementos de prueba obrantes en el procedimiento, se desprende que VACACIONES EDREAMS tras haber confirmado al Denunciante el día 24 de noviembre de 2014 la gestión de su petición de baja, operación que volvió a confirmar con fechas 27 de diciembre de 2014 y 16 y 26 de enero de 2015, continuó, sin embargo, remitiéndole el boletín comercial de la empresa a su cuenta de correo electrónico C.C.C. desde el correo A.A.A., que es el que opera para este servicio. Estos envíos continuaron produciéndose con periodicidad semanal hasta que, con fecha 11 de mayo de 2015, se hizo efectiva la baja asociada a la dirección de correo electrónico del Denunciante en el fichero que gestiona el envío de la newslwtter. Esta situación se produjo a pesar de que consta que el Denunciante reiteró su solicitud de baja los días 26 de diciembre de 2014 y 16 y 26 de enero de 2015 al Servicio de Atención al Cliente y comunicó que seguía recibiendo publicidad, tal y como se desprende de la documentación facilitada por la entidad imputada el día de la realización de la inspección de la AEPD en sus instalaciones. Del análisis de las fechas de los envíos de VACACIONES EDREAMS que figuran como recibidos entre el 23 de enero y el 26 de febrero de 2015 en la bandeja de entrada del correo electrónico del Denunciante se evidencia que dicha sociedad le remitía una media de dos comunicaciones comerciales por semana. En consecuencia, resulta que esa compañía remitió a la cuenta de correo electrónico del Denunciante un total de 40 comunicaciones comerciales con ofertas promocionales de servicios de esa empresa. Dicho número resulta de computar los 10 envíos de VACACIONES EDREAMS que aparecen como recibidos entre el 23 de enero y el 26 de febrero de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/26 2015 en la mencionada bandeja de entrada del correo electrónico del Denunciante y de sumarle los 29 envíos que resultarían de computar dos correos semanales en los períodos anterior y posterior a las comunicaciones remitidas en las fechas que aparecen en la reseñada bandeja de entrada, en concreto: - Período que va desde el 8 de diciembre de 2014, día de inicio de la primera semana computable transcurridos diez días hábiles desde la primera confirmación de la baja (24 de noviembre de 2014) en atención a los posibles envíos ya programados de difícil cancelación, y el 18 de enero de 2015, día previo a la semana del envío del 23 de enero de 2015. En este plazo de tiempo correspondiente a 6 semanas resultarían 12 envíos. - Período que va desde el 9 de marzo de 2015, primer día de la semana siguiente a la fecha de la captura de la bandeja de entrada de 5 de marzo de 2015, hasta el 10 de mayo de 2015, día previo a la semana que se inicia con el 11 de mayo de 2015 en que se dieron de baja las señas electrónicas del Denunciante en la plataforma que gestiona la newsletter. En este plazo de tiempo correspondiente a 9 semanas resultarían 18 envíos. Dicho cómputo se desprende hechos y elementos de juicio: de la concurrencia y análisis de los siguientes 1) Del contenido de la denuncia se desprende que con posterioridad a la compra de fecha 17 de octubre de 2014 el Denunciante comenzó a recibir comunicaciones comerciales en su condición de cliente de VACACIONES EDREAMS que no cesaron, a pesar de las reiteradas confirmaciones de las bajas solicitadas, hasta que se registró la baja de sus señas electrónicas el día 11 de mayo de 2015 en el fichero que gestiona el servicio de newsletter. Por lo que en base a la información derivada de las actuaciones practicadas, en especial de las fechas de las solicitudes de baja y contestación a las mismas, resulta que el Denunciante recibió ininterrumpidamente comunicaciones comerciales en su cuenta de correo electrónico hasta la mencionada fecha de baja, aunque como la impresión de la mencionada bandeja de entrada es de fecha 5 de marzo de 2015 únicamente refleja los envíos recibidos en el período temporal que muestra la captura, por lo que el primer y último de los envíos registrados como procedentes de “eDreams” son de fechas 23 de enero y 26 de febrero de 2015, respectivamente, sin perjuicio de todas las comunicaciones comerciales anteriores y posteriores también enviadas por esa empresa al Denunciante . 2) De la información registrada en los sistemas de VACACIONES EDREAMS en relación con el Denunciante se constata que sus señas electrónicas se marcaron como de baja a efectos de la newsletter con fecha 11 de mayo de 2015. 3) Con motivo de las manifestaciones obtenidas de los representantes de esa empresa durante la inspección efectuada el día 11 de mayo de 2015 en sus instalaciones se tiene conocimiento de que la entidad imputada remite las comunicaciones comerciales con periodicidad semanal, habiéndose indicado que cuando se trata de usuarios registrados los lunes se envían ofertas de productos y servicios de la empresa y, en su caso, los miércoles se remiten las promociones de otras empresas colaboradoras (folio 23). Asimismo, en la declaración cuarta del escrito de fecha 15 de mayo de 2015 adjuntado al Acta de Inspección E/01533/2015/I-01 esa empresa hace referencia al envío de los boletines semanales (folio 49). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/26 A lo que hay que añadir que las fechas de los correos electrónicos remitidos por la entidad imputada que figuran en la bandeja de entrada del correo electrónico del Denunciante muestran una media de dos envíos semanales del boletín (folio 5), que se vería corroborada por las manifestaciones del denunciante respecto de la frecuencia de los mensajes comerciales recibidos al señalar que “me manda correos promocionales de todo tipo cada 2 o 3 días” indicando también que “Edreams me sigue mandando los mismos correos cada semana y lo sigue haciendo a fecha de hoy”. (folio 2) V En relación con el número total de envíos que se consideran remitidos por VACACIONES EDREAMS con posterioridad a la confirmación de la baja, esa entidad planteaba en el escrito de alegaciones al acuerdo de inicio que resultaba de aplicación el principio de presunción de inocencia contemplado en el artículo 24.2 de la Constitución, ya que defendía que había dudas sobre “los posibles envíos” recibidos por la persona afectada con posterioridad a los hechos denunciados, motivo por el que las actuaciones del procedimiento deberían ceñirse exclusivamente a los correos identificados en la denuncia en el marco temporal que abarcan. El artículo 137 de Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC) establece que: “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” . De conformidad con este planteamiento el artículo 130.1 de la LRJPAC establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia.”. Contrariamente a lo defendido por VACACIONES EDREAMS , esta Agencia considera que los argumentos anteriormente expuestos justifican el número total de comunicaciones comerciales objeto de imputación, ya que relacionan, en forma motivada, los hechos inicialmente denunciados de los que se dispone documentación acreditativa de los mismos con el resultado de las actuaciones inspectoras llevadas a cabo por esta Agencia al acceder a los ficheros de la empresa y, por ende, se fundamentan en las propias declaraciones realizadas por los responsables de la entidad imputada al señalar la periodicidad establecida para los diferentes tipos de envíos del servicio de newsletter. De este modo, la valoración conjunta de dichos elementos fácticos constituye base probatoria suficiente para determinar las comunicaciones comerciales enviadas por VACACIONES EDREAMS al Denunciante en el período comprendido entre la confirmación de la baja solicitada y la fecha en que la misma se registró efectivamente en sus sistemas. Incluso en el supuesto de que tales hechos se considerasen como pruebas indiciarias no se vería modificaría la valoración efectuada. El Tribunal Constitucional, en su Sentencia 24/1997, ha establecido que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
a)La prueba indiciaria ha de partir de hechos plenamente probados.
b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/26 reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” Paralelamente, y también en relación con la virtualidad de la prueba indiciaria, conviene reseñar que la misma se admite en el procedimiento administrativo sancionador, tal y como se señala en la Sentencia del Tribunal Constitucional núm. 45/1997 (Sala Primera), de 11 de marzo (RTC 1997,45). Así los requisitos necesarios para su admisión vienen desarrollados, con cita de la doctrina del Tribunal Supremo, por la Sentencia del TSJ de Andalucía, núm. 255/2003 de 27 de enero, que dice: “Sobre ella precisar que la jurisprudencia constitucional y la de la Sala 2ª del TS han perfilado los requisitos necesarios para que la prueba indiciaria pueda ser apreciada como tal y que pueden resumirse en los siguientes extremos: 1º- Que el hecho base no se único, pues uno solo podría inducir a error – STC núm. 111/1990 de 18 de junio (RTC1990, 111); 2º- Que estos hechos estén directamente acreditados – SSTS de 18 y24 de enero de 1991 ( RJ 1991,282)- ; y 3º Que la inferencia no quebrante las reglas de la lógica, de otra disciplina o de la experiencia general – STC 107/1989 de 8 de junio y 510/1989 de 10 de marzo ( RTC 1985,510) …………” Con arreglo a lo expuesto, y razonada la vinculación de las pruebas de cargo concretas en las que se sustenta el supuesto jurídico de hecho que nos ocupa, se considera que ha quedado enervada la conculcación del principio de presunción de inocencia invocado por VACACIONES EDREAMS en el momento procedimental citado . También dentro del mismo asunto, en lo que respecta a los hechos que deberían ser objeto de imputación, cabe señalar que los expedientes sancionadores de la Agencia Española de Protección de Datos (AEPD) se inician siempre de oficio, de conformidad a lo previsto en el artículo 122.2 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, que dispone: “2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano. “. Por su parte, el artículo 11.1 del Real Decreto 1398/1993, de 4 de Agosto, por el que se aprueba el Reglamento de Procedimiento para el Ejercicio de la Potestad Sancionadora, que resulta de aplicación supletoria en lo no establecido en el capítulo III del título IX del RGLOPD en virtud de la Disposición Final Única del propio Real Decreto 1720//2007, de 21 de diciembre, dispone que: “1. Los procedimientos sancionadores se iniciarán siempre de oficio, por acuerdo del órgano competente, bien por propia iniciativa o como consecuencia de orden superior, petición razonada de otros órganos o denuncia”, entendiendo como denuncia “el acto por el que cualquier persona, en cumplimiento o no de una obligación legal, pone en conocimiento de un órgano administrativo la existencia de un determinado hecho que pudiera constituir infracción administrativa Así, es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que han de ser depuradas en un procedimiento sancionador en relación con unos hechos susceptibles de motivar la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/26 imputación de la infracción, y cuyo alcance, en consecuencia, no viene fijado por los términos de la denuncia o a la intencionalidad del denunciante al presentar el escrito de denuncia. A la vista de lo razonado, obran en el expediente suficientes elementos de prueba que permiten fijar los hechos que se consideran constitutivos de la infracción al artículo 21.1 de la LSSI imputada y motivar la responsabilidad de VACACIONES EDREAMS en la comisión de los mismos, habiendo quedado patente como resultado de las actuaciones practicadas en la instrucción del procedimiento que hasta que el Denunciante fue dado de baja en forma efectiva y real del servicio de envío de newsletters recibió, en total, 40 boletines electrónicos comerciales en su cuenta de correo electrónico, todos ellos sin mediar su consentimiento previo y expreso para ello. Por ello, la remisión de los 40 envíos comerciales reseñados incumplía la prohibición de remitir comunicaciones comerciales expresamente autorizadas o previamente solicitadas establecida en el artículo 21.1 de la LSSI, ya que se trataba de envíos publicitarios no consentidos por su destinatario, quien había manifestado con anterioridad a la recepción de los mismos su oposición a continuar recibiendo publicidad en su cuenta de correo electrónico, circunstancia, por otra parte, perfectamente conocida por dicha entidad conforme prueban las cuatro confirmaciones de baja remitidas con fechas 24 de noviembre y 27 de diciembre de 2014 y 16 y 26 de enero de 2015 por VACACIONES EDREAMS a las solicitudes de baja del Denunciante. No obstante cual, la entidad imputada no procedió a dar de baja definitiva la cuenta de correo electrónico del afectado en sus sistemas hasta cuatro meses después de la primera fecha de confirmación de la baja. En este mismo sentido, se pronuncia la Audiencia Nacional en su sentencia de fecha 18 de octubre de 2013, Rec. nº 162/2012, en un caso en el que, como nos ocupa, también se remitieron comunicaciones comerciales por medios electrónicos con posterioridad de haberse confirmado la baja del usuario por parte del remitente: “En el supuesto que nos ocupa, ha quedado acreditado que la entidad recurrente remitió más de 47 e-mails publicitarios a la denunciante desde octubre hasta diciembre de 2010, con posterioridad a la solicitud y confirmación de la cancelación de los datos de la denunciante, por lo que ha de considerarse infringido el citado precepto, al no contar con el consentimiento de la destinaria. Por otro lado, aunque en este supuesto hubiese existido una relación comercial previa con la destinataria, ésta no le habilita a remitir publicidad comercial cuando el cliente ha manifestado, como es el caso que nos ocupa, su expreso deseo de no recibirla, pues la excepción prevista en el apartado segundo del citado art. 21 de la Ley 34/2002, de 11 de julio, establece expresamente la posibilidad de ofrecer al destinatario “la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija”. Más en el presente supuesto en que se había procedido a la cancelación de los datos de la denunciante. Carece de relevancia, por tanto, el sistema que para los envíos publicitarios tuviera establecido la entidad recurrente, pues no se trata tanto de cuestionar el tratamiento indebido de datos sino de impedir el envío de publicidad no consentida, para lo cual la empresa dispuso de tiempo suficiente para articular los mecanismos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/26 correctores necesarios para evitar que se siguiera mandando publicidad comercial a la denunciante” En el presente caso, además, no resulta de aplicación la excepción al consentimiento que pudiera derivar de relación contractual previa existente entre ambas partes, prevista en el primer párrafo del apartado segundo del artículo 21 de la LSSI, en tanto que en las fechas en que se remitieron las comunicaciones comerciales analizadas consta acreditado que la entidad imputada ya conocía la voluntad de su cliente de que no se usasen sus señas electrónicas con esa finalidad. A la luz de las consideraciones anteriores, se estima que la remisión al denunciante por parte de VACACIONES EDREAMS de las mencionadas comunicaciones comerciales no autorizadas o solicitadas por ésta en las fechas y en la forma anteriormente indicadas, constituye una vulneración de la prohibición de remitir comunicaciones publicitarias por medios de comunicación electrónica o similares contemplada en el artículo 21.1 de la LSSI. VI La entidad imputada al contestar el acuerdo de inicio alegó falta de responsabilidad en su conducta, manteniendo que la entidad actuó en la confianza absoluta de que estaba procediendo con estricta observancia de la normativa aplicable, adoptando todas las medidas y procedimientos a su alcance para garantizar la prestación de sus servicios y salvaguardar los intereses de sus clientes, originándose los hechos debido a una incidencia técnica de difícil identificación. No cabe duda que la culpabilidad constituye nota esencial en materia sancionadora. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. En este sentido no puede obviarse que VACACIONES EDREAMS, como entidad habituada al envío de comunicaciones comerciales por medios de comunicación electrónica en el desarrollo de su actividad empresarial (agencia de viajes on-line) debe ser especialmente rigurosa en cumplir las normas recogidas en la LSSI. Conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/26 simple inobservancia”. Esta simple inobservancia exige que el principio de culpabilidad requiera la existencia de dolo o culpa, bastando la falta de diligencia o cuidado para que el tipo infractor sea aplicable. En este orden de ideas si bien, en el presente caso, no puede acreditarse una conducta dolosa por parte de la entidad imputada, sin embargo, si se aprecia la existencia de responsabilidad en la comisión de la infracción imputada a título de culpa, ya que la entidad imputada no mostró, con anterioridad a la realización de los envíos no consentidos objeto de estudio, las previsiones y rigor que le eran exigibles para asegurarse, como empresa habituada al envío de este tipo de comunicaciones comerciales por medios de comunicación electrónica, que dichos envíos cumplían con las exigencias derivadas del artículo 21.1 de la LSSI. Para lo cual resultaba preciso tener habilitados mecanismos que permitiesen el seguimiento y revisión del funcionamiento del sistema de baja incluido en la newsletter y, también, protocolos de control del correcto procesamiento en la plataforma tecnológica que soporta la lista de distribución de envíos de las bajas tramitadas por el Servicio de Atención al Cliente de la entidad. Por lo tanto, en la propuesta de resolución del procedimiento la Agencia arguyó que no bastaba con implementar procedimientos de baja a través de distintas vías, ya que lo fundamental es que éstos sean operativos y efectivos respecto de la finalidad para la que se crean, causa por la que esta Agencia considera que a la entidad imputada le era exigible otra conducta diferente de la que observó. De hecho el aumento de peticiones de baja sufrido por el Servicio de Atención al Cliente se relacionó, según consta en las alegaciones al acuerdo de inicio (folio 114), únicamente con la incorporación de los clientes de la compañía al servicio de newsletter en lugar de asociarlo con un posible mal funcionamiento del link. En congruencia con lo cual se consideró que VACACIONES EDREAMS no había acreditado que contase con medidas adecuadas que garantizasen la tramitación real y efectiva de las bajas, ni procedimientos o protocolos de actuación que permitieran detectar rápidamente anomalías en el sistema de bajas incluido en los envíos. Falta de diligencia en su actuación que ha dado lugar, una vez detectado el fallo, a la adopción de cambios en los procedimientos internos y externos de control de la compañía al objeto de solventar la situación, y que de haber estado vigentes en las fechas de los hechos hubiesen permitido detectar y solventar el fallo con mayor prontitud. Respecto de la falta de responsabilidad en su conducta inicialmente defendida al mantener que la infracción había sido consecuencia de la citada incidencia técnica de carácter temporal en el funcionamiento del link de baja automática de la newsletter, se observó lo señalado por la Audiencia Nacional en la Sentencia de fecha 19 de enero de 2015, Rec. 178,2013, en un supuesto en el que también se alegó esta circunstancia: “La concurrencia de un supuesto error informático como justificante de la remisión indebida de correos electrónicos no puede ser admitida por esta Sala y ellos pues son muchas las sentencias en las que se han insistido en que los errores informáticos no son suficientes para eliminar la antijuridicidad de las conductas sancionadas. Así en las sentencias dictadas en los recursos 110/2013 ó 368/2012. La existencia de un supuesto error informático, que también alega la parte recurrente en su escrito de demanda, no es suficiente para entender justificada la conducta de la recurrente y ello pues los referidos errores informáticos generan responsabilidad en quien los padece cuando producen daños a los titulares de otros bienes jurídicos, como ,en el caso presente, es el derecho a no recibir comunicaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/26 no deseadas (así se ha dicho por esta Sala en multitud de sentencias de entre las que cabe citar las correspondientes a los recursos 110/2013 ó 368/2012.)” A su vez, la falta de intencionalidad en su conducta se contestó indicando que en la Sentencia de la Audiencia Nacional de fecha 27 de mayo de 2010, Sala de lo Contencioso-Administrativo, sec. 1º rec. 421/2010, se señalaba que: “El argumento de la buena fe es claramente insuficiente sobre todo en un caso como el presente en que se trata de una gran empresa que maneja multitud de datos y que debió actuar con más prudencia para justificar la legalidad de los tratamientos efectuados. La inexistencia de dolo, tan escuetamente planteada en el escrito de contestación a la demanda, no puede ser suficiente para justificar la estimación de la demanda pues procede aplicar lo dicho por el artículo 130 de la Ley 30/92 según el cual: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia". Todo lo cual llevó a rechazar en la propuesta de resolución la concurrencia de circunstancias que permitiesen excluir la culpabilidad de VACACIONES EDREAMS en su conducta, posición que sigue manteniéndose por esta Agencia al apreciarse que esa entidad resulta responsable de la comisión de la infracción imputada a título de culpa. El conjunto de estos argumentos, ha llevado a VACACIONES EDREAMS a reconocer, según figura en su escrito de alegaciones a la propuesta de resolución, la falta de una respuesta proactiva tendente a esclarecer los motivos por los que se produjo el aumento de solicitudes de baja, la inexistencia de medidas de verificación previas acerca del funcionamiento del link de baja incluido en los envíos y la insuficiente comunicación y capacidad de reacción entre los departamentos involucrados en este tipo de envíos para canalizar y detectar el origen de las reclamaciones. Todo ello, sin perjuicio de continuar defendiendo la diligencia mostrada al reaccionar rápidamente y con un amplio abanico de medidas correctoras de amplio espectro para solucionar la situación tan pronto como conoció la incidencia técnica acaecida en su plataforma tecnológica. VII El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos) La definición de prestador del servicio se contiene en el apartado
c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/26 De acuerdo con lo establecido en los apartados 3.
c)y 4.
d)del artículo 38 de la LSSI actualmente en vigor, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío es insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción de carácter grave a los efectos de la LSSI. A partir del conjunto de hechos y circunstancias constatadas en el procedimiento sancionador y con arreglo a lo dispuesto en los citados preceptos, la conclusión que se despende es que la conculcación del artículo 21.1 de la LSSI que se imputa a VACACIONES EDREAMS se ajusta al tipo de infracción calificada como grave en el artículo 38.3.
c)de la vigente LSSI, ya que el envío de 40 correos electrónicos comerciales no autorizados al Denunciante en cinco meses debe ser calificado como de “envío insistente o sistemático”, puesto que en atención al volumen de comunicaciones comerciales y a la constancia y frecuencia con la que se remitieron no pueden considerarse como puntuales o esporádicos. VIII En virtud de lo dispuesto en apartados
b)y
c)del artículo 39.1 de la LSSI, las infracciones graves podrán ser sancionadas con multa desde 30.001 hasta 150.000 € y las infracciones leves con multa de hasta 30.000 €, estableciéndose los criterios para su graduación en los artículos 39 bis y 40 de la misma norma, y cuyo tenor literal es el siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/26
c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
a)La existencia de intencionalidad.
b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
d)La naturaleza y cuantía de los perjuicios causados.
e)Los beneficios obtenidos por la infracción.
f)Volumen de facturación a que afecte la infracción cometida.
g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” VACACIONES EDREAMS solicitó en sus primeras alegaciones sustituir la sanción por un apercibimiento. Esta petición se rechazó ya que la previsión contenida en artículo 39 bis 2 de la LSSI, que se declara expresamente como excepcional y cuya ponderación corresponde al órgano sancionador, no resultaba de aplicación al cumplirse uno de los presupuestos cuya concurrencia impide su acuerdo, toda vez que VACACIONES EDREAMS ha sido sancionada con anterioridad por esta Agencia como consecuencia de infracciones previstas en la LSSI en las siguientes resoluciones: - C/ Jorge Juan, 6 28001 – Madrid Con fecha 17 de marzo de 2015 se impuso a dicha entidad una www.agpd.es sedeagpd.gob.es 23/26 multa de 6.000 € por la comisión de una infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4.
d)de la LSSI en la Resolución R/00093/2015, acordada en el procedimiento sancionador PS/00573/2014. - Con fecha 15 de julio de 2015 se impuso a dicha entidad una multa de 2.500 € por la comisión de una infracción del artículo 21 .1 de la LSSI, tipificada como leve en el artículo 38.4.
d)de la LSSI en la Resolución R/0181/2015, acordada en el procedimiento sancionador PS/00188/2015. Asimismo, se considera que no se produce una cualificada disminución de la culpabilidad de la imputada o de la antijuridicidad del hecho por la concurrencia del supuesto recogido en el artículo 39 bis 1.
a)de la LSSI. Para ello se atiende tanto al número de comunicaciones comerciales objeto de imputación como al hecho de que su remisión obedeció a la falta de diligencia mostrada por la entidad remitente de los envíos publicitarios para contar con medidas de control y verificación del funcionamiento del link de baja ofrecido en los envíos, a lo que hay que sumar la deficiente comunicación existente en la fecha de los hechos entre el Servicio de Atención al Cliente y el Departamento de CRM para detectar incidencias de esta naturaleza, circunstancias por otra parte admitidas por esa entidad con posterioridad a la recepción de la propuesta de resolución del presente procedimiento. Por otro lado, no se considera “significativa” la concurrencia de varios de los criterios de graduación de las sanciones enunciados en el artículo 40 de la LOPD como elemento suficiente para entender que su presencia resulta de tal relevancia como para aplicar esta minoración que permite disminuir en un grado la sanción aplicable, máxime cuando esta regla debe aplicarse en forma excepcional y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas en función de las circunstancias del caso concreto. Aunque en la actualidad, VACACACIONES EDREAMS aduce reconocer su responsabilidad sobre los hechos imputados a título de culpa, continúa sin resultar de aplicación el supuesto recogido en el artículo 39 bis 1.
c)en tanto que la entidad contestó el acuerdo de inicio defendiendo la inexistencia de la infracción cuya autoría se le imputaba y la falta de culpa en su conducta, por lo que a la vista de esas alegaciones y el momento procedimental en que se manifiesta tal reconocimiento de culpabilidad no puede considerarse como efectuado espontáneamente, no siendo suficiente tampoco la mera invocación de la circunstancia transcrita en el precepto para su apreciación a los efectos pretendidos de minoración sustancial de la cuantía de la sanción a imponer. Que tal reconocimiento no es espontáneo, también lo prueba que la Agencia negó la existencia de la analogía pretendida entre este supuesto y las resoluciones traídas a colación en las alegaciones al acuerdo de inicio a los efectos de moderar la cuantía de la sanción conforme a lo dispuesto en el artículo 39 bis 1, habida cuenta que ninguno de los procedimientos sancionadores citados, (Resolución R/01811/2015 (PS/00188/2015), Resolución R/00122/2015 (PS/00524/2014), Resolución R/00452/2015 (PS/00454/2014), Resolución R/01816/2014 (PS/00192/2014, ) R/00452/2015 (PS00454/2014), Resolución R/01784/2012 (PS/00138/2012), Resolución R/008]820]5 (PS/00658/2014) ), fueron instruidos por la comisión de la infracción grave tipificada en el artículo 38.3.
c)de la LSSI, siendo las cuantías impuestas en las mismas resultado de la aplicación de los criterios de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/26 graduación recogidos en el artículo 40 de la LSSI dentro del rango de sanciones establecido para las infracciones tipificadas como leves en el artículo 38.4.
d)de la LSSI. En cuanto a la R/00539/2005 (PS/00128/2005) se reseñó que no se origina en un procedimiento instruido por infracción a la LSSI, sino que se refiere a un expediente tramitado por infracción a la LOPD en el que se aplicó el artículo 45.5 de esa Ley. También las Sentencias de la Audiencia Nacional de 29/11/2013 (Rec. 455/2011) y 10/06/20 14 (Rec. 166/2013) citadas con esas referencias por VACACIONES EDREAMS para invocar la procedencia del archivo de las actuaciones practicadas devienen, a la vista de las búsquedas realizadas, de expedientes instruidos por infracción a la LOPD, en concreto al artículo 6.1 de esa norma. Se puntualiza que el Rec. 455/2011 se estimó, según se argumenta en la SAN, por tratarse de un expediente de Apercibimiento en el que al resolver la AEPD debió haber archivado las actuaciones por haberse ya adoptado por el infractor las medidas correctoras, situación que no resulta equiparable al caso actual dada la diferente naturaleza de los procedimientos de Apercibimiento y el sancionador. En lo que respecta al Rec. 166/2013 la Audiencia Nacional desestimó dicho recurso contencioso –administrativo. Sin perjuicio de lo cual, se aprecia la concurrencia del supuesto descrito en el artículo 39 bis 1.
b)al haber regularizado la situación irregular de forma diligente. Consta acreditado en el procedimiento que desde el 11 de mayo de 2015 los datos del denunciante figuran asociados a la opción de baja en el fichero que gestiona el envío de la newsletter de la compañía, por lo que cuando, con fecha 2 de julio de 2015, se acordó el inicio del procedimiento sancionador que nos ocupa VACACIONES EDREAMS ya tenía solventada la situación irregular que afectaba a su cliente desde hacía mes y medio. Por otra parte, en lo que respecta a la incidencia técnica causante del fallo del sistema de baja automática del servicio de la newsletter, la mencionada entidad ha justificado que una, vez detectada su existencia y localizada la anomalía, actuó con gran diligencia y rapidez adoptando y desplegando un conjunto de medidas correctoras de amplio espectro a fin de garantizar la operatividad de los medios y procedimientos de baja ofrecidos a los clientes y usuarios registrados de la empresa que reciben comunicaciones comerciales, todo ello en aras a garantizar los derechos reconocidos a los destinatarios de los servicios de la sociedad de la información en la LSSI. Consecuentemente, la sanción a imponer deberá estar comprendida en el rango establecido en el artículo 39.1.
c)de la LSSI para las infracciones leves, habiéndose solicitado por la entidad imputada la reducción de la cuantía de la sanción propuesta con sustento en los criterios de proporcionalidad ya reseñados en anteriores ocasiones y, fundamentalmente, en atención al replanteamiento de su posición al admitir la existencia de responsabilidad en su conducta a título de culpa, ya que reconocía que no había tenido una respuesta proactiva para evitar la situación, las medidas internas y externas de diversa naturaleza y elevado coste adoptadas tan pronto como se conoció la existencia del fallo técnico que provocaba la falta de registro de las bajas solicitadas, conducta reactiva que califica como diligente, y, finalmente el fuerte impacto económico que supondría la cifra total a abonar que resultaría de mantenerse las multas propuestas. En aplicación de los criterios de graduación de las sanciones recogidos en el artículo 40 de la LSSI, en este supuesto, se considera que operan como agravantes los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/26 criterios
a),
b)y
c)del mismo en tanto que aunque no ha existido intencionalidad en la conducta de VACACIONES EDREAMS, sin embargo, ha mostrado una relevante falta de rigor al no tener desarrolladas, con anterioridad a la realización de los envíos objeto de estudio, medidas de control y seguimiento del funcionamiento del sistema de bajas suficientemente efectivas para garantizar su correcto funcionamiento, dando lugar a que durante cinco meses el Denunciante recibiese comunicaciones comerciales no autorizadas en su cuenta de correo electrónico, a pesar de haberse opuesto reiteradamente a su recepción. Todo lo cual, tiene especial relevancia al ser una empresa que, por razón de su profesionalidad, debe ser especialmente conocedora de las exigencias recogidas en el artículo 21 de la LSSI en aras a garantizar los derechos de los clientes y usuarios destinatarios de este tipo de envíos. Asimismo, se tiene en cuenta la reincidencia por comisión de infracciones de la misma naturaleza declaradas por resolución firme, cuyo detalle ya ha sido señalado al justificar una de las causas por las que no cabía acordar el apercibimiento solicitado. A su vez, se valora, operan como atenuantes los criterios d),
e)y
f)del citado artículo 40, relativos a la falta de constancia de que el denunciante haya sufrido perjuicios derivados de la recepción de los citados correos comerciales electrónicos o la entidad imputada haya obtenido beneficios o visto afectado positivamente su volumen de facturación por la comisión de la infracción imputada. Por todo lo cual, se entiende como ajustado a la gravedad de los hechos objeto de análisis imponer a VACACIONES EDREAMS una sanción de 15.000 € con arreglo a lo previsto en los artículos 39.bis 1.c), y 40 de la LSSI y 131 de la LRJ-PAC. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VACACIONES EDREAMS, SOCIEDAD LIMITADA UNIPERSONAL, por una infracción del artículo 21.1 de la LSSI, tipificada como grave en el artículo 38.3.
c)de la LSSI, una multa de 15.000 € (Quince mil euros), de conformidad con lo establecido en los artículos 39.1.
b)y c), 39 bis 1.
c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a VACACIONES EDREAMS, SOCIEDAD LIMITADA UNIPERSONAL y a Don D.D.D.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/26 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.