PS-00356-2016

1/11 Procedimiento Nº PS/00356/2016 RESOLUCIÓN: R/02961/2016 En el procedimiento sancionador PS/00356/2016, instruido por la Agencia Española de Protección de Datos a la entidad CENTROS COMERCIALES CARREFOUR, S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 11 de febrero de 2016 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por A.A.A., en adelante el denunciante, cuyos aspectos más relevantes se describen a continuación: 1. Recibe correos electrónicos en su cuenta ........@gmail.com con origen en la dirección elclubcarrefour@envios.carrefour.es. Algunos de los envíos que recibe incluyen un encabezado con el texto “HOLA ***NOMBRE.1” 2. No ha solicitado o autorizado previamente los envíos publicitarios. 3. Los correos electrónicos que recibe disponen de un enlace para solicitar la baja pero éste redirige a una página que solicita el número de tarjeta del Club Carrefour y la dirección de correo electrónico, no pudiendo ejercer dicho derecho porque desconoce el número de la tarjeta del Club Carrefour. 4. Ha contactado telefónicamente con la entidad para solicitar la baja de su dirección de correo electrónico y le responden que no es posible dar de baja la dirección de correo electrónico. La denuncia aporta copia de un correo electrónico de fecha 3 de febrero de 2016 y copia de las cabeceras y código fuente de dos correos electrónicos de fechas 9 de marzo de 2016 y 17 de marzo de 2016 respectivamente. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad CENTROS COMERCIALES CARREFOUR, S.A., teniendo conocimiento de los siguientes extremos: 1. El denunciante recibe en su cuenta de correo ........@gmail.com 3 correos electrónicos cuyas características se listan a continuación. Número Cuenta origen 1 elclubcarrefour@envios.carrefour.es Fecha 3/2/2016 2 elclubcarrefour@envios.carrefour.es 9/3/2016 3 elclubcarrefour@envios.carrefour.es 17/3/2016 Los correos electrónicos contienen información comercial referente a productos y servicios de CENTROS COMERCIALES CARREFOUR, S.A.. 2. Los correos electrónicos disponen de un enlace donde pueda ejercitarse el derecho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 a oponerse al tratamiento de sus datos con fines promocionales o revocar el consentimiento que prestado previamente para el envío de los mensajes. 3. El día 6 de julio de 2016 se realizó una visita de inspección en la sede de la entidad CENTROS COMERCIALES CARREFOUR, S.A., en adelante CARREFOUR, poniendose de manifiesto los siguientes hechos, recogidos así en el Acta de Inspección: 3.1. Los correos electrónicos recibidos por el denunciante se corresponden con campañas publicitarias realizadas por CARREFOUR y dirigidas a clientes miembros del Club Carrefour. 3.2. Para formar parte del Club Carrefour, se requiere que el interesado lo solicite cumplimentando un impreso en el que se recaban sus datos personales. 3.3. Para la realización de las campañas, CARREFOUR realiza una segmentación de manera que va dirigida a clientes que pudieran estar interesados en los productos que se promocionan. 3.4. Salvo excepciones, las comunicaciones comerciales a través de correo electrónico no incluyen el nombre del cliente. 3.5. Las comunicaciones comerciales enviadas por CARREFOR a través de correo electrónico incluyen información del procedimiento de baja mediante un enlace. Dicho enlace redirige a una página de internet que contiene un formulario en el que se solicita el número de socio (Número de tarjeta del Club Carrefour o fidelización) y la dirección de correo electrónico para la que se pide la baja de publicidad. 3.6. El representante de CARREFOUR desconoce el motivo por el que en algunos de los correos electrónicos recibidos por el denunciante están personalizados con el texto “Hola ***NOMBRE.1” y manifiesta que posiblemente sea debido a un error de la confección de los contenidos de los mensajes. 3.7. Los inspectores comprobaron que en el fichero de clientes del Club Carrefour consta información relativa al cliente A.A.A. con dirección de correo electrónico ........@gmail.com. Consta que es cliente desde el 15 de diciembre de 2006. Consta que el cliente desea recibir información de ofertas comerciales y mensajes a e-mail. 3.8. El representante de CARREFOUR facilitó, a requerimiento de los inspectores, copia del impreso de solicitud de adhesión al Club Carrefour correspondiente a A.A.A., el cual no tiene marcada la opción de baja de publicidad. 3.9. EL representante de CARREFOUR hizo entrega, a requerimiento de los inspectores, de una impresión de pantalla del fichero de contactos en la que consta una comunicación correspondiente a un correo electrónico recibido el 4 de febrero de 2016 del denunciante, en el que solicita que se borre la dirección de correo electrónico “........@gmail.com”. También aportan copia del escrito que manifiestan fue remitido al cliente informándole del procedimiento para ejercer su derecho de cancelación, no constándoles que el cliente haya ejercido dicho derecho. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 TERCERO: En fecha de 29/07/2016 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CENTROS COMERCIALES CARREFOUR, S.A., con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal aprobado por el Real Decreto 1720/2007, de 21 de diciembre, por la presunta infracción del artículo 21.2, de la LSSI, tipificada como leve en el artículo 38.4

1. d)de la citada Ley. CUARTO: Notificado el citado Acuerdo de inicio, CENTROS COMERCIALES CARREFOUR, S.A. presentó alegaciones en las que señaló que Falta de tipicidad. El denunciante si autorizo los envíos al inscribirse en CC CARREFOUR en tanto no marco la casilla ofrecida al efecto de oponerse. Tal como se acredita aportando la ficha de alta en los sistemas de CARREFOUR. De igual modo en el registro telemático del denunciante aparece la suscripción de distintas tarjetas estando en vigor las suscritas en fechas 15/12/16; 19/03/08. Asimismo se ha ofrecido al denunciante un medio de oponerse al tratamiento de sus datos con fines promocionales. En los emails enviados por el denunciante consta un enlace que posibilita el acceso a una solicitud de baja del registro. El enlace redirige a una página web con un formulario que solicita el número de socio (número de tarjeta del club Carrefour o fidelización) y la dirección de correo para la que se pide la baja de publicidad. No pudo hacer uso del enlace puesto que no conoce la tarjeta del club Carrefour procediendo a realizar llamadas y enviar correos electrónicos que fueron los siguientes con las siguientes características: Solicitó que se elimine la dirección ........@gmail.com y NO ........@gmail.com siendo esta última la que figura a nombre del cliente en los ficheros CC CARREFOUR y que es la destinataria de los correos. No aportó copia del DNI, imprescindible para ejercer derechos de cancelación. No puede dejarse a CC CARREFOUR la responsabilidad de advertir el posible error que pudo suceder (el denunciante incluyo ........@gmail.com en lugar de ........@gmail.com) al solicitar el denunciante la baja para un correo que no está inscrito. Subsidiariamente, ausencia de culpabilidad. Subsidiariamente, imposición de la sanción en su grado mínimo. Dada la inexistencia de intencionalidad y los beneficios por la infracción. QUINTO: En fecha 30/09/2016 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, en el que se acordó (Folios 91 a 99) I.- Dar por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante CENTROS COMERCIALES CARREFOUR, S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01455/2016 y las alegaciones al acuerdo de inicio PS/00356/2016 presentadas por CENTROS COMERCIALES CARREFOUR, S.A., y la documentación que a ellas acompaña. II.- En fecha de 19/10/2016 se incorporó como prueba documental, la impresión de pantalla del perfil de usuario del denunciante, verificándose que no constan marcados los campos relativos al cese de envíos comerciales por cualquier medio electrónico. III.- En fecha de 19/10/2016 se incorporó como prueba documental, impresión de pantalla relativa al procedimiento de baja que se aportó en el Procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 PS/00361/2016 obrante en los folios 7 y 10, consistente en el campo habilitado por CARREFOUR para introducir el Nº de Tarjeta Club y la dirección de correo electrónico y el mensaje que tras rellenar esos campos y hacer clic en SOLICITAR LA BAJA, la citada entidad remite desde cuentaseloacarrefour@carrefour.com a la cuenta de correo indicada por el usuario donde se informa de la gestión de los derechos ARCO, con los requisitos y la dirección de envío postal. SÉPTIMO: En fecha de 25/10/2016 por el Instructor del procedimiento se emitió Propuesta de Resolución solicitando que la Directora de la Agencia Española de Protección de Datos se sancione a CENTROS COMERCIALES CARREFOUR S.A. con multa de 10.000 € (diez mil euros) por la infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4
2. d)de dicha norma. OCTAVO: En fecha de 15/11/2016, CENTROS COMERCIALES CARREFOUR S.A. presentó escrito de alegaciones en las que reitera lo ya afirmado en las anteriormente presentadas respecto de la ausencia de tipicidad. Afirma que el denunciante si autorizó el envío de comunicaciones comerciales al no marcar la opción de “No deseo el envío de comunicaciones comerciales por cualquier medio electrónico” por lo que autorizó tácitamente dicha recepción. A diferencia de lo que consta en la Propuesta de resolución, no es posible vincular ambas direcciones de correo electrónico a una misma persona llamada “***NOMBRE.2” puesto que las bases de datos se hallan informatizadas y la mera diferencia de un punto entre amabas las considera distintas. Subsidiariamente, ausencia de culpabilidad e imposibilidad de poner sanción. No concurre intencionalidad alguna ni a título de dolo ni a título de culpa. Subsidiariamente, imposición de la sanción en su cuantía mínima. De acuerdo con los criterios previstos en el art. 40 LSSI aparados a),
3. d)y e). NOVENO: De las actuaciones practicadas en el presente procedimiento han quedado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 03/02/2016 se recibe en la dirección de correo ........@gmail.com una comunicación comercial, con asunto HOLA ***NOMBRE.1, ¡Hasta 40% Dto en la Feria del Bricolaje! desde el clubcarrefour@envios.carrefour.es que incluye un enlace para oponerse a la recepción de comunicaciones. DOS.- En fecha 03/02/2016 a través del propio correo recibido, solicito la baja, utilizando un enlace existente en el mismo con el texto “si quieres darte de baja pulsa aquí”. El enlace redirige la navegación a una página web que aloja un formulario donde se solicita la siguiente información: el número de tarjeta del Club Carrefour y la dirección de correo electrónico del solicitante. (Folio 5) TRES.- El denunciante manifiesta que no tiene datos que se le solicitan (el número de socio de ***NOMBRE.1). (Folio 1). Según consta en el Acta de Inspección E/01455/2016/I-01 (Punto 4, obrante en el folio 24) los representantes de la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 denunciada manifestaron que remitieron al denunciante una comunicación cuya copia obra en el folio 41, donde se explica los requisitos para ejercer los derechos ARCO, que incluyen la aportación de DNI y el envío por medio postal de dicha documentación. CUATRO.- Según consta en el folio 42 relativo a los contactos con el cliente, consta un mensaje remitido desde la cuenta ........@gmail.com de fecha 04/02/2016 con destino cuentaseloacarrefour@carrefour.com con el asunto Formulario Att. Cliente> Otros, donde constan los datos persoanles del denunciante, inlcuyendo un campo para el Email donde aparece: ........@gmail.com donde en el campo Detalle pregunta, consta lo siguiente: Borrad la cuenta de correo ........@gmail.com de vuestras bases de datos. CINCO.- El procedimiento instaurado por CARREFOUR para solicitar el cese de comunicaciones comerciales consta de los siguientes pasos: Tras la cumplimentación se recibe en la cuenta de correo proporcionada una comunicación desde la dirección cuéntaseloacarrefour@carrefour.com con el título “Respuesta”, en el que aparecen los datos que ha facilitado al solicitar la baja y se le solicita que remita un escrito por correo postal y que adjunte una copia de su D.N.I. para ejercer sus derechos ARCO. SEIS.- En fechas de 09/03/2016 y 17/03/2016 se reciben comunicaciones comerciales de “El Club Carrefour elclubcarrefour@envíos.carrefour.es (folios 12 y 18) FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
4. d)e
5. i)y 38.4 d),
6. g)y
7. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II En el presente procedimiento se imputa a CENTROS COMERCIALES CARREFOUR, S.A la comisión de la infracción del artículo 21 de la LSSI, según el cual 1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. III CC CARREFOUR centra sus alegaciones en el hipotético error del denunciante a la hora de solicitar el cese de envíos de comunicaciones comerciales ya que en lugar de solicitar la baja para la dirección de correo ........@gmail.com indico la dirección de correo ........@gmail.com. Sin embargo debe señalarse, en primer lugar, que en diversa documentación que obra en el expediente se deduce sin asomo de dudas que CC CARREFOUR vinculaba la dirección del denunciante, de modo indistinto, a ambas formas de la dirección de correo electrónico, con el punto y sin el punto, sirva a modo de ejemplo los siguientes: Folio 3 y 25, referido al mensaje de fecha 3/02/2016 donde consta ........@gmail.com ; folio 12 relativo a las cabeceras del mensaje de fecha 09/03/2016; folio 18 relativo a las cabeceras del mensaje de fecha 17/03/2016; Folio 42 donde consta un mensaje de 4/02/2016 remitido desde ........@gmail.com a cuentaseloacarrefour@carrefour.com donde la lógica más elemental permite vincular ambas formas de escribir la dirección de correo al denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 La representación de CC CARREFOUR alega a la propuesta de resolución que la diferencia de un punto entre una forma de la dirección de correo a la otra no permite a su sistema informático determinar dicha distinción y esa es la razón por la que no se realiza la baja correctamente. Frente a ello hay que señalar que la instauración de un sistema informático de un modo u otro no puede mermar el derecho a oponerse a la recepción de comunicaciones comerciales, y tal como se ha señalado en párrafos anteriores y en la Propuesta de Resolución, CC CARREFOUR vinculaba la dirección del denunciante, de modo indistinto, a ambas formas de la dirección de correo electrónico, con el punto y sin el punto, por lo que era tributario de elementos que permitían conocer la voluntad del denunciante. Tampoco explica CC CARREFOUR – ni en las alegaciones al acuerdo de inicio, ni en las formuladas a la propuesta de resolución- la razón por la que consta en el Asunto del mensaje de 3/02/2016 HOLA ***NOMBRE.1, ya que dicha circunstancia confunde al denunciante al no saber si el número de socio que se le solicita es de dicha persona. En segundo lugar, debe indicarse, que lo relevante en el caso analizado no es las dos posibles formas de escribir el correo del denunciante, sino el procedimiento instaurado por CC CARREFOUR para el ejercicio de los derechos de los destinatarios de los Servicios de la Sociedad de la Información que protege la LSSI. – circunstancia también respecto de la que guarda silencio la entidad denunciada en sus alegaciones formuladas a la propuesta de resolución -. Ha resultado probado que el medio de baja ofrecido por la entidad denunciada, redirigía a una formulario donde se solicitaba el número de Tarjeta Club, y una dirección de correo electrónico (Folio 5 aportado por el denunciante), que al introducir dicha información se recibía en la dirección de correo proporcionada un mensaje con el título “Respuesta” (Folio 100 obtenido de las Actuaciones Previas de Inspección E/02487/2016) solicitando que se remita un escrito postal con copia del DNI ( Folio 41 obtenido durante la Inspección de fecha 06/07/2016) y que, según manifiestan los representantes de CC CARREFOUR, “fue remitido al cliente informándole del procedimiento para ejercer su derecho de cancelación”. Esas circunstancias contravienen el sentido del art. 21 de la LSSI, cuando establece la obligación de incluir un procedimiento sencillo para oponerse al tratamiento de sus datos con fines promocionales, y el ofrecimiento de una dirección electrónica válida. Es decir, si ya en un primer estadio de los actos que tiene que realizar el destinatario de los Servicios de la Sociedad de la Información, supone introducir, en primer lugar, el número de socio de la Tarjeta Club, para luego en segundo lugar solicitar copia del DNI y finalmente remitir un escrito postal, todo ello supone una carga excesiva que contraviene el espíritu de la norma y la interpretación que en reiteradas resoluciones ha mostrado esta Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 Dicha afirmación se sustenta, precisamente, de la interpretación lógica y sistemática del precepto y los posteriores: el procedimiento sencillo al que alude la norma no puede estar configurado de modo que no sea sencillo y que se le exija al usuario una carga extra, tanto formalmente, como la copia del DNI como materialmente, enviar un escrito a una dirección postal. En la misma línea, el siguiente art. 22.1 LSSI, cita para revocar el consentimiento o autorización previa, la simple comunicación. Precisamente la modificación del art. 21 de la LSSI, al introducir el término “dirección electrónica válida”, busca huir de los procedimientos tradicionales como son el escrito y la dirección postal, para conseguir la rapidez y dinámica consustancial a los Servicios de la Sociedad de la Información y compensar, en términos de igualdad, los procesos y ventajas que dicha sociedad de la información ofrece a los Prestadores de Servicios, con los medios de reacción que tienen los destinatarios de dichos Servicios de la sociedad de la Información. En conclusión, reconduciendo el medio de oposición a un escrito, junto con copia de DNI y su remisión a una dirección postal, se contraviene frontalmente el sentido de la norma y debe considerarse vulnerada la obligación de introducir un medio de oposición. Asimismo debe señalarse que CENTROS COMERCIALES CARREFOUR, S.A, parece confundir los derechos ARCO previstos en la LOPD y en su Reglamento de Desarrollo, con el medio de oposición previsto en la LSSI, cuyos requisitos temporales y formales son completamente distintos. Es decir, no puede exigirse la copia del DNI para el ejercicio de los derechos de oposición (art. 21.2 LSSI) y revocación (art 22.1 LSSI) que recoge la citada norma, por resultar excesivo y contravenir el espíritu de la norma, tal como se ha expuesto anteriormente. Asimismo las comunicaciones comerciales remitidas en fechas posteriores al 3/02/2016, constituyen el incumplimiento del art. 21.1 de la LSSI. Finalmente, debe tenerse en cuenta que a pesar del pleno conocimiento por parte de CARREFOUR de la voluntad del cese de comunicaciones comerciales por medios electrónicos del denunciante, derivado de la incoación del presente expediente sancionador, y de la circunstancia de que se realizó Inspección presencial en la actuaciones previas de inspección, en fecha de 19/10/2016 se accedió al perfil de usuario del denunciante comprobándose que no consta marcada la exclusión para este tipo de comunicaciones, lo que opera como circunstancia que dota a la conducta de la entidad denunciada de un mayor reproche sancionador. IV El artículo 38.4
8. d)considera infracción leve, El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave. En el presente caso se cumplen las circunstancias que tipifica el precepto, debiendo considerar que CC CARREFOUR ha cometido una infracción leve del art. 21 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 V Según establece el art. 39 LSSI, las infracciones leves podrán ser sancionadas con multa hasta 30.000 €, fijando los criterios para su graduación en el artículo 40 de la misma norma, que dispone lo siguiente: “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
9. a)La existencia de intencionalidad.
10. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
11. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
12. d)La naturaleza y cuantía de los perjuicios causados.
13. e)Los beneficios obtenidos por la infracción.
14. f)Volumen de facturación a que afecte la infracción cometida.
15. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. En relación con los criterios de graduación de las sanciones recogidas en el artículo 40 y en especial la existencia de intencionalidad, tanto en el diseño del medio de oposición que vulnera el art. 21.2 de la LSSI, y que se encuentra estandarizado, como en el posterior envío de comunicaciones comerciales. También en relación con la existencia de intencionalidad y la diligencia debida como parte integrante del elemento subjetivo en la comisión de la infracción y parámetro del dolo o culpa que se ha de valorar, debe señalarse que el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables” sin que pueda obviarse que CC CARREFOUR es una entidad que opera, además de por los medios tradicionales, utilizando servicios de la Sociedad de la Información, y ofrece sus productos, desde hace años en internet con multitud de clientes, siendo tributario de un conocimiento y cumplimiento de las normas que regulan esa actividad, y en lo que aquí interesa de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, y por tanto siendo mayor el desvalor de la acción típica, que otra entidad ajena a los Servicios de la Sociedad de la Información, lo que le hace merecedor de un mayor reproche sancionador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 En segundo lugar, debe tenerse en cuenta el criterio de la reincidencia en la comisión de infracciones de la misma naturaleza que hayan resultado firmes, en este sentido CC CARREFOUR fue sancionada mediante la Resolución R/00435/2016 de 07/03/2016 por hechos similares a los analizados en el presente expediente, circunstancia que opera como un agravante. Por lo expuesto se impone una sanción en la cuantía de 7.000 €. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CENTROS COMERCIALES CARREFOUR, S.A., por una infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4
16. d)de la LSSI, una multa de 7.000 € ( siete mil euros) de conformidad con lo establecido en el artículo 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a CENTROS COMERCIALES CARREFOUR, S.A., y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es