← España

PS-00360-2016

1/16 Procedimiento Nº PS/00360/2016 RESOLUCIÓN: R/00278/2017 En el procedimiento sancionador PS/00360/2016, instruido por la Agencia Española de Protección de Datos a la entidad IMPACTING EMAIL MARKETING SOLUTIONS S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 14 de septiembre de 2015 tiene entrada en esta Agencia, a través del buzón de correo electrónico del Área Internacional de esta Agencia una denuncia interpuesta por A.A.A., en adelante el denunciante, en el que denuncia la recepción de correos electrónicos del dominio se.reactivemail.es a pesar de no haberlos solicitado o autorizado. Entre esa fecha y el 26 de octubre de 2015 el denunciante remite nuevos correos electrónicos en los que pone de manifiesto lo siguiente: 1. A pesar de no haberlos solicitado o autorizado recibe en sus cuentas de correo .....@lamberti.eu y ....@lightenergy.nl más de 10 correos electrónicos con origen en el dominio se.reactivemail.es. 2. Ha sido informado por el INCIBE (Instituto Nacional de Ciberseguridad) que el titular del dominio es IMPACTING EMAIL MARKETING SOLUTIONS S.L., en adelante IMPACTING. 3. Ha escrito a la dirección ....@se.reactivemail.es solicitando el borrado de sus datos de todas sus listas de distribución e información sobre el origen de sus direcciones de correo. Como respuesta a la solicitud de subsanación remitida por esta Agencia, entre el 18 de septiembre y el 26 de octubre de 2015 el denunciante aporta copia de más de 30 correos electrónicos y de sus cabeceras completas. El denunciante manifiesta además que: 4. No conoce a R7M o Greendatapoint, entidades que en los correos electrónicos se identifican como origen del dato de su dirección de correo electrónico. 5. No ha hecho uso de los enlaces de baja incluidos en los correos debido a que desconfía de la entidad remitente y sospecha que se trata de una campaña de phising. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad IMPACTING EMAIL MARKETING SOLUTIONS S.L., teniendo conocimiento de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 siguientes extremos: 1. El denunciante recibió en sus cuentas de correo electrónico .....@lamberti.eu y ....@lightenergy.nl los correos electrónicos cuyas características se listan en el ANEXO 1 que consta incorporado al expediente. Los correos electrónicos contienen información comercial en lengua neerlandesa referente a servicios y productos de distintas entidades. Todos los correos electrónicos disponen de un enlace para solicitar la baja de la lista de destinatarios. Los correos electrónicos informan en cada caso de que la dirección de correo destinataria se encuentra incluida en un fichero de las entidades descritas como “R7M” o “Greendatapoint” y, además de un nuevo enlace de baja como el descrito en el párrafo precedente informan de que puede solicitarse la baja respondiendo al correo con el asunto “Baja”. Los enlaces, al ser seguidos por el subinspector actuante, parecen ser funcionales. 2. El correo de baja remitido por el denunciante al buzón ....@se.reactivemail.es tiene como asunto el texto “Spam/Phishing mails” 3. El dominio reactivemail.es está registrado a nombre de IMPACTING. 4. Al acceder al sitio web www.greendatapoint.com se informa de que se trata de la entidad responsable del sitio es un proveedor de datos para centros de atención telefónica, acciones publicitarias y otro tipo de negocios. El sitio web no identifica al responsable del mismo ni del servicio y no proporciona otro medio de contacto con el mismo que un formulario web. El dominio greendatapoint.com está registrado a través de un servicio de privacidad que oculta al auténtico titular del dominio. La dirección IP que aloja el sitio web en cuestión es una de las que Google Inc. utiliza para proporcionar a sus clientes servicios de computación en la nube. 5. No se ha podido localizar ninguna entidad que pueda ser identificada con el texto o las siglas “R7M”. 6. El 29 de octubre de 2015 se realiza una inspección presencial en la sede de IMPACTING sin que ésta se hubiese notificado previamente a la entidad. Durante la inspección se pone de manifiesto que: 6.1. Las dos direcciones en las que el denunciante recibe correos electrónicos aparecen como bloqueadas en el sistema que gestiona los datos utilizados por IMPACTING en las campañas de marketing. 6.2. Vinculados a la dirección ....@lightenergy.nl únicamente aparecen el nombre y apellido del denunciante y el origen de los datos “GreenDataPoint”. Vinculados a la dirección .....@lamberti.eu únicamente aparece el origen de los datos como “R7M”. 6.3. Consultado el sistema que gestiona las incidencias notificadas a IMPACTING C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 aparece una informada el 21 de octubre de 2015 por la entidad holandesa 360 United Media en la que trasladaba una queja del denunciante con respecto a ambas direcciones de correo electrónico. La incidencia aparece como resuelta el 26 de octubre de 2015. En el registro de resolución constan los datos remitidos originalmente por el proveedor de los datos en el que figura que el origen de la dirección ....@lightenergy.nl es el registro el 5 de septiembre de 2014 para la instalación de una app de telefonía móvil denominada “Simpler contacts”. La fecha de baja de las dos direcciones es 21 de octubre de 2015. 6.4. Los empleados de la entidad manifiestan que:  reactivemail.es es uno de los dominios que utilizan para remitir correos electrónicos publicitarios, en aquellos casos en los que sus clientes piden que se utilice un dominio distinto del propio. Los envíos que se realizan usando este dominio se hacen a través de la plataforma de envíos Cheetahmail de Experian.  Desconocen la identidad de los responsables de datos que se identifican como GreenDataPoint y R7M.  El origen de los datos, tanto en el caso de GreenDataPoint, como en el de R7M, es VIP LIST MANAGEMENT, un tercero con el que IEMS tiene firmado un contrato de prestación de servicios y que actúa como intermediario en el extranjero entre los responsables de las bases de datos que quieren explotarlas publicitariamente y quienes como IEMS tienen la posibilidad de hacerlo. 6.5. Consultados los ficheros proporcionados por VIP LIST MANAGEMENT que corresponden a los datos proporcionados por R7M y GreenDataPoint, en el de R7M se localizan dos registros conteniendo las dos direcciones de correo electrónico del denunciante mientras que en el fichero proporcionado por GreenDataPoint únicamente aparece ....@lightenergy.nl. Es en el fichero de Greendatapoint donde aparecen los datos del registro para el uso de la app móvil, incluida la dirección IP desde la que se realizó, que corresponde a un proveedor de acceso y servicios de Internet de los Países Bajos. 6.6. IMPACTING proporciona a requerimiento de esta Agencia una lista de los mensajes publicitarios remitidos a las cuentas de correo del anunciante. Entre el 22 de julio y el 21 de octubre de 2015 se remitieron un total de 26 correos a la dirección .....@lamberti.eu y un total de 52 correos a la dirección ....@lightenergy.nl. 7. IMPACTING aporta durante la inspección copia de un contrato firmado el 19 de mayo de 2014 con VIP LIST MANAGEMENT, sociedad con sede en los Países Bajos, cuyo objeto es el uso con fines de marketing directo de los datos de que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 dispone el segundo. En el contrato VIP LIST MANAGEMENT manifiesta que los datos de los usuarios de sus bases de datos junto con el consentimiento expreso para su uso con finalidades publicitarias han sido obtenidos a través de formularios (físicos o web) habiendo sido informados por los responsables de los ficheros de su identidad. 8. Consultada a fecha del presente informe la política de privacidad de la app móvil “Simpler contacts” disponible en su página web, se observa que la prestadora del servicio es YT DEV Ltd , una compañía con sede en Israel, y que entre los usos que se podrán dar a los datos del usuarios está el envío de comunicaciones comerciales por medios electrónicos remitidas por la prestadora del servicio o por terceros en su nombre. TERCERO: Con fecha 25 de agosto de 2016, acordó iniciar procedimiento sancionador a IMPACTING EMAIL MARKETING SOLUTIONS S.L., con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal aprobado por el Real Decreto 1720/2007, de 21 de diciembre, por la presunta infracción del artículo 21.1, de la LSSI, tipificada como grave en el artículo 38.3

  1. c)de la citada Ley. CUARTO: Notificado el citado Acuerdo de inicio, IMPACTING EMAIL MARKETING SOLUTIONS S.L. presentó alegaciones en las que señaló que: -Las direcciones de correo a las que la entidad remitió las comunicaciones comerciales se reciben en virtud de contrato. Firmado con VIP LIST MANAGEMENT, quien garantiza recabar el consentimiento expreso de los destinatarios para el tratamiento de sus datos con fines comerciales. Previa contrastación técnica, profesional y económica de la entidad a la firma del contrato. VIP autoriza a IEMS a explotar los datos personales incluidos en la bbdd de aquella con el fin de organizar campañas publicitarias a terceras empresas. Por tanto IEMS actuara como intermediario entre VIP y los beneficiarios de la campaña. -En cuanto al consentimiento previo y expreso, VIP garantizo cumplir con la normativa vigente tal como se deduce del contrato. -El origen de los datos del denunciantes: respecto de ....@lightenergy.nl es Greendatapoint recogidos por la descarga de una aplicación por parte de este, en concreto Simpler Contacts, pudiendo aportar la dirección IP desde la que se realizó el registro y la fecha. Respecto de .....@lamberti.eu el origen es R7M. -el denunciante no utilizó ninguno de los enlaces facilitados en los correos ni envio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 ningún correo electrónico solicitando su baja. De hacerlo no hubiera recibido mas comunicaciones comerciales. - la aplicación del art. 39 bis .1 del a LSSI: Apartado
  2. a)En cuanto a la degradación prevista en gravedad, concurren varias circunstancias significativas del art. 40 LSSI, como la existencia de intencionalidad, dada su ausencia y su actuación en la creencia de la legalidad de la base de datos; no ha habido año económico; tampoco existe reincidencia, IEMS no ha sido sancionada por incumplimiento de la LSSI. Finalmente en cuanto al volumen de facturación que afecte a la infracción cometida así como la inexistencia de beneficios obtenidos por la infracción. Apartado
  3. b)regularización de la situación irregular. Tan pronto como se tuvo conocimiento e incluso antes de la interposición de la denuncia. Apartado
  4. d)reconocimiento espontaneo de culpabilidad. no se duda en reconocer su responsabilidad en el envío de los correos electrónicos. -Aplicación del procedimiento de apercibimiento. Art. 39 bis .2 del a LSSI. Como en otras ocasiones ha hecho la AEPD, en el Procedimiento A/00287/2015 en cuyo caso la infracción era leve. O la recaída en el Procedimiento PS/00639/2015 que finalmente termino en archivo tal como se recoge en el Fundamento de Derecho Séptimo. QUINTO: En fecha 15/11/2016 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, en el que dio por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante IMPACTING EMAIL MARKETING SOLUTIONS S.L., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/06247/2015. Se incorporan como prueba documental las alegaciones al acuerdo de inicio PS/00360/2016 presentadas por IMPACTING EMAIL MARKETING SOLUTIONS S.L., (IEMS en adelante)y la documentación que a ellas acompaña. Se incorpora como prueba documental la consulta relativa a la operadora de Telecomunicaciones que da el servicio a la Dirección IP ***IP.1, la ubicación geográfica, así como la solicitud de información a KPN B.V., respecto de la titularidad de la citada Dirección IP. Se requiere la siguiente información a IEMS: en la documentación del Acta de Inspecion, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 se cita a 360 UNITED MEDIA como entidad “que trasladaba una queja del denunciante con respecto a ambas direcciones de correo electrónico”. Se solicita la siguiente información: -Explicación de la relación de IEMS con 360 UNITED MEDIA, contratos, facturas o cualquier otras documentación, que permita responder a las preguntas de ¿Por qué razón la citada entidad es conocedora de la queja del denunciante? ¿a través de que medio le llega? -¿Qué entidad o servicio utiliza IEMS para atender las quejas de los receptores de sus campañas publicitarias?. SEXTO: En fecha de 10/01/2017 por el Instructor del procedimiento se emitió Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos, se sancione a IMPACTING EMAIL MARKETING SOLUTIONS S.L. con multa de 40.000 € (cuarenta mil euros) por la infracción del artículo 21 de la LSSI, tipificada como grave en el artículo 38.3
  5. c)de dicha norma. Otorgando a dicha entidad un plazo de quince días hábiles para formular alegaciones. SEPTIMO: Según consta en el acuse de recibo de la entidad Correos y Telégrafos, la notificación de la Propuesta con número de Registro 008506/2017 y de envío NT********1 fue entregada en fecha de 13/01/2017 en el domicilio de IMPACTING EMAIL MARKETING SOLUTIONS S.L, por lo que el plazo otorgado en la citada propuesta finalizaba en fecha de 31/01/2017, sin que a la misma conste en el registro de entrada de esta Agencia escrito de la entidad. OCTAVO: De las actuaciones practicadas han resultado acreditados los siguientes HECHOS PROBADOS UNO.- Entre las fechas de 26/08/2015 y 18/10/2015 se remitieron desde la cuenta ....@se.reactivemail.es 26 comunicaciones a la dirección lamberti@.... y 52 a la dirección dave@...., del denunciante, en las que se ofrecía información comercial. (Folio 2 y 78) DOS.- Consta una solicitud de baja remitida desde la dirección de correo lamberti@...., con destino ....@se.reactivemail.es de fecha 10/09/2016 en las que se cita las dos direcciones de correo del denunciante antes citadas.( folio 1) TRES.- El dominio reactivemail.es corresponde a Impacting ( Folio 8-10) constando como persona de contacto ....1@impacting.es, ; consultado la titularidad del dominio a Impacting. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 CUATRO.- IEMS manifestó a preguntas de los inspectores de la AEPD que las direcciones de correo del denunciante han sido utilizadas en campañas publicitarias, en concreto ( folio 12-13): I.La dirección lamberti@... En dos campañas de emailmarketing de 30 de agosto y 10 de septiembre. II.La dirección dave@... En 28 campañas publicitarias de emailmarketing desde el 4 de agosto hasta el 21 de octubre. III.Ambas direcciones en 17 campañas publicitarias de emailmarketing desde el 22 de julio hasta el 7 de septiembre. CINCO.- IEMS manifiesta que el origen de las direcciones de correo del denunciante es la ejecución de un contrato con VIPS LIST MANAGEMENT que actúa como intermediario de otros responsables de bases de datos que quieren explotarlas publicitariamente, cuya identidad no conoce – tal como manifiestan folio 76- ni tampoco el método a través del cual han sido obtenidos los datos que va a utilizar. (Folios 49 y siguientes, 60-70) SEIS.- Según constan en los sistemas de información de IEMS, VIPS LIST proporciona dos ficheros a IEMS, R7M donde constan ambas direcciones de correo del denunciante y Greendatapoint, donde consta únicamente dave@.... En este último consta una captura de pantalla que informa el origen de la dirección en la descarga de una aplicación para un terminal móvil: Simple Contacs – (Acta de Inspección y documentación adjunta). SIETE.- En la página web de la citad aplicación móvil, aparece una política de privacidad donde consta que la prestadora del servicio es YT DEV Ltd., una compañía con sede en Israel, y que entre los usos que se podrán dar a los datos del usuarios está el envío de comunicaciones comerciales por medios electrónicos remitidas por la prestadora del servicio o por terceros en su nombre. (Folios 44-45). FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en el artículo 43.1 párrafo segundo de la LSSI la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 En el presente caso se imputa a IEMS la comisión de una infracción del artículo 21.1 y 2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), que dispone: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” III En cuanto el origen de las direcciones de correo del denunciante, en la Inspección realizada se verifica que las dos direcciones de correo electrónico del denunciante constan en los ficheros proporcionados por RM7 y Green Data Point y únicamente consta ....@lightenergy.nl en el fichero proporcionado por Green Data Point. IEMS afirma que la dirección dave@..... Tiene su origen en la aplicación Simple Contacts y de acuerdo con la política de privacidad aceptada estaba en condiciones de ser receptor de las citadas comunicaciones. Pues bien, no se ha podido probar que, efectivamente, existiera el uso de la citada aplicación por parte del denunciante en la medida en que únicamente consta la captura de pantalla de sus sistemas donde se puede verificar que ha sido proporcionado por Greendatapoint con la dirección IP que corresponde a un proveedor de acceso y servicios de internet que no ha verificado la titularidad de la citada dirección IP o el uso por parte del denunciante. Pero admitiéndolo a efectos puramente dialecticos dicha descarga y uso de la aplicación, se desconoce qué política de privacidad constaba en la fecha en que afirman su descarga. Asimismo en la política de privacidad actual, consta que los envíos comerciales que pudieran ocasionares serian realizados por la entidad israelí titular del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 servicio, o por terceros en su nombre – circunstancia que no se ha acreditado que concurra en IEMS. Por otro lado tal como consta en el punto 6.5 del Informe de inspección, ambas direcciones de correo figuran en los ficheros proporcionados por RM7 y nada afirma IEMS para acreditar el cumplimiento de los requisitos previstos en el art. 21 de la LSSI. En cuanto a la dirección de correo lamberti@..... IEMS únicamente aporta meras afirmaciones. IEMS alega en su descargo, respecto de ambas direcciones de correo, que VIPS garantizó la legalidad de la base de datos a utilizar, sin embargo esa circunstancia se muestra insuficiente en la medida en que, al menos, IEMS podía haber solicitado prueba alguna de dicho cumplimiento con carácter previo a la realización del servicio (muestreo previo de registros y su consentimiento, políticas de privacidad que los usuarios aceptaban, etc.,.). en este sentido la Sentencia de la Audiencia Nacional de 30/04/2015, entiende insuficientes las garantías que por contrato se señalan por un proveedor de Bases de Datos y echa en falta alguna medida por parte del usuario de la citada base de datos (…)Pues bien, lo estipulado en el contrato sobre el tratamiento de datos personales es genérico, ya que se viene a referir a que Todo Data Integral Services, S.L., debe cumplir las previsiones contenidas al efecto en la LOPD, no estableciendo ninguna medida tendente al cumplimiento de dichas obligaciones por parte de la parte recurrente. Con ello no se excluye, como pretende la parte actora, la responsabilidad de ésta en el tratamiento de datos. En efecto, se olvida dicha parte del apartado 3 del art. 46 del RDLOPD, no habiendo probado, ni siquiera alegado, qué medidas necesarias adoptó para asegurarse de que la entidad contratada, Todo Data Integral Services, S.L., había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. Como dijimos en la Sentencia de 3 de octubre de 2007 -recurso n°. 38/2006-, la responsabilidad del tratamiento de datos «le obligaba a extremar la diligencia hasta el punto de que debía informarse de la procedencia de los datos personales utilizados por la responsable del fichero en la campaña publicitaria. Campaña publicitaria que se efectuó en exclusivo beneficio de dicha entidad recurrente. (…) Asimismo no es suficiente diligencia la firma de un contrato, ayuna de otras circunstancias, cuando IEMS es consciente de que el origen de los datos no es VIP sino que es RM7 y GreenDataPoint, a quienes afirma no conocer su identidad. Es decir, si bien en el contrato aparece como responsable del fichero VIPS, ésta se nutre de registros a través de los citados actores cuyas garantías no son ni citadas. Tampoco conoce IEMS a través de qué formularios se obtuvieron los datos ni que política de privacidad asumieron sus titulares, ni el origen de los datos – si es página web, sorteos, etc.,…- parámetros de diligencia a la hora de realizar una campaña de marketing por correo electrónico. En conclusión, IEMS ha vulnerado la prohibición expresa prevista en el art. 21 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 de la LSSI, ya que de la documentación obrante en el expediente no se ha acreditado que tenía el consentimiento previo y expreso del denunciante para la remisión de las citadas comunicaciones. Obligación que le incumbe a el Prestador de Servicios de la Sociedad de la Información - art. 37 LSSI- que pretenda remitir comunicaciones comerciales por medios electrónicos, en este caso a IEMS, como tampoco la existencia de una relación comercial previa de servicios similares a los ofrecidos en las campañas publicitarias – IEMS no acredita en relación con el denunciante este supuestoVI De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  6. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
  7. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción de carácter grave a los efectos de la LSSI. El presente supuesto se ajusta al tipo de infracción establecido en el artículo 38.3
  8. c)de la LSSI, calificado como infracción grave, al tratarse de 26 comunicaciones a la dirección lamberti@.... y 52 a la dirección dave@...... VII Según establece el art. 39.1, apartados
  9. b)y c), de la LSSI, las infracciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 graves podrán ser sancionadas con multa de 30.001 hasta 150.000 € y las leves, con multa de hasta 30.000 €, fijando los criterios para su graduación los artículos 39 bis y 40 de la misma norma, que disponen lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  10. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
  11. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  12. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  13. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  14. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  15. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  16. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador, por dicho incumplimiento.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  17. a)La existencia de intencionalidad.
  18. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  19. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  20. d)La naturaleza y cuantía de los perjuicios causados.
  21. e)Los beneficios obtenidos por la infracción.
  22. f)Volumen de facturación a que afecte la infracción cometida.
  23. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. IEMS solicita, en primer lugar, la aplicación de la figura del apercibimiento de acuerdo con lo dispuesto en el art. 39 bis apartado 2 por entender que concurren las circunstancias que señala el citado precepto. Sin embargo debe señalarse que es una potestad de la AEPD que no ha sido adoptada antes de iniciar el presente procedimiento – que es el estadio procedimental donde pudiera aplicarse-, por lo que una vez iniciado el mismo no es posible su tramitación. Todo ello sin perjuicio de que el acaecimiento de las circunstancias que permiten su aplicación, no operan ipso iure, sino que es la administración competente la que, tras la valoración de las circunstancias concurrentes, adopta un acuerdo u otro. En este caso debe atenderse a la profesionalidad del sujeto infractor y su relación con la aplicación de la LSSI de la que se deriva una diligencia en el cumplimiento de la misma de mayor rigor, que por ejemplo otra entidad dedicada a otro sector. Asimismo de acuerdo con lo recogido en Sentencia de 25/03/2016 la Audiencia Nacional, la figura del apercibimiento no puede sustituir la imposición de una sanción, debido a su naturaleza no sancionadora (en el mismo sentido SSAN de 29/11/2013 (Rec. 455/2011) y de 08/05/2015 (Rec. 122/2014). En segundo lugar IEMS solicita la aplicación de la degradación prevista en el art. 39 bis de la LSSI, debiendo señalarse lo siguiente: No consta el reconocimiento de la culpabilidad como requiere el apartado
  24. d)– pues esta supone la admisión del elemento subjetivo en la comisión de la infracción- y lo que hace IEMS en sus alegaciones formuladas al Acuerdo de inicio, es reconocer su responsabilidad, por una supuesta negligencia de VIPS a la hora de garantizar la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 legalidad de la base de datos a utilizar. IEMS en sus alegaciones formuladas al acuerdo de inicio sostuvo permanentemente que los hechos no ocurren por su negligencia o circunstancia atribuible a ella, sino que defiende su no culpabilidad cuando señala que (…)IMP actuo en la creencia legitima que Vip List contaba con el consentimiento expreso del denunciante(…)folio 98. Reconocer la culpabilidad es asumir tanto el elemento objetivo – responsabilidad- como el elemento subjetivo – culpabilidad- en la comisión de la infracción y la entidad en sus alegaciones formuladas a la propuesta de resolución sigue reconociendo una suerte de responsabilidad, pero que ni puede ser entendida como asumir el elemento subjetivo, ni admitiéndolo a efectos puramente dialecticos podría definirse de espontaneo, como requiere el precepto, ni de estimarse implicaría per se, la degradación solicitada ya que concurren en el supuesto otras circunstancias que agravan el reproche sancionador. En cuanto al apartado
  25. a)por concurrir varias circunstancias previstas en el art. 40, debe señalarse que la existencia de intencionalidad y su modulación y valoración ha de ponerse en conexión con la diligencia exigible que nos la da la profesionalidad del infractor y el celo y rigor que se suponen a un profesional del sector. En este caso, únicamente firma un contrato donde le garantizan la legalidad, también cita en sus alegaciones que IEMS procede a la “previa contrastación técnica, profesional y económica de la entidad a la firma del contrato” sin embargo no acredita ninguna media tendente a tal fin, sino que es una mera afirmación. Tampoco hace nada cuando observa que el origen de la bases de datos son dos actores que ni siquiera conoce su identidad- pues firma un contrato con un intermediario-, ni menos aún el sitio de donde provienen los datos (páginas web, descarga aplicaciones participación en concursos,…..) antes de hacer las campañas. Asimismo no muestra control de su modelo de negocio en lo que se refiere a la gestión de los derechos previstos en la LSSI, en la medida en que no está en condiciones de explicar la razón por la que una tercera entidad – 360 UNITED MEDIA, según IEMS “Agencia de Medios”, es la entidad que traslada una de las quejas del denunciante. Por otro lado debe tenerse en cuenta que si bien no hay prueba de daño económico –circunstancia que no está prevista en la LSSI- y la facturación que afecte a la infracción cometida, de lo que no hay duda es del beneficio económico para IEMS en la medida que el contrato con VIPS es lo lógico que se trate de un contrato oneroso. Es decir, IEMS no enviaría las comunicaciones comerciales de manera gratuita, los hechos ocurren como ejecución de una actividad que le reporta beneficio económico C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 a IEMS, pues es buena parte del modelo de su negocio, y no puede obviarse tal como consta en los folios 12-13 que las direcciones de correo electrónico del denunciante han sido utilizadas por IEMS en las siguientes campañas publicitarias: I. La dirección lamberti@... En dos campañas de emailmarketing de 30 de agosto y 10 de septiembre. II. La dirección dave@... En 28 campañas publicitarias de emailmarketing desde el 4 de agosto hasta el 21 de octubre. III. Ambas direcciones en 17 campañas publicitarias de emailmarketing desde el 22 de julio hasta el 7 de septiembre. En definitiva, no procede la degradación prevista en el citado precepto por aplicación del apartado
  26. a)También sostiene IEMS en su escrito con fecha de entrada en esta agencia de 02/02/2017, que no hay reincidencia en las infracciones de la misma naturaleza puesto que los procedimientos por los que ha sido sancionada son por infracciones a la LOPD, y por tanto distinta norma y por ende distinta naturaleza – con carácter previo a su análisis, debe señalarse que dicha circunstancia no es un elemento que se ha tenida en cuenta en la propuesta de resolución y que en todo caso, la reincidencia, es una parámetro que puede agravar el reproche sancionador-. Estimando esta diferenciación propuesta por IEMS, debe asumirse que también debe realizarse a la hora de analizar su diligencia cuando la pone de manifiesto por firmar en el año 2012 un contrato de consultoría o asesoramiento con TARSYS que según afirma, asesora en LOPD pero nada sostiene respecto de la LSSI. En el mismo escrito arriba referenciado, IEMS sostiene que no ha habido perjuicios como consecuencia de la infracción, focalizando dicha afirmación en la ausencia de daño económico. Pues bien, debe señalarse que el precepto ( art. 40
  27. d)LSSI) cita naturaleza – es decir cualidad, ¿qué tipo de perjuicios?- y cuantía – es decir, cantidad :únicos, varios, múltiples, etc.,. - de los perjuicios, ayuno de cualquier componente gravamen económico, por lo que resulta irrelevante a los efectos pretendidos por IEMS. En cuanto a la regularización de la situación irregular de forma diligente, apartado b), debe señalarse que en fecha de 10/09/2015 el denunciante remite una comunicación a la dirección remitente de los envíos solicitando el cese de los mismos e información sobre su origen. IEMS manifiesta que las direcciones de correo son dadas de baja en fecha de 21/10/2015. Sin embargo consta en una comunicación de 10/09/2015 remitida desde .....@lamberti.eu con destino ....@se.reactivemail.es informando de la irregularidad de los envíos, es decir, más de un mes con anterioridad a la baja efectiva. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 Ahora bien, en relación con los criterios de graduación de las sanciones recogidos en los artículos transcritos y, debe tenerse en cuenta, la circunstancia prevista en el art. 39.1
  28. b)de la citada norma, y el número de comunicaciones comerciales remitidas que han vulnerado el art. 21 de la LSSI (26 comunicaciones a la dirección lamberti@.... y 52 a la dirección dave@...... ) en relación con el rigor en el cumplimiento de la LSSI que es exigible a un profesional del sector del email marketing cuyo objeto de negocio, es la gestión explotación de bases datos para publicidad electrónica, basta con acceder a la página web http://www.impacting.es/ cuyo responsable es IEMS, donde aparece un mensaje bienvenido a la revolución del email marketing, o entrando en el apartado servicios figuran Generación de Leads, List Broking y Branding, todos ellos servicios relacionados con la explotación de bases de datos a través de publicidad electrónica, por ello no existe duda alguna de que estamos ante un profesional del sector. Todo ello aumenta el reproche sancionador ya que debe ser conocedor y por tanto cumplir, aquella normativa que regule su actividad y ha resultado probado que IEMS no tenía ni el consentimiento o autorización previa y expresa del destinatario, ni se daban las circunstancias de existencia de relación comercial previa de servicios similares a los ofrecidos en la publicidad, cuando utilizó las direcciones de correo del denunciante durante 27 campañas comerciales que le reportaron beneficio económico puesto que dichos circunstancias suceden en desarrollo de su actividad empresarial. Procede la imposición de una sanción en la cuantía de 30.001 euros, que se estima adecuada al principio de proporcionalidad, tal como ha confirmado la Audiencia Nacional en Sentencia de 25/03/2016 en el que estima conforme a derecho la imposición de una sanción en la cuantía de 52.000 euros, por el envío de 75 comunicaciones comerciales que infringen el art. 21 de la LSSI. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad IMPACTING EMAIL MARKETING SOLUTIONS S.L., por una infracción del artículo 21 de la LSSI, tipificada como grave en el artículo 21 de la LSSI, una multa de 30.001 ( treinta mil un euro) de conformidad con lo establecido en el artículo 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a IMPACTING EMAIL MARKETING SOLUTIONS S.L., y a A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.