PS-00361-2016

1/8 Procedimiento Nº PS/00361/2016 RESOLUCIÓN: R/03038/2016 En el procedimiento sancionador PS/00361/2016, instruido por la Agencia Española de Protección de Datos a la entidad CENTROS COMERCIALES CARREFOUR S.A.., vista la denuncia presentada por B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 18 de marzo de 2016 tiene entrada en esta Agencia un escrito de B.B.B. en el que declara: Con fecha 17 de marzo de 2016, recibió en su dirección de correo electrónico C.C.C. un mensaje publicitario desde la dirección elclubcarrefour@envios.carrefour.es. Con fecha 18 de marzo de 2016, a través del propio correo recibido, solicito la baja, utilizando un enlace existente en el mismo con el texto “si quieres darte de baja pulsa aquí”. A través del citado enlace se accede a una página web donde aparece un formulario en el que debes facilitar el número de tarjeta del Club Carrefour y la dirección de correo electrónico del solicitante. En contestación recibió, en esa misma fecha, un correo electrónico desde la dirección cuéntaseloacarrefour@carrefour.com con el título “Respuesta”, en el que aparecen los datos que ha facilitado al solicitar la baja y se le solicita que remita un escrito por correo postal y que adjunte una copia de su D.N.I. para ejercer sus derechos ARCO. Aporta copia de los correos mencionados y del formulario de baja que cumplimento en la página web de la entidad. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad CENTROS COMERCIALES CARREFOUR S.A.., teniendo conocimiento de los siguientes extremos: Con fecha 4 de junio de 2016, a solicitud de esta Agencia, el denunciante remite la siguiente información: 1. Copia de los correos publicitarios recibidos en su dirección de correo C.C.C., de El Club Carrefour y Carrefour la buena mesa, con fechas 22 de marzo y 1 de abril de 2016, que según manifiesta son posteriores a su solicitud de baja (18 de marzo de 2016) tal y como indicó en su denuncia. 2. No remitió a CARREFOUR el escrito con copia de su D.N.I., tal y como le solicitaban en el correo, al entender suficiente el cumplimentar el formulario existente en el enlace de baja del propio correo. Con fecha 6 de junio de 2016, CENTROS COMERCIALES CARREFOUR s.a. (Carrefour) ha remitido a esta Agencia la siguiente información, en relación con los hechos denunciados: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 1. Aportan copia impresa de los datos que constan en sus ficheros relativos al denunciante, como socio del Club Carrefour y titular de dos tarjetas de CARREFOUR, con fechas de alta 17 de enero de 2012 y 8 de diciembre de 2015, ambas activas en la actualidad, entre los datos que aportan, consta la dirección de correo electrónico C.C.C., 2. El procedimiento establecido para que los socios del Club se opongan a la recepción de los correos publicitarios esta detallado en el punto 14.3 de las bases del Club Carrefour “El socio podrá ejercitar los derechos reconocidos en la Ley Orgánica 15/1999, y en particular los derechos de acceso, rectificación, oposición y/o cancelación de datos. Tales derechos podrán ejercitarse por cada socio mediante solicitud escrita y firmada dirigida a nuestro Apartado de Correos 1002, 28108 Alcobendas (Madrid), e ira acompañado de fotocopia del D.N.I. del solicitante”. 3. Respecto a la causa por la que el denunciante ha recibido correos con posterioridad a utilizar la opción de baja existente en el correo recibido con fecha 17 de marzo de 2016, y recibir en contestación un correo electrónico: a. Se remitió el correo electrónico para requerir al cliente que tramitara su solicitud de baja por el canal establecido en las Bases del Club Carrefour. b. Así mismo, a partir de mayo de 2016, también han habilitado, en los correos, un enlace directo con la leyenda “si quieres darte de baja pincha aquí” que direcciona a la página web del Club Carrefour para que el cliente acceda a sus datos y realice la modificación que desee, accediendo con su número de tarjeta y su D.N.I. TERCERO: Con fecha 25/08/2016, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CENTROS COMERCIALES CARREFOUR S.A.. con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal aprobado por el Real Decreto 1720/2007, de 21 de diciembre, por la presunta infracción del artículo 21.1 y 2 de la LSSI, tipificada como leve en el artículo 38.4

1. d)de la citada Ley. CUARTO: Notificado el citado Acuerdo de inicio, CENTROS COMERCIALES CARREFOUR S.A.. presentó alegaciones en las que señaló que: Falta de tipicidad en la medida en que existe un contrato suscrito con el cliente, se han obtenido los datos del destinatario de forma licita, además se ofrecía expresamente la posibilidad de marcar una casilla en dicho contrato para no recibir comunicaciones comerciales y éste no la marco, y finalmente, se han empleado dicho datos para el envío de comunicaciones de productos o servicios similares a los que inicialmente contrato. En relación con la infracción del art. 21.2 LSSI, debe señalarse que se incluye en el correo remitido una dirección válida para ejercitar su derecho de oposición. Un enlace que reconducía a una página web en la que aparecía un formulario con el que efectivamente iniciaba el proceso para ejercitar su derecho de oposición al tratamiento de sus datos con fines promocionales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Además en el apartado 14.3 de las bases del Club Carreofur se explica el procedimiento mediante el cual los socios del Club pueden ejercer el derecho a la cancelación de sus datos y oponerse a la recepción de correos publicitarios. QUINTO: En fecha de 30/09/2016 por el instructor del procedimiento se inició un periodo de practica de pruebas en el que se dio por reproducidos a efectos probatorios la denuncia interpuesta por B.B.B. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante CENTROS COMERCIALES CARREFOUR S.A.., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/02487/2016 y , las alegaciones al acuerdo de inicio PS/00361/2016 presentadas por CENTROS COMERCIALES CARREFOUR S.A.., y la documentación que a ellas acompaña. SEXTO: En fecha de 25/10/2016 por el Instructor del procedimiento se emitió Propuesta de Resolución solicitando que la Directora de la Agencia Española de Protección de Datos se sancione a CENTROS COMERCIALES CARREFOUR S.A.. con multa de 10.000 € (diez mil euros) por la infracción del artículo 21.1 y 2 de la LSSI, tipificada como leve en el artículo 38.4
2. d)de dicha norma. SEPTIMO: En fecha de 15/11/2016, CENTROS COMERCIALES CARREFOUR S.A.. presentó escrito a través de la Sede Electronica de esta Agencia, con número de registros 375365/2016 y con el siguiente texto en el campo Detalles de la Solicitud de Registro: (…) ALEGACIONES A LA PROPUESTA DE RESOLUCION PS 361/2016(…) sin embargo no consta documentación adjunta. OCTAVO: De las actuaciones practicadas en el presente procedimiento han quedado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 17/03/2016 se recibe en la dirección de correo C.C.C. una comunicación desde el clubcarrefour@envios.carrefour.es que incluye un enlace para oponerse a la recepción de comunicaciones. DOS.- En fecha 18/03/2016, a través del propio correo recibido, solicito la baja, utilizando un enlace existente en el mismo con el texto “si quieres darte de baja pulsa aquí”. El enlace redirige la navegación a una página web que aloja un formulario donde se solicita la siguiente información: el número de tarjeta del Club Carrefour y la dirección de correo electrónico del solicitante. TRES.-Tras la cumplimentación se recibe en la cuenta de correo proporcionada una comunicación desde la dirección cuéntaseloacarrefour@carrefour.com con el título “Respuesta”, en el que aparecen los datos que ha facilitado al solicitar la baja y se le solicita que remita un escrito por correo postal y que adjunte una copia de su D.N.I. para ejercer sus derechos ARCO. CUATRO.- El denunciante manifestó a solicito de la AEPD que no remitió a CARREFOUR el escrito con copia de su D.N.I., tal y como le solicitaban en el correo, al entender suficiente el cumplimentar el formulario existente en el enlace de baja del propio correo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 CINCO.- En fechas de 22/03/2016 y 1/04/2016 se reciben comunicaciones comerciales de El Club Carrefour y Carrefour La buena Mesa en los que se incluyen idénticos medios de oposición que el descrito anteriormente. FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
3. d)e
4. i)y 38.4 d),
5. g)y
6. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II En el presente procedimiento se imputa a CENTROS COMERCIALES CARREFOUR, S.A la comisión de la infracción del artículo 21 de la LSSI, según el cual 1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 III Ha resultado probado que el medio de baja ofrecido por la entidad denunciada, redirigía a una formulario donde se solicitaba el número de Tarjeta Club, y una dirección de correo electrónico, que al introducir dicha información se recibía en la dirección de correo proporcionada un mensaje con el título “Respuesta” solicitando que se remita un escrito postal con copia del DNI. El supuesto fáctico analizado es el procedimiento instaurado por CC CARREFOUR para el ejercicio de los derechos de los destinatarios de los Servicios de la Sociedad de la Información que protege la LSSI y que contraviene el sentido del art. 21 de la LSSI, cuando establece la obligación de incluir un procedimiento sencillo para oponerse al tratamiento de sus datos con fines promocionales, y el ofrecimiento de una dirección electrónica válida. Es decir, si ya en un primer estadio de los actos que tiene que realizar el destinatario de los Servicios de la Sociedad de la Información, supone introducir, en primer lugar, el número de socio de la Tarjeta Club, para luego en segundo lugar solicitar copia del DNI y finalmente remitir un escrito postal, todo ello supone una carga excesiva que contraviene el espíritu de la norma y la interpretación que en reiteradas resoluciones ha mostrado esta Agencia Española de Protección de Datos. Dicha afirmación se sustenta, precisamente, de la interpretación lógica y sistemática del precepto y los posteriores: el procedimiento sencillo al que alude la norma no puede estar configurado de modo que no sea sencillo y que se le exija al usuario una carga extra, tanto formalmente, como la copia del DNI como materialmente, enviar un escrito a una dirección postal. En la misma línea, el siguiente art. 22.1 LSSI, cita para revocar el consentimiento o autorización previa, la simple comunicación. Precisamente la modificación del art. 21 de la LSSI, al introducir el término “dirección electrónica válida”, busca huir de los procedimientos tradicionales como son el escrito y la dirección postal, para conseguir la rapidez y dinámica consustancial a los Servicios de la Sociedad de la Información y compensar, en términos de igualdad, los procesos y ventajas que dicha sociedad de la información ofrece a los Prestadores de Servicios, con los medios de reacción que tienen los destinatarios de dichos Servicios de la sociedad de la Información. En conclusión, reconduciendo el medio de oposición a un escrito, junto con copia de DNI y su remisión a una dirección postal, se contraviene frontalmente el sentido de la norma y debe considerarse vulnerada la obligación de introducir un medio de oposición. Asimismo debe señalarse que CENTROS COMERCIALES CARREFOUR, S.A, confunde el procedimiento para el ejercicio de los derechos ARCO previsto en la LOPD y en su Reglamento de Desarrollo, con el previsto en la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Es decir, no puede exigirse la copia del DNI para el ejercicio de los derechos de oposición (art. 21.2 LSSI) y revocación (art 22.1 LSSI) que recoge la citada norma, por resultar excesivo y contravenir el espíritu de la norma, tal como se ha expuesto anteriormente. IV Asimismo debe señalarse que los envíos comerciales posteriores al momento en que el denunciante pretende oponerse a la recepción de comunicaciones comerciales, no encuentran legitimación ni acomodo en el art. 21 de la LSSI, por lo que se estima su vulneración. V El artículo 38.4
7. d)considera infracción leve, El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave. En el presente caso se cumplen las circunstancias que tipifica el precepto, debiendo considerar que CC CARREFOUR ha cometido una infracción leve del art. 21 de la LSSI. VI Según establece el art. 39 LSSI, las infracciones leves podrán ser sancionadas con multa hasta 30.000 €, fijando los criterios para su graduación en el artículo 40 de la misma norma, que dispone lo siguiente: “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
8. a)La existencia de intencionalidad.
9. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
10. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
11. d)La naturaleza y cuantía de los perjuicios causados.
12. e)Los beneficios obtenidos por la infracción.
13. f)Volumen de facturación a que afecte la infracción cometida.
14. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. En relación con los criterios de graduación de las sanciones recogidas en el artículo 40 y en especial la existencia de intencionalidad, tanto en el diseño del medio de oposición que vulnera el art. 21.2 de la LSSI, y que se encuentra estandarizado, como en el posterior envío de comunicaciones comerciales. También en relación con la existencia de intencionalidad y la diligencia debida como parte integrante del elemento subjetivo en la comisión de la infracción y parámetro del dolo o culpa que se ha de valorar, debe señalarse que el artículo 130.1 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables” sin que pueda obviarse que CC CARREFOUR es una entidad que opera, además de por los medios tradicionales, utilizando servicios de la Sociedad de la Información, y ofrece sus productos, desde hace años en internet con multitud de clientes, siendo tributario de un conocimiento y cumplimiento de las normas que regulan esa actividad, y en lo que aquí interesa de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, y por tanto siendo mayor el desvalor de la acción típica, que otra entidad ajena a los Servicios de la Sociedad de la Información, lo que le hace merecedor de un mayor reproche sancionador. En segundo lugar, debe tenerse en cuenta el criterio de la reincidencia en la comisión de infracciones de la misma naturaleza que hayan resultado firmes, en este sentido CC CARREFOUR fue sancionada mediante la Resolución R/00435/2016 de 07/03/2016 por hechos similares a los analizados en el presente expediente, circunstancia que opera como un agravante. Por lo expuesto se impone una sanción en la cuantía de 7.000 €. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CENTROS COMERCIALES CARREFOUR S.A.., por una infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4
15. d)de la LSSI, una multa de 7.000 € ( siete mil euros), de conformidad con lo establecido en el artículo 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a CARREFOUR S.A.., y a B.B.B.. CENTROS COMERCIALES TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de Octubre, del Procedimiento Administrativo de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es