← España

PS-00370-2018

1/13 Procedimiento Nº PS/00370/2018 RESOLUCIÓN: R/00041/2019 En el procedimiento sancionador PS/00370/2018, instruido por la Agencia Española de Protección de Datos a la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL, vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 1 de agosto de 2018 tiene entrada en la Agencia Española de Protección de Datos una reclamación de Don A.A.A., (en adelante el reclamante o destinatario), dirigida contra IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL , (en adelante, el reclamado o IBERIA), en la que el reclamante expone que continúa recibiendo comunicaciones comerciales de IBERIA con posterioridad a que dicha entidad le confirmase, con fecha 20 de octubre de 2017, la cancelación de sus datos personales en contestación a su solicitud, de fecha 3 de octubre de 2017, de baja de la “Tarjeta de Fidelización Iberia Plus” y de cancelación de sus datos personales. En concreto, señala que recibió comunicaciones comerciales no autorizadas de IBERIA en su dirección de correo electrónico ***EMAIL.1 con fechas 5 de junio, 10 de julio, 18 de julio, 2 y 10 de agosto de 2018. El reclamante aporta copia de la siguiente documentación: - “Tarjeta de Fidelización Iberia Plus” ***TARJETA.1 , expedida a su nombre - Escrito remitido con fecha 20 de octubre de 2017 por IBERIA al reclamante indicándole lo siguiente: “Hemos recibido una solicitud de cancelación de datos a su nombre. Le informamos que la cancelación de sus datos en los sistemas de información Iberia Plus, Iberia.com, en los que constas en estos, se ha efectuado satisfactoriamente. No dude en ponerse en contacto con nosotros para cualquier aclaración (dirección de correo electrónico: Atención_datospersonales@iberia.

  1. es)Atentamente Atención de Datos Personales Iberia Líneas Aéreas de España S.A. Operadora, Sociedad Unipersonal.” Copia de la comunicación comercial remitida el día 5 de junio de 2018 a la dirección de correo electrónico ***EMAIL.1 del reclamante desde la cuenta de correo electrónico iberiaplus@boletines.iberia.com, con asunto: “Aproveche para acumular “Avios” antes del verano”, en el que se ofertaban servicios propios de IBERIA y de compañías asociadas que permitían acumular “Avios”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 En el encabezamiento del cuerpo del envío aparece la indicación PUBLICIDAD, figurando también el nombre y apellidos del reclamante asociado al número de su “Tarjeta de Fidelización Iberia Plus” antes detallado y al Saldo a 10/10/2017. Al pie del citado envío se informaba: “Esta comunicación comercial electrónica es remitida por Iberia Líneas Aéreas de España S.A. Operadora U. (“Iberia”) en base al interés legítimo derivado de la relación previamente mantenida con Usted. Si no desea seguir recibiendo en el futuro este tipo de comunicaciones de Iberia, por favor [haga clic aquí]. Puede consultar nuestra Política de Protección de Datos visitando nuestra web www.iberia.com. Gracias” SEGUNDO: Con fecha 22 de octubre de 2018 la citada reclamación fue admitida a trámite, trasladándose al reclamado para que hiciese las alegaciones pertinentes. Notificado con fecha 23 de octubre de 2019 dicho acto a IBERIA, no se ha recibido contestación al respecto. TERCERO: Con fecha 27 de noviembre de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 38.4.
  2. d)de dicha norma. En el citado acuerdo de inicio se informaba que dicha infracción podía ser sancionada con multa de hasta 30.000, de acuerdo con el artículo 39.1.
  3. c)de dicha Ley, señalándose a los efectos previstos en el artículo 64.2.
  4. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, (en adelante, LPACAP), que la sanción que pudiera corresponder sería de 5.700 €. Asimismo, en dicho acuerdo de inicio se informaba a IBERIA sobre su derecho a la audiencia en el procedimiento y se le otorgaba un plazo de diez días hábiles para formular alegaciones y proponer las pruebas que considerase procedentes, informándole que de conformidad con lo previsto en el artículo 64.2.
  5. f)de la ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Públicas de no efectuar alegaciones al acuerdo de inicio en el plazo concedido en el mismo, dicho acto “podrá ser considerado propuesta de resolución”. CUARTO: El citado acuerdo de inicio fue notificado a IBERIA con fecha 29 de noviembre de 2018, según figura en el acuse de recibo expedido por el Servicio de Notificaciones Electrónicas, Notific@ de la Fábrica Nacional de Moneda y Timbre. Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio, no consta que dicha entidad haya ejercitado dicho derecho en su defensa. HECHOS PROBADOS PRIMERO: Con fecha 1 de agosto de 2018 se registra de entrada en esta Agencia a reclamación formulada por Don A.A.A. contra IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL por seguir recibiendo comunicaciones comerciales de esa empresa con posterioridad a que, con fecha 20 de octubre de 2017, le C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 confirmase la cancelación de sus datos personales en contestación a su solicitud de baja de la “Tarjeta de Fidelización Iberia Plus” y de cancelación de sus datos personales. SEGUNDO: El reclamante era titular de la “Tarjeta de Fidelización Iberia Plus” ***TARJETA.1 . TERCERO: Con fecha 20 de octubre de 2017, el Servicio de “Atención de Datos Personales” de IBERIA remitió al reclamante el siguiente escrito: “Hemos recibido una solicitud de cancelación de datos a su nombre. Le informamos que la cancelación de sus datos en los sistemas de información Iberia Plus, Iberia.com, en los que constas en estos, se ha efectuado satisfactoriamente. No dude en ponerse en contacto con nosotros para cualquier aclaración (dirección de correo electrónico: Atención_datospersonales@iberia.
  6. es)Atentamente Atención de Datos Personales Iberia Líneas Aéreas de España S.A. Operadora, Sociedad Unipersonal.” CUARTO: El reclamante ha aportado impresión de captura de su buzón de correo electrónico, en cuya bandeja de entrada figuran, entre otros envíos, las siguientes comunicaciones comerciales remitidas por IBERIA: - Envió de fecha 5 de junio de 2018, con asunto “Aprovecha para acumular Avios antes del verano”. Envió de fecha 10 de julio de 2018, con asunto “A.A.A. , esto si que son unas rebajas” Envió de fecha 18 de julio de 2018, con asunto “Hoy puede ser un buen día ¿Sabe por qu….” Envió de fecha 2 de agosto de 2018, con asunto “¿Busca ideas para su próxima e….” Envió de fecha 10 de agosto de 2018, con asunto “Descubre el exotismo de Marr….” QUINTO: En la copia del cuerpo de la comunicación comercial remitida el día 5 de junio de 2018 a la dirección de correo electrónico ***EMAIL.1 desde la cuenta de correo electrónico iberiaplus@boletines.iberia.com, con asunto: “Aproveche para acumular “Avios” antes del verano”, se ofertaban servicios propios de IBERIA y de compañías asociadas que permitían acumular “Avios”. En el encabezamiento del cuerpo del envío aparece la indicación PUBLICIDAD, figurando también el nombre y apellidos del reclamante asociado al número de su “Tarjeta de Fidelización Iberia Plus” ***TARJETA.1 y al Saldo a 10/2017. Al pie del citado envío se informaba: “Esta comunicación comercial electrónica es remitida por Iberia Líneas Aéreas de España S.A. Operadora U. (“Iberia”) en base al interés legítimo derivado de la relación previamente mantenida con Usted. Si no desea seguir recibiendo en el futuro este tipo de comunicaciones de Iberia, por favor C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 [haga clic aquí]. Puede consultar nuestra Política de Protección de Datos visitando nuestra web www.iberia.com. Gracias” FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
  7. d)e
  8. i)y 38.4 d),
  9. g)y
  10. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II El artículo 64.2.
  11. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, de 2 de octubre de 2015, en adelante LPACAP, dispone que: “El acuerdo de iniciación deberá contener al menos: (…)
  12. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” (el subrayado corresponde a la AEPD). De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos:    Que dicha posibilidad sea advertida expresamente al inculpado en el acuerdo de notificación. Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se señalan en el punto 2, apartado f), del citado artículo 64 de la LPACAP. Que el inculpado no presente alegaciones en plazo sobre el contenido de la iniciación. En el presente caso, se han observado tales prescripciones, ya que en el acuerdo de inicio se advertía de lo dispuesto en el artículo 64.2.
  13. f)de la LPACAP, se concretaba la presunta infracción cometida junto con su correspondiente tipificación, se determinaba el importe de la sanción con arreglo a los criterios de graduación tenidos en cuenta en función de las evidencias obtenidas a esa fecha, informándose también de las reducciones previstas sobre el importe fijado en virtud de lo dispuesto en el artículo 85 de la LPACAP. En consecuencia, de acuerdo con lo previsto en el transcrito artículo 64.2.
  14. f)de la LPACAP, y notificado el acuerdo de inicio a IBERIA el día 29 de noviembre de 2018, que ya se ha justificado contenía un pronunciamiento preciso acerca de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 responsabilidad imputada, sin haberse formulado alegaciones al mismo por parte de esa entidad, cabe considerar dicho acuerdo de inicio como propuesta de resolución. III A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. El artículo 21 de la LSSI señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. A su vez, el apartado
  15. d)del anexo de la LSSI define al “Destinatario del servicio” o “destinatario” como la “persona física o jurídica que utiliza, sea o no por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 motivos profesionales, un servicio de la sociedad de la información”. De este modo, la LSSI, en su artículo 21.1, prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Del precepto señalado se deduce que es de aplicación la normativa de protección de datos de carácter personal, si bien la remisión que se efectúa a la LOPD ha de interpretarse como hecha al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD en adelante), aplicable desde el 25 de mayo de 2018, y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), en vigor desde el 7 de diciembre de 2018. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 4.11) RGPD, que define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;”. Por su parte el artículo 6.1.
  16. a)del RGPD establece en cuanto a la “Licitud del tratamiento” que: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
  17. a)El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; “ A su vez, el artículo 7 del RGPD determina en cuanto a las “Condiciones para el consentimiento” que: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.” En cuanto al derecho de oposición, los apartados 2 al 4 del artículo 21 del RGPD disponen lo siguiente: “2. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia. 3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines. 4. A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información. 5. En el contexto de la utilización de servicios de la sociedad de la información, y no obstante lo dispuesto en la Directiva 2002/58/CE, el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas.” Así las cosas, de acuerdo con dicho Reglamento, el consentimiento otorgado para la recepción de publicidad por medios de comunicación electrónica, además de previo, libre, específico e inequívoco, deberá ser informado, ofreciendo la posibilidad de oponerse a dicho tratamiento con fines promocionales y advirtiendo sobre el derecho a retirar el consentimiento en cualquier momento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. IV Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
  18. f)Comunicación comercial»: toda forma de comunicación dirigida a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. El concepto de comunicación comercial, de acuerdo con la definición recogida en el Anexo f), párrafo primero de la LSSI, engloba todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. Por otro lado, la LSSI en su Anexo a), define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales (…)”. Según el apartado
  19. d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
  20. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. V En el presente supuesto, de la valoración del conjunta de elementos fácticos obrantes en el procedimiento sancionador, consta acreditado que IBERIA envió con fechas 5 de junio, 10 y 18 de julio y 2 y 10 de agosto de 2018 sendas comunicaciones comerciales a la cuenta de correo electrónico del reclamante ***EMAIL.1 sin contar, en esas fechas, con la autorización previa y expresa del destinatario de las mismas para ello (hecho probado cuarto). Dicha afirmación se sustenta en que IBERIA remitió al reclamante las cinco C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 comunicaciones comerciales objeto de estudio con posterioridad a que, con fecha 20 de octubre de 2017, hubiera enviado a dicho destinatario, desde el Servicio de “Atención de Datos Personales” de la compañía, una comunicación postal en la que le confirmaba la tramitación de su solicitud de cancelación de datos personales en los sistemas de información de Iberia Plus y de Iberia.com. De conformidad con lo dispuesto en el artículo 16.3 de la LOPD, norma en vigor en la fecha en que IBERIA supuestamente tramitó la solicitud de cancelación de los datos personales del afectado, “La cancelación dará lugar al bloqueo de los datos conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión.” Por lo tanto, la cancelación de datos conllevaba el bloqueo de los datos personales del reclamante en los sistemas de la entidad responsable del tratamiento y del fichero en orden a impedir su uso, lo que alcanza también al uso de la dirección de correo electrónico del reclamante para enviarle comunicaciones comerciales por dicho medio. Por lo tanto, los correos electrónicos comerciales estudiados se remitieron al reclamante entre el 5 de junio y el 10 agosto de 2018 por parte de IBERIA en contra de la voluntad de su destinatario, que a través del ejercicio del derecho de cancelación en octubre de 2017 había manifestado su voluntad de que sus datos personales fueran cancelados y, consecuentemente, bloqueado su uso de conformidad con lo previsto en el artículo 16.3 citado, lo que alcanzaba al tratamiento de su dirección de correo electrónico para el envío de comunicaciones comerciales de Iberia Plus y Iberia.com. A este respecto, se recuerda que el artículo 22.1 de la LSSI establece que: “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente.”. (El subrayado es de la AEPD) A la vista del escrito de contestación de IBERIA al reclamante de fecha 20 de octubre de 2017, queda patente que en las fechas en las que IBERIA envió las cinco comunicaciones comerciales objeto de análisis no contaba con el consentimiento inicialmente prestado por el mismo para remitirlas o que pudiera derivar de la relación contractual existente a través de la Tarjeta de Fidelización Iberia Plus, ya que había recibido la solicitud de cancelación de datos personales del reclamante, conociendo, por tanto, e incumpliendo la voluntad del denunciante de no continuar recibiendo comunicaciones comerciales de esa empresa en sus señas electrónicas. En este mismo sentido se pronuncia la Audiencia Nacional en un caso similar en su sentencia de fecha 18 de octubre de 2013, Rec. nº 162/2012, al señalar: “En el supuesto que nos ocupa, ha quedado acreditado que la entidad recurrente remitió más de 47 e-mails publicitarios a la denunciante desde octubre hasta diciembre de 2010, con posterioridad a la solicitud y confirmación de la cancelación de los datos de la denunciante, por lo que ha de considerarse infringido el citado precepto, al no contar con el consentimiento de la destinaria. Por otro lado, aunque en este supuesto hubiese existido una relación comercial previa con la destinataria, ésta no le habilita a remitir publicidad comercial cuando el cliente ha manifestado, como es el caso que nos ocupa, su expreso deseo de no recibirla, pues la excepción prevista en el apartado segundo del citado art. 21 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 Ley 34/2002, de 11 de julio, establece expresamente la posibilidad de ofrecer al destinatario “la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija”. Más en el presente supuesto en que se había procedido a la cancelación de los datos de la denunciante. Carece de relevancia, por tanto, el sistema que para los envíos publicitarios tuviera establecido la entidad recurrente, pues no se trata tanto de cuestionar el tratamiento indebido de datos sino de impedir el envío de publicidad no consentida, para lo cual la empresa dispuso de tiempo suficiente para articular los mecanismos correctores necesarios para evitar que se siguiera mandando publicidad comercial a la denunciante” De lo razonado, se colige que ha quedado probado que IBERIA ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI, toda vez que envió cinco comunicaciones comerciales al correo electrónico del reclamante, destinatario de las mismas, que no habían sido previamente autorizadas o expresamente solicitadas por éste, no cabiendo en este supuesto aplicar la excepción al consentimiento recogida en el artículo 21.2 de la LSSI al mediar solicitud previa a dichos envíos de cancelación de sus datos personales. VI El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación”. La definición de prestador del servicio se contiene en el apartado
  21. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De acuerdo con lo establecido en los apartados 3.
  22. c)y 4.
  23. d)del artículo 38 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  24. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
  25. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción de carácter grave a los efectos de la LSSI. A partir del conjunto de hechos y circunstancias constatadas en el procedimiento sancionador y con arreglo a lo dispuesto en los citados preceptos, la conclusión que se desprende es que la conculcación del artículo 21.1 de la LSSI que se imputa a IBERIA se ajusta al tipo de infracción calificada como leve en el artículo 38.4.
  26. d)de la vigente LSSI, ya que los cinco mensajes comerciales remitidos al correo electrónico del reclamante entre el 5 de junio y el 10 de agosto de 2018 sin contar con su consentimiento previo y expreso del mismo para ello, no puede ser calificado como “envío insistente o sistemático” de comunicaciones comerciales no solicitadas por medios electrónicos por parte de la referida entidad. VII A tenor de lo establecido en el artículo 39.1.
  27. c)de la LSSI las infracciones leves podrán sancionarse con multa de hasta 30.000 euros, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma, cuyo tenor literal es el siguiente: Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  28. a)La existencia de intencionalidad.
  29. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  30. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  31. d)La naturaleza y cuantía de los perjuicios causados.
  32. e)Los beneficios obtenidos por la infracción.
  33. f)Volumen de facturación a que afecte la infracción cometida.
  34. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En relación con los criterios de graduación de las sanciones recogidos en el transcrito artículo 40 de la LSSI, a la vista de las evidencias obrantes en el procedimiento sancionador, se considera que en este supuesto actúa como agravante el criterio
  35. a)del mencionado artículo, por cuanto se ha producido una falta de diligencia por parte de IBERIA al usar la dirección de correo electrónico del reclamante para remitirle cinco comunicaciones comerciales, ello a pesar de que dicha compañía le había confirmado la cancelación de sus datos personales y de que le resulta exigible un mayor control del cumplimiento y especial conocimiento de las exigencias contenidas en el artículo 21 de la LSSI, dado que en el desarrollo de su actividad está habituada al envío de correos electrónicos comerciales y a responder al ejercicio de los derechos personales de los interesados. Paralelamente, se valoran como atenuantes los criterios
  36. d)y
  37. e)recogidos en el citado artículo 40 de la LSSI, ante la falta de constancia de que el reclamante, en este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 caso el destinatario de dichos correos electrónicos comerciales, haya sufrido perjuicios como consecuencia de la recepción de tales envíos o de que la entidad remitente de los mismos haya obtenido beneficios a raíz de la comisión de la infracción descrita. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL, por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  38. d)de la LSSI, una multa de 5.700 € (Cinco mil setecientos euros), de conformidad con lo establecido en los artículos 39.1.
  39. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  40. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Finalmente, se señala que conforme a lo previsto en el art. 90.3
  41. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.