PS-00375-2013

1/9 Procedimiento Nº PS/00375/2013 RESOLUCIÓN: R/02552/2013 En el procedimiento sancionador PS/00375/2013, instruido por la Agencia Española de Protección de Datos a la entidad COSTA GALERA EXPLOTACIONES TURISTICAS S.L., FLAYBOX S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 29 de junio de 2012 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: <<Envío de correo electrónico publicitario tras solicitud de baja. Desde hace más de 6 meses la empresa www.flaybox.com a través del email info@flaybox.es me envía cada semana al menos 3 correos con promociones y ofertas. Les he avisado en innumerables ocasiones que quiero darme de baja de sus servicios de notificación y no recibo contestación alguna y siguen enviándome los emails promocionales que acaban saturándome el correo personal .............@gmail.com los marco como spam en mi bandeja de entrada de gmail, pero aun así, los correos siguen llegando y no sé como lo hacen>> Mediante escrito con entrada en fecha 8/8/2012 el denunciante aporta copia de las cabeceras de internet de varios correos electrónicos, copia de un correo electrónico enviado el 6/5/2012 a info@flaybox.com y acreditación de figurar en la Lista Robinson. En fechas 7/2/2013 y 19/2/2013 se solicita al denunciante nueva mejora, aportando en fecha 21/2/2012 copias de varios correos electrónicos recibidos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad COSTA GALERA EXPLOTACIONES TURISTICAS S.L., FLAYBOX S.L., teniendo conocimiento de los siguientes extremos: 1. Aporta el denunciante copia de los siguientes correos electrónicos recibidos en la cuenta 1) Correo electrónico de fecha 18/1/2012 (21:19) emitido desde la cuenta de correo electrónico ofertas@publicidad........... con destino a la cuenta .............@gmail.com y con el asunto “Flaybox 800HD soro 129 euros”. Según las cabeceras de internet aportadas, el correo fue enviado desde la dirección IP ***IP.1. 2) Correo electrónico de fecha 3/2/2012 (6:27) emitido desde la cuenta de correo electrónico ofertas@publicidad........... con destino a la cuenta .............@gmail.com y con el asunto “Oferta especial Skybox S11 solo 59 euros oferta valida las próximas 24H”. Según las cabeceras de internet aportadas, el correo fue enviado desde la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 dirección ***IP.1. 3) Correo electrónico de fecha 10/2/2012 (9:49) emitido desde la cuenta de correo electrónico ofertas@publicidad........... con destino a la cuenta .............@gmail.com y con el asunto “Openbox S10 Solo 9 euros Oferta valida las próximas 24H”. Según las cabeceras de internet aportadas, el correo fue enviado desde la dirección IP ***IP.1. 4) Correo electrónico de fecha 10/2/2012 (23:48) emitido desde la cuenta de correo electrónico ofertas@publicidad........... con destino a la cuenta .............@gmail.com y con el asunto “Oferta VU+SOLO 149 euros oferta valida deI 13 al 19 de febrero”. Según las cabeceras de internet aportadas, el correo fue enviado desde la dirección IP ***IP.1. 5) Correo electrónico de fecha 27/4/2012 (1:55) emitido desde la cuenta de correo electrónico info@flaybox.com con destino a la cuenta .............@gmail.com y con el asunto “MAX+SOLO 99 EUROS COMPATIBLE VU+SOLO”. Según las cabeceras de internet aportadas, el correo fue enviado desde la dirección IP ***IP.2. 6) Correo electrónico de fecha 28/5/2012 emitido desde la cuenta de correo electrónico info@flaybox.es con destino a la cuenta .............@gmail.com y con el asunto “REGALAMOS 100 UDS. CRISTOR ATLAS ETHERNET”. Según las cabeceras de internet aportadas, el correo fue enviado desde la dirección IP ***IP.3. 7) Correo electrónico de fecha 1/7/2012 (20:03) emitido desde la cuenta de correo electrónico info@flaybox.com con destino a la cuenta .............@gmail.com y con el asunto “MAS DUO SOLO 179 EUROS MAX SOLO 99 EUROS”. Según las cabeceras de internet aportadas, el correo fue enviado desde la dirección IP ***IP.4. 8) Correo electrónico de fecha 2/7/2012 (19:42) emitido desde la cuenta de correo electrónico info@flaybox.com con destino a la cuenta .............@gmail.com y con el asunto “DM 800 HD SE SOLO 169 EUROS”. Según las cabeceras de internet aportadas, el correo fue enviado desde la dirección IP ***IP.4. 9) Correo electrónico de fecha 3/7/2012 (1:26) emitido desde la cuenta de correo electrónico info@flaybox.com con destino a la cuenta .............@gmail.com y con el asunto “Max Solo 99 euros”. Según las cabeceras de internet aportadas, el correo fue enviado desde la dirección IP ***IP.4. En todos los mensajes aparece como servidor de correo electrónico smtp.1and1.es. 2. Aporta el denunciante copia de un correo electrónico emitido en fecha 6/5/2012 desde su cuenta .............@gmail.com con destino a la cuenta info@flaybox.com mediante el cual solicitaba el cese en el envío de correos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 electrónicos no solicitados. No consta recepción del mismo. 3. Mediante diligencia de fecha 19/3/2013 se comprueba que: 1) Intentado un acceso al sitio web www.flaybox.com el acceso se redirige automáticamente al sitio web soloconsola.com. 2) Intentado un acceso al sitio web www.flaybox.es se comprueba que el acceso se redirige automáticamente al sitio web soloconsola.com. 3) En el sitio web www.soloconsola.com consta una página titulada POLITICA DE PRIVACIDAD en la que aparece la referencia a FLAYBOX S.L. con CIF ******** y domicilio en (C/..................1) Córdoba. 4) En el DNS consta el dominio flaybox.com registrado a nombre de Dª B.B.B.. Consta igualmente consta el dominio flaybox.es registrado a nombre de Dª B.B.B.. Por otra parte, el dominio soloconsola.com figura registrado a nombre de FLAYBOX S.L. 5) En el Registro Mercantil Central figura inscrita la entidad FLAYBOX S.L. con CIF ******** y domicilio en (C/..................1) Córdoba. 4. Solicitada información a FLAYBOX S.L. en el domicilio sito en (C/..................1) Córdoba, la carta ha sido devuelta por el servicio de Correos como “Desconocido”. 5. Solicitada información a TELEFONICA DE ESPAÑA S.A.U. la entidad informa únicamente acerca de la asignación de la dirección IP. ***IP.4 en fechas 1/7/2012 (20:03), 2/7/2012 (19:42) y 3/7/2012 (1:26), como asignadas a COSTA GALERA EXPLOTACIONES TURISTICAS S.L. con domicilio en (C/..................2) (Málaga). CP ***CP.1. 6. Solicitada información a 1&1 Internet España S.L.U. para que acredite haber cursado los mensajes aportados por el denunciante, la entidad no ha aportado información alguna en este sentido, si bien informa que los dominios publicidadflaybox.com e flaybox.com estuvieron registrados a nombre de Dª B.B.B.. 7. Solicitada información a Dª B.B.B. mediante escrito de fecha 7/6/2013, no se ha recibido contestación alguna. 8. Mediante diligencia de fecha 21/6/2013 se comprueba que las direcciones IP ***IP.1 y ***IP.4 están localizadas en Fuengirola (Málaga). TERCERO: Con fecha 26 de junio de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a COSTA GALERA EXPLOTACIONES TURISTICAS S.L. con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal,, por la presunta infracción del artículo 21 de la LSSI, tipificada como grave en el artículo 38.3

1. c)de la citada Ley. CUARTO: Notificado el citado Acuerdo de inicio, COSTA GALERA EXPLOTACIONES TURISTICAS S.L., presentó alegaciones en las que señaló que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 No tiene relación alguna con los hechos. Tan solo es titular de la dirección IP que hacía referencia a una línea ADSL que está ubicada en los apartamentos que alquila. Éstos fueron alquilados a una entidad sucesora de FLAYBOX con el mismo administrador, que es la que ha debido de estar implicada en los hechos. Estas circunstancias se hubieran aclarado si se les hubiera requerido información previa, y no como señala el acuerdo de inicio, que aduce de error. QUINTO: En fecha 21/08/2013, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, en el que se dio por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante COSTA GALERA EXPLOTACIONES TURISTICAS S.L., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04996/2012 y las alegaciones al acuerdo de inicio PS/00375/2013 presentadas por COSTA GALERA EXPLOTACIONES TURISTICAS S.L., y la documentación que a ellas acompaña. SEXTO: En fecha de 26/09/2013 el Instructor del Procedimiento emitió Propuesta de Resolución en el sentido de que por Director de la Agencia Española de Protección de Datos se ARCHIVE el procedimiento a COSTA GALERA EXPLOTACIONES TURISTICAS S.L., por no existir ostentar la cualidad de Prestador de Servicios de la Sociedad de la Información de acuerdo con la LSSI SEPTIMO: De las actuaciones practicadas en el presente procedimiento han quedado acreditados los siguientes HECHOS PROBADOS UNO.- Resulta acreditado que en fechas de 18/01/2012, 03/02/2012, 10/02/2012 en este día en dos ocasiones, se remitieron comunicaciones comerciales cuyo destinatario era .............@gmail.com desde la cuenta de correo ofertas@publicidad........... desde la dirección IP ***IP.1. DOS.- Resulta acreditado que en fechas de 27/04/2012, 28/05/2012, 01/07/2012,02/07/2012, 03/07/2012 se remitieron comunicaciones comerciales cuyo destinatario era .............@gmail.com desde la cuenta de correo info@flaybox.com desde las respectivas direcciones IP ***IP.2; ***IP.3.; ***IP.4; ***IP.4; ***IP.4 TRES.- Los dominios publicidadflaybox.com y flaybox.com están a nombre de B.B.B. que ha manifestado que son utilizados por la entidad FLAYBOX. S.L. CUATRO.- Las direcciones IP desde las que se enviaron los correos comerciales de fechas uno, dos y tres de julio de 2012 (***IP.4) corresponden a COSTA GALERA EXPLOTACIONES TURISTICAS. SL. CINCO.- COSTA GALERA EXPLOTACIONES TURISTICAS, S.L., formalizo un contrato de cesión de uso de vivienda con una vigencia desde el 1/09/2011 hasta el 01/08/2012, con C.C.C., que ostentó el cargo de administrador de la entidad FLAYBOX, S.L. desde el 02/12/2011 hasta el 15/010/2012. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 FUNDAMENTOS DE DERECHO I La competencia para sancionar por la comisión de las infracciones tipificadas en el artículo 38.4.
2. d)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. La LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. La Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), modificada por la Directiva 2009/136/CE del Parlamento Europeo y del Consejo, de 25 de noviembre, introdujo en el conjunto de la Unión Europea el principio de “opt in”, es decir, la necesidad de contar con el consentimiento previo del destinatario para el envío de comunicaciones electrónicas con fines C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 comerciales. De este modo, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
3. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
4. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
5. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 cuando sean elaboradas por un tercero y sin contraprestación económica”. IV De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
6. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
7. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario”. Dicha definición se refiere, tal y como se expresa en el Considerando 17 de la citada Directiva 2000/31/CE del parlamento Europeo y del Consejo, de 8 de junio, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior (Directiva sobre el comercio electrónico), a “cualquier servicio prestado normalmente a título oneroso, a distancia, mediante un equipo electrónico para el tratamiento (incluida la comprensión digital) y el almacenamiento de datos, y a petición individual de un receptor de un servicio”, añadiendo que estos servicios cuando “no implica tratamiento y almacenamiento de datos no están incluidos en la presente definición”. V En el presente supuesto, se inicio el procedimiento contra COSTA GALERA sin que ésta ostente la cualidad de Prestador de Servicios de la Sociedad de la Información, de acuerdo con la definición de estos servicios. De acuerdo con la documentación obrante en el expediente, existen elementos suficientes para situar a FLYBOX como responsable de los envíos analizados, tales como que el dominio de las direcciones de correo desde las que se envían éstos son falybox.com flaybox.es; y estando a nombre de B.B.B., ésta ha informado que corresponden a la entidad FLAYBOX S.L, asimismo, la publicidad que consta en los mensajes recibidos constan productos de la marca comercial Flaybox. En conclusión FLAYBOX remitió las comunicaciones comerciales por medios electrónicos lo que la sitúa bajo los mandatos de la LSSI. COSTA GALERA es únicamente la titular de la línea ADSL desde la que se enviaron 3 de las 8 comunicaciones comerciales señaladas por el denunciante, debido a que arrendó el inmueble a un tercero representante de FLAYBOX, S.L en concreto C.C.C. y fue éste quien en beneficio de la citada mercantil remitió las comunicaciones comerciales. Por tanto no puede exigírsele responsabilidad alguna por los hechos analizados a COSTA GALERA, ya que no participo en los mismos de modo directo ni está sujeto, en el caso analizado, a las obligaciones que la LSSI impone. Pues de otro modo se vulneraria el principio de personalidad de la sanción. El principio de personalidad de la sanción ha sido consagrado por el Tribunal Constitucional en la STC 219/1988, como principio de responsabilidad por hechos propios. El respeto al principio de personalidad exige un nexo casual entre el hecho constitutivo de la infracción y la persona responsable. La cuestión radica en analizar la especial configuración que el hecho infractor tiene en Derecho Administrativo Sancionador. La tipificación de las infracciones administrativas trata en definitiva, por lo general, de proteger el cumplimiento del Ordenamiento Jurídico, y de sancionar, por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 tanto, su incumplimiento, a diferencia de lo que ocurre con las infracciones penales, que sancionan la lesión o puesta en peligro de un bien jurídico protegido, sin que haya, por lo general una norma sustantiva subyacente que imponga la obligación que haya sido vulnerada. Si en consecuencia, el hecho infractor consiste en un incumplimiento de la norma (y no es una lesión aun bien jurídico), sólo el titular de tal obligación estará, en principio capacitado para cometer la infracción, en este caso están obligados a los mandatos de la LSSI, aquellos que según sus definiciones presten algún Servicio de la Sociedad de la Información. La exigencia de responsabilidad a quien no sea titular de la obligación incumplida vulneraría, por tanto, el principio de personalidad, pues no corresponde al no titular cumplir la obligación, ni por ende, se le puede hacer responder de su incumplimiento, como ocurre en el presente caso con COSTA GALERA, que no es titular de obligación alguna respecto del envido de comunicaciones comerciales por medios electrónicos en el caso analizado. Ello explica que, a efectos de determinar la imputación de una infracción a una persona determinada, lo relevante sea la indagación previa de la titularidad de la obligación que subyace al tipo, en este caso, el prestador de Servicios de la Sociedad de la Información, es decir, FLAYBOX, S.L. De acuerdo con lo expuesto procede el archivo del presente expediente contra COSTA GALERA, al no haberse acreditado relación directa entre los envíos comerciales analizados y la entidad inicialmente imputada, que no ostenta en el presente caso, la cualidad de Prestador de Servicios de la Sociedad de la Información, de acuerdo con las definiciones de la LSSI, no obstante se inician las Actuaciones Previas de Inspección nº E/6779/2013 contra la mercantil FLAYBOX, S.L. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador a la entidad COSTA GALERA EXPLOTACIONES TURISTICAS S.L por inexistencia de incumplimiento del art. 21 de la LSSI, tipificado como grave en el art. 38.3
8. c)de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a COSTA GALERA EXPLOTACIONES TURISTICAS S.L., FLAYBOX S.L., y a A.A.A.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es