← España

PS-00384-2024

1/22  Procedimiento Nº: EXP202406036 (PS/00384/2024) RESOLUCIÓN DEL PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 18/03/24, A.A.A. (el reclamante), presenta escrito de reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad AD735 DATA MEDIA ADVERTISING, S.L. (AD735), con CIF.: B87781795, (en adelante, la parte reclamada), por la presunta vulneración de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). La parte reclamante manifiesta que desde esta empresa le envían continuamente mensajes publicitarios. Que solicitó la baja de comunicaciones a través del enlace que aparece en la parte inferior de sus mensajes, haciendo caso omiso pues cada vez envían más correos y que pertenece a la lista Robinson desde marzo de 2023. Junto al escrito de reclamación, se acompaña la siguiente documentación: - Fechado el 26/02/24 copia del correo electrónico enviado desde la dirección DEUDAFENIX vía ad735 (***EMAIL.1) a la dirección de correo ***EMAIL.2 conteniendo el siguiente mensaje publicitario: o - Fechado el 14/03/24 copia del correo electrónico enviado desde la dirección UOC vía AD735 (***EMAIL.1) a la dirección de correo ***EMAIL.2 conteniendo el siguiente mensaje publicitario: o - “Comienza ya tu máster online: ¡Impulsamos tu carrera…” Fechado el 14/03/24 copia del correo electrónico enviado desde la dirección Viajes El Corte Inglés vía AD735 vía AD735 (***EMAIL.1) a la dirección de correo ***EMAIL.2 con el siguiente mensaje: o - “Elimina los embargos y sal de ASNEF: “Cancelamos tu deuda con la Ley de la 2ª Oportunidad”… “Descubre los mejores destinos paradisiacos…” Fechado el 16/03/24 copia del correo electrónico enviado desde la dirección Línea Directa vía AD735 vía AD735 (***EMAIL.1) a la dirección de correo ***EMAIL.2 con el siguiente mensaje publicitario: o C/ Jorge Juan, 6 28001 – Madrid “Descubre el mejor precio en tu seguro…” www.aepd.es sedeagpd.gob.es 2/22 - Fechado el 18/03/24 copia del correo electrónico enviado desde la dirección Iberdrola Ofertas vía AD735 vía AD735 (***EMAIL.1) a la dirección de correo ***EMAIL.2 con siguiente mensaje: o - “No más subidas en tu factura de la luz y gas. Este mes hasta 100 euros de descuento con tu plan…” En todos los correos electrónicos aparece, en la parte inferior de los mismos, la opción de darse de baja: o “De conformidad con lo dispuesto en la normativa vigente en materia de protección de datos de carácter personal, el Reglamento General de Protección de Datos 2016/679, y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, le informamos que sus datos personales forman parte de un fichero automatizado del que es responsable AD735 DATA MEDIA ADVERTISING, S.L., con CIF B87781795, y domicilio en la Cl. Ibersierra, 15, bajo de 28440 Guadarrama, Madrid. Si usted no desea continuar recibiendo comunicaciones comerciales, puede ejercitar sus derechos de supresión y oposición al tratamiento de sus datos personales dirigiéndose por correo postal a la dirección indicada, a la dirección bajas@ad735.es, o en www.ad735.es/bajas Si Usted desea ejercer los derechos de acceso, rectificación, portabilidad de sus datos y los de limitación a su tratamiento le rogamos acceda al siguiente enlace www.ad735.es/derechosRGPDAD735.pdf “. - Pantallazo de la página donde aparece un formulario para solicitar la supresión de los datos personales: https://www.ad735.es/bajas/?utm_content=MPW_Iberdrola_t2o_Marzo2024 SEGUNDO: Con fecha 18/04/24, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, (LOPDGDD), por parte de esta Agencia, se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que se exponía en el escrito de reclamación. El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), mediante notificación electrónica, produciéndose el acceso al contenido de la notificación el 23/04/24 según consta en el expediente. TERCERO: Con fecha 23/05/24, la entidad reclamada presenta escrito de contestación en el que manifiesta, respecto a la reclamación presentada, lo siguiente: - Que el 02/04/24, el reclamante ejercitó su derecho de supresión de datos personales ante AD735 dirigiendo un correo electrónico a la dirección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/22 ***EMAIL.3, siendo eliminados de los ficheros internos el 03/04/24 y notificados a los encargados del tratamiento el 08/04/24. - Que el reclamante presentó su queja ante la AEPD el 18/03/24, antes de dirigirse a AD735 y sin esperar el plazo legal de un mes para recibir respuesta. - Que, tras recibir la solicitud de supresión, AD735 procedió conforme a lo estipulado en el RGPD y que no existió perjuicio alguno hacia el reclamante. - Sobre las circunstancias que han motivado la incidencia que ha originado la reclamación argumenta que en el pie de las comunicaciones enviadas se incluye información para que los receptores puedan ejercitar sus derechos y que en ningún momento se han recibido correos electrónicos del reclamante en el buzón habilitado al efecto (bajas@ad735.

  1. es)ni a través del formulario web y por tanto las comunicaciones programadas previas a la solicitud de supresión del día 02/04/24 pudieron ser enviadas tras la recepción de la solicitud. - Que, no obstante, AD735 ha implementado controles internos para evitar fallos en el sistema como auditorías periódicas de los procesos de atención a derechos y mejoras en los sistemas de comunicación, incluyendo una actualización en la accesibilidad de las políticas de privacidad y los canales habilitados. Por último, solicita el archivo del procedimiento sin imposición de sanción, considerando que cumplió con los requisitos normativos, respetó los derechos del reclamante y no causó perjuicio alguno. Junto con el escrito de información, la reclamada adjunta la siguiente documentación: - Fechado el 02/04/24, copia del correo electrónico enviado desde la dirección ***EMAIL.2 a la dirección de correo ***EMAIL.3 con el Asunto: “Baja supuesta suscripción” y con el siguiente mensaje: Solicito por tercera vez que me dejen de enviar correos electrónicos. - Fechado el 21/05/24, copia del documento con el título “CERTIFICADO DE OBTENCIÓN DE DATOS PERSONAL” dirigido al reclamante y donde se le informa del estado de los datos personales obrantes en la entidad. En dicho documento, aparece, entres otra, la siguiente información: C/ Jorge Juan, 6 28001 – Madrid o II.- COPIA DE LOS DATOS PERSONALES OBJETO DE TRATAMIENTO.- Los datos personales objeto de tratamiento por parte de AD735 DATA MEDIA ADVERTISING son los siguientes: Correo electrónico: ***EMAIL.2 Dirección IP: (...). Estos datos de carácter personal fueron obtenidos en la siguiente fecha: Fecha Obtención: 23/03/2022 19:28 o III.- PROCEDENCIA DE LOS DATOS PERSONALES OBJETO DE TRATAMIENTO.- Sus datos de carácter personal que figuran en el fichero de AD735 DATA MEDIA ADVERTISING denominado PREMIUM SALES, han sido obtenidos a través de los formularios habilitados en el sitio web www.premium-sales.es, del que es titular. En el formulario de www.aepd.es sedeagpd.gob.es 4/22 participación recibido consta que el usuario otorgó a AD735 DATA MEDIA ADVERTISING el consentimiento libre y expreso para el tratamiento de sus datos personales con fines de mercadotecnia, y la cesión de sus datos a terceros para estos fines, mediante la aceptación de la política de privacidad, las condiciones de uso y las bases del sorteo aplicables en ese momento, accesibles en el sitio web… - Fechado el 21/05/24, copia del documento con el título “CERTIFICADO DE SUPRESION DE DATOS DE CARÁCTER PERSONAL” dirigido al reclamante donde le informan que sus datos han sido borrados con fecha 03/04/24, como respuesta a la solicitud de cancelación recibida el 02/04/24. CUARTO: Con fecha 18/06/24, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Con fecha 09/09/24, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta vulneración del artículo 21.1 de la LSSI, tipificada como leve en el art. 38.4.d), de la citada norma por el envío de comunicaciones comerciales no solicitadas o expresamente autorizadas. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, atendidas las evidencias existentes en ese momento y sin perjuicio de lo que resultase de la instrucción ascendería a un total de 10.000 (diez mil euros). SEXTO: Con fecha 11/10/24, se recibe en esta Agencia escrito de alegaciones a la incoación del expediente donde, en síntesis, se indica lo siguiente: Manifiesta que el reclamante ejecutó la solicitud de supresión de datos el 03/04/24, un día después de recibirla se procedió al bloqueo inmediato de los datos personales conforme al artículo 32 de la LOPDGDD, garantizando su inaccesibilidad salvo para fines legalmente previstos. Se alega la vulneración del principio de presunción de inocencia, al basarse la apertura del procedimiento en una simple manifestación del reclamante sin prueba racional alguna de infracción. Se invoca jurisprudencia de la Audiencia Nacional (Sentencia de 22/02/2022, rec. 26/2020), que establece que la carga de la prueba corresponde a quien acusa y que la ausencia de pruebas debe traducirse en un pronunciamiento absolutorio y manifiesta que la AEPD debe inadmitir reclamaciones que no aporten indicios racionales de infracción, conforme al artículo 65 de la LOPDGDD. Manifiesta que la AEPD no puede tramitar reclamaciones si el afectado no ha ejercido previamente su derecho ante la entidad o no ha esperado el plazo legal para recibir respuesta. Circunstancias que concurren en el presente caso. Junto al escrito de alegaciones, la reclamada presenta la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/22 - Copia del documento etiquetado por la reclamada como, “Doc. Uno.- Fichero registro (log) con los datos de registro del reclamante” donde se puede leer, entre otra información, lo siguiente: o - Copia del documento etiquetado por la reclamada como, “ Doc. Dos.Certificados de tabla de registro y de verificación de email emitidos por el responsable del fichero de datos personales” donde se puede leer, entre otra información, lo siguiente o - Búsqueda: SELECT FROM.- “log_access;” WHERE.- “ip“ LIKE (…); Fecha accion: 2022-03-23; IP(…) Url: http://prb.premium-sales.esisorteosl Acción: acceso “Id: 365; email: ***EMAIL.2 ; fechinsercion: (…); Emailverifique: https://cp.premíum-sales.es/public//profile//verify...” Copia del documento etiquetado por la reclamada como “Doc. Tres.- Modelo de formulario web a través del cual se obtuvo el consentimiento del reclamante”. SEPTIMO: Con fecha 26/11/24 se formuló propuesta de resolución en el sentido de que por la Directora de la AEPD se procediese a sancionar a la entidad AD735 DATA MEDIA ADVERTISING, S.L. (AD735), con CIF.: B87781795, por la infracción del artículo 21 de la LSSI, tipificada como leve en el art. 38.4.
  2. d)de la misma norma con una sanción de 10.000 euros (diez mil euros). La notificación de la citada propuesta de resolución se realizó conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, produciéndose el acceso al contenido de la notificación el 26/11/24, según consta en el expediente. OCTAVO: Con fecha 18/12/24, se recibe en esta Agencia escrito de alegaciones a la propuesta de resolución, en el cual se manifiesta lo siguiente: Primero.- REITERACIÓN DE LAS ALEGACIONES YA REALIZADAS.- Nos reiteramos en todo lo manifestado en nuestro escrito a de alegaciones a la propuesta de sanción dictada en el presente procedimiento. Segundo.- CUMPLIMIENTO CON LA NORMATIVA EN MATERIA DE PROTECCIÓN DE DATOS.- AD735 se reafirma en su cumplimiento riguroso con las disposiciones legales aplicables en materia de protección de datos: 1. El Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante, RGPD), particularmente en lo relativo a la licitud, lealtad y transparencia en el tratamiento de datos personales, la protección de los derechos de los interesados y la implementación de medidas técnicas y organizativas adecuadas. 2. La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/22 3. La Ley 34/2002, de Servicios de la Sociedad de la Información y Comercio Electrónico (en adelante, LSSI), en lo referente a la obtención del consentimiento para el envío de comunicaciones comerciales. La documentación aportada al expediente, incluida la certificación del consentimiento y las evidencias sobre el tratamiento de datos personales, acredita que AD735 ha operado conforme a estas normativas. AD735 ha implementado todas las medidas necesarias y exigidas por el RGPD y la LOPDGDD. Estas medidas incluyen: 1. La obtención de un consentimiento válido: La entidad ha cumplido con lo establecido en el artículo 4.11 del RGPD y las directrices 5/2020 del Comité Europeo de Protección de Datos (CEPD), garantizando que el consentimiento de los interesados es libre, específico, informado e inequívoco. Esto se verifica a través de la documentación aportada y las prácticas internas que aseguran que los interesados tengan control y capacidad de decisión sobre sus datos. 2. La información transparente y adecuada: Se ha proporcionado información clara y accesible, conforme a los artículos 12 y 13 del RGPD, sobre las finalidades del tratamiento, la base jurídica, y los derechos de los interesados, tal y como se exige en la normativa aplicable. 3. La implantación de medidas técnicas y organizativas: La entidad ha adoptado políticas de privacidad, protocolos de seguridad, y procedimientos de atención a los derechos de los interesados (acceso, rectificación, cancelación, oposición, entre otros), en cumplimiento de lo dispuesto en los artículos 24 y 32 del RGPD. Tercero.- ACREDITACIÓN DEL CONSENTIMIENTO. De acuerdo con lo establecido en el artículo 7 del RGPD, AD735 ha demostrado que el consentimiento de los interesados se ha recabado de manera clara, verificable y conforme a las exigencias legales. 1. Evidencias documentales: Se ha aportado copia de los registros de consentimientos obtenidos mediante las plataformas utilizadas para las actividades de tratamiento. Estos registros contienen las fechas, el contenido de las cláusulas informativas y los mecanismos utilizados para que los interesados manifestaran su conformidad. 2. Cumplimiento de requisitos formales: La obtención del consentimiento se ha realizado mediante declaraciones afirmativas, eliminando cualquier posibilidad de ambigüedad o error, cumpliendo con las exigencias del artículo 4.11 del RGPD y las directrices del CEPD. 3. Procedimientos de retirada del consentimiento: AD735 ha habilitado mecanismos sencillos, gratuitos y accesibles para que los interesados puedan revocar su consentimiento en cualquier momento, tal y como exige el artículo 7.3 del RGPD. AD735 ha recabado y registrado el consentimiento del reclamante, tal como exige el artículo 7 del RGPD y las Directrices 5/2020 del Comité Europeo de Protección de Datos (CEPD) sobre el consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/22 1. Obtención válida y demostrable del consentimiento: La documentación aportada, que incluye el registro (log) de la interacción del reclamante con el formulario de consentimiento, los registros e interacciones recogidas en los servidores de AD735 donde se comprueba que el usuario accedió a la política de privacidad, acredita que el interesado otorgó un consentimiento informado, específico y verificable. 2. Evidencias presentadas: o Registro de la fecha, hora, dirección IP y correo electrónico del reclamante, asociado al consentimiento prestado el 23 de marzo de 2023. o Copia del formulario de inscripción, fichero log y registros de los servidores de AD735, dejando constancia de las condiciones aceptadas por el interesado. o Certificado de supresión de datos, que confirma la tramitación de la solicitud de baja presentada por el reclamante. 3. Procedimientos de baja y atención a derechos: En todas las comunicaciones comerciales efectuadas siendo responsable del tratamiento AD735 se incluye información clara y accesible para que los interesados puedan ejercitar sus derechos, incluyendo la baja inmediata de dichas comunicaciones. La entidad ha demostrado la diligencia en la tramitación de la solicitud de baja. Cuarto.- ACLARACIÓN DE LA DOCUMENTACIÓN APORTADA. I.- Reconociendo el carácter técnico de los procedimientos y las posibles interpretaciones derivadas de la documentación presentada, podría haber existido una insuficiencia y/o deficiencia en la explicación de los documentos aportados en este expediente. Sin embargo, ello no implica un incumplimiento de la normativa. La entidad alegante desea destacar que, en cumplimiento de las exigencias del artículo 7 del RGPD y de las Directrices 5/2020 del CEPD relativas al consentimiento, ha presentado documentación que respalda la licitud y adecuación del tratamiento de datos personales del reclamante. Específicamente, se han aportado los siguientes documentos: 1. Documento Uno: Fichero registro (log) con los datos de registro del reclamante. Este registro incluye información específica sobre el acceso del reclamante al formulario de obtención de datos en el sitio web gestionado por la entidad, incluyendo: o La dirección IP utilizada por el reclamante. o La fecha y hora exactas del acceso. o La URL concreta en la que se realizó la interacción, reflejando el flujo del proceso en el momento de la inscripción. 2. Documento Dos: Certificados de tabla de registro y de verificación de email emitidos por el responsable del fichero de datos personales. Este certificado confirma: o La autenticidad del registro del correo electrónico del reclamante. o El momento de su verificación, acompañado de la dirección IP y fecha del acto de verificación. o La relación directa entre el registro y el consentimiento para las actividades de mercadotecnia. 3. Documento Tres: Modelo de formulario web a través del cual se obtuvo el consentimiento del reclamante. Este modelo refleja el diseño del formulario utilizado para recopilar el consentimiento. Incluye: o Casillas específicas que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/22 interesado debía marcar de forma proactiva para aceptar la recepción de comunicaciones comerciales. o Información clara y accesible sobre las finalidades del tratamiento y los derechos del interesado. II.- Conforme al considerando 42 del RGPD, el consentimiento debe ser demostrable, sin que se establezca un rigor formalista o unos medios o mecanismos tasados, lo que implica que el responsable del tratamiento debe conservar un registro adecuado que pruebe que el interesado otorgó dicho consentimiento de manera libre, específica, informada e inequívoca. Además, las Directrices 5/2020 del CEPD, en sus puntos 105 a 108, establecen que: 1. El consentimiento debe ser verificable mediante registros que permitan demostrar: o Quién otorgó el consentimiento. o Cuándo, cómo y para qué finalidad. Qué información fue proporcionada en el momento del consentimiento. 2. La documentación aportada por el responsable del tratamiento debe incluir registros claros, precisos y completos que permitan acreditar el contexto en el que se otorgó el consentimiento. En el presente expediente, la propuesta de sanción señala que la documentación presentada por AD735 no cumple plenamente con estos requisitos, argumentando la insuficiencia de los elementos aportados, especialmente por tratarse de un modelo de formulario sin pruebas concluyentes de que el reclamante marcara las casillas correspondientes para otorgar su consentimiento. Sin embargo, esta valoración pasa por alto varios elementos fundamentales que desvirtúan tal conclusión, además del hecho de que el formulario aportado es un formulario muestra del que el reclamante completó en el momento de otorgar el consentimiento, esto es así ya que AD735 no recibe ninguna imagen del formulario sino el fichero log aportado, además de la grabación de los datos del reclamante en sus servidores y que se ha adjuntado (Documento Dos). III.- En cuanto a la valoración de los elementos presentados: 1. Sobre el Documento Uno: El registro (log) evidencia la interacción del reclamante con el sistema de obtención de datos, incluyendo su dirección IP y el momento exacto de acceso. Este registro cumple con las exigencias de las Directrices 5/2020, al permitir vincular el consentimiento otorgado con un evento verificable en tiempo y forma. 2. Sobre el Documento Dos: Los certificados de registro y verificación de correo electrónico garantizan que el email asociado al reclamante fue registrado y confirmado a través de mecanismos adecuados. Este procedimiento refuerza la seguridad y fiabilidad de los datos obtenidos. 3. Sobre el Documento Tres: El modelo de formulario refleja el diseño específico empleado para la obtención del consentimiento. Aunque el formulario es un modelo genérico, incluye casillas de aceptación activa y una estructura que cumple con los principios de transparencia exigidos por el art 12 RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/22 IV.- Por todo ello entendemos que los documentos presentados se deben valorar como un conjunto de pruebas que demuestran razonablemente el consentimiento del reclamante, especialmente considerando que: 1. Se han seguido prácticas ajustadas a la normativa aplicable, incluyendo la trazabilidad y verificación de los datos, así como la conservación de los registros. 2. Se ha adoptado una diligencia proactiva en la implementación de mecanismos de seguridad y transparencia, asegurando la trazabilidad del consentimiento. 3. La posible insuficiencia formal de alguno de los elementos no desvirtúa el cumplimiento sustancial de los requisitos legales, ya que la ausencia de un log específico del momento de marcación de las casillas no elimina el resto de las evidencias aportadas. Es por ello por lo que instamos al instructor del expediente a considerar que la documentación presentada cumple con los estándares razonables de demostración del consentimiento y que, en caso de considerar mayor formalización, se ofrezca la posibilidad de complementar los elementos aportados en lugar de adoptar medidas sancionadoras desproporcionadas. Quinta.- GRADUACIÓN DE LA SANCIÓN PROPUESTA. De conformidad con el artículo 83 del RGPD y el artículo 76 de la LOPDGDD, la graduación de una posible sanción debe considerar no solo factores agravantes, sino también factores atenuantes como lo son la ausencia de intencionalidad, la diligencia proactiva y la inexistencia de perjuicios efectivos para los derechos del reclamante. En este sentido: 1. Ausencia de daño o perjuicio significativo: No se ha producido un daño o perjuicio tangible hacia el reclamante derivado de las actuaciones de la entidad. 2. Medidas correctivas implementadas: La entidad ha reforzado sus sistemas de gestión de consentimiento y atención a derechos, con auditorías periódicas y mejoras en la accesibilidad de los mecanismos de acceso, supresión y demostración de los consentimientos obtenidos. Sexta.- PRINCIPIO DE PRESUNCIÓN DE INOCENCIA.- La entidad alegante desea subrayar la plena vigencia del principio de presunción de inocencia en el ámbito administrativo sancionador, incluyendo los procedimientos relacionados con la protección de datos personales. Este principio, consagrado en el artículo 24.2 de la Constitución Española y reconocido de manera reiterada por el Tribunal Constitucional, constituye un derecho fundamental que protege a cualquier persona o entidad frente a sanciones administrativas sin pruebas claras y concluyentes de su responsabilidad. En el contexto administrativo sancionador, el principio de presunción de inocencia implica que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/22 1. Carga de la prueba: La carga de acreditar la comisión de una infracción recae exclusivamente en la administración sancionadora. Esta debe aportar pruebas de cargo suficientes y válidas que demuestren de manera concluyente la existencia de los hechos constitutivos de la infracción y la responsabilidad de la entidad sancionada. 2. Ausencia de obligación de probar la propia inocencia: El presunto infractor no está obligado a demostrar su inocencia, ya que dicha carga corresponde a quien imputa la comisión de la infracción. 3. Resolución en caso de duda: Ante la existencia de dudas razonables sobre la materialidad de los hechos o sobre la autoría de los mismos, debe prevalecer un pronunciamiento absolutorio, en virtud de este principio. Estos elementos han sido reiterados por la jurisprudencia del Tribunal Constitucional y por la Sala de lo Contencioso-Administrativo del Tribunal Supremo, así como por la Audiencia Nacional en numerosas resoluciones. En el marco del RGPD y la LOPDGDD, el principio de presunción de inocencia adquiere especial relevancia. Las Directrices del CEPD y el régimen sancionador de la LOPDGDD requieren que cualquier decisión sancionadora esté sustentada en pruebas claras, suficientes y verificables, que no dejen duda razonable sobre la infracción. En el presente expediente, los argumentos y las pruebas aportadas por la administración sancionadora no han demostrado de manera concluyente que la entidad haya incumplido con los requisitos de obtención y demostración del consentimiento del reclamante, como exige el artículo 7 del RGPD. En particular: 1. Las evidencias presentadas por la entidad (registro de logs, certificados de verificación y modelo de formulario) son compatibles con un tratamiento de datos conforme a la normativa y no han sido debidamente valoradas en su conjunto por la propuesta de resolución. 2. La propuesta de resolución parte de una interpretación estricta de los requisitos formales de la prueba, sin considerar el conjunto de evidencias aportadas por la entidad y sin valorar la inexistencia de perjuicios concretos. 3. La ausencia de elementos de cargo claros y concluyentes que demuestren que la entidad incumplió con los requisitos legales de obtención de consentimiento hace aplicable el principio de presunción de inocencia, obligando a resolver cualquier duda en favor de la entidad alegante. La Audiencia Nacional, en su Sentencia de 22 de febrero de 2022 (rec. 26/2020), destacó que el principio de presunción de inocencia exige la existencia de pruebas incriminatorias claras, y no meras manifestaciones o indicios, para dictar una resolución sancionadora. En el mismo sentido, la jurisprudencia establece que la simple insuficiencia de la prueba de cargo debe llevar a un pronunciamiento absolutorio. Asimismo, la Sección Primera del Tribunal Constitucional, en su Sentencia 76/1990, de 25 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/22 de abril, concluye que "cualquier insuficiencia en el resultado de las pruebas practicadas debe traducirse en un pronunciamiento absolutorio", destacando que la inexistencia de pruebas claras y suficientes en procedimientos sancionadores vulnera el derecho fundamental a la presunción de inocencia. En virtud del principio de presunción de inocencia, y considerando que no se han aportado pruebas concluyentes sobre la existencia de una infracción por parte de la entidad alegante, se solicita a esta Agencia que archive el presente expediente sancionador. Subsidiariamente, se insta a que, ante la existencia de dudas razonables sobre los hechos imputados, se valore el conjunto de pruebas y se resuelva en favor de la entidad, respetando los derechos fundamentales y principios aplicables al procedimiento administrativo sancionador. SOLICITO A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, que tenga por presentado este escrito junto con sus documentos adjuntos, lo admita, tenga por evacuado, en tiempo y forma, el trámite conferido, y, en virtud de las alegaciones realizadas en el cuerpo del presente documento se sirva de dictar resolución acordando la revocación de la propuesta de sanción y archivo del presente Procedimiento Sancionador EXP202406036 (PS/00384/2024) sin imposición de sanción alguna, expresando además la ausencia de cualquier responsabilidad, por haber sido la actuación de AD735 DATA MEDIA ADVERTISING conforme a la vigente normativa en materia de protección de datos personales, y no haberse conculcado los preceptos recogidos en la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, en especial su artículo 21.1, el Reglamento (UE) 2016/679 de 27 de abril de 2016 (GDPR) y demás normativa de aplicación, así como todo lo demás que en Derecho proceda. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero: Se constata que la entidad responsable del tratamiento de los datos personales vinculados al presente procedimiento es la entidad AD735 DATA MEDIA ADVERTISING, S.L., con CIF.: B87781795. La mencionada entidad figura como titular del fichero automatizado que contiene los datos personales del reclamante, según lo indicado en las comunicaciones comerciales enviadas y en la documentación aportada por la misma. Segundo: Se constatan la existencia de los siguientes correos electrónicos remitidos a la dirección electrónica del reclamante desde la dirección de correo electrónico, <<… vía AD735 (***EMAIL.1)>>, con fecha 26/02/24, comunicación relacionada con servicios de cancelación de deudas y cómo eliminar los datos de los ficheros de solvencia patrimonial, con fecha 14/03/24, comunicación relaciona con un máster online, remitida bajo el nombre de UOC, y con servicios turísticos; con fecha 16/03/24, comunicación comercial referente a seguros y con fecha 18/03/24, comunicación publicitaria sobre servicios energéticos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/22 En todos los correos electrónicos enviados se incluye, en el pie de los mensajes, un apartado informativo que señalaba que los datos personales del destinatario se encuentran en un fichero gestionado por AD735 DATA MEDIA ADVERTISING, S.L. Dicho apartado informa sobre los derechos de oposición y supresión, así como los canales disponibles para su ejercicio, incluyendo un formulario web y direcciones electrónicas específicas. Tercero: La documentación aportada por la entidad reclamada junto al escrito enviado a esta Agencia con fecha 23/05/24, se incluye: - Copia del correo enviado por el reclamante con fecha 02/04/24 donde se solicitaba textualmente lo siguiente: “… por tercera vez que me dejen de enviar correos electrónicos”. - Copia del documento titulado, “CERTIFICADO DE SUPRESION DE DATOS DE CARÁCTER PERSONAL” dirigido al reclamante donde le informan que sus datos han sido borrados con fecha 03/04/24, como respuesta a la solicitud de cancelación recibida el 02/04/24. - Copia del documento titulado, “CERTIFICADO DE OBTENCIÓN DE DATOS PERSONAL”, donde se puede leer, entre otra información la siguiente: o III.- PROCEDENCIA DE LOS DATOS PERSONALES OBJETO DE TRATAMIENTO.- Sus datos de carácter personal que figuran en el fichero de AD735 DATA MEDIA ADVERTISING denominado PREMIUM SALES, han sido obtenidos a través de los formularios habilitados en el sitio web www.premium-sales.es , del que es titular. En el formulario de participación recibido consta que el usuario otorgó a AD735 DATA MEDIA ADVERTISING el consentimiento libre y expreso para el tratamiento de sus datos personales con fines de mercadotecnia, y la cesión de sus datos a terceros para estos fines, mediante la aceptación de la política de privacidad, las condiciones de uso y las bases del sorteo aplicables en ese momento, accesibles en el sitio web www.premium-sales.es , y establecidas de conformidad a la legislación en materia de protección de datos de carácter personal vigente el día 23 de marzo de 2022…” Cuarto: La documentación aportada por la reclamada junto al escrito de alegaciones a la incoación del expediente, enviado a esta Agencia con fecha 11/10/24, incluye: - Copia del documento etiquetado por la reclamada como, “Doc. Uno.- Fichero registro (log) con los datos de registro del reclamante” donde se puede leer, entre otra información, lo siguiente: o C/ Jorge Juan, 6 28001 – Madrid Búsqueda: SELECT FROM.- “log_access;” WHERE.- “ip“ LIKE (…); Fecha accion: 2022-03-23; IP: (…) Url: http://prb.premium-sales.esisorteosl, Acción: acceso www.aepd.es sedeagpd.gob.es 13/22 - Copia del documento etiquetado por la reclamada como, “ Doc. Dos.Certificados de tabla de registro y de verificación de email emitidos por el responsable del fichero de datos personales” donde se puede leer, entre otra información, lo siguiente o - “(…) ; email: ***EMAIL.2; fechinsercion: 2022-03-23 IP: (...) Emailverifique: https://cp.premíum-sales.es/public//profile//verify...” Copia del documento etiquetado por la reclamada como “Doc. Tres.- Modelo de formulario web a través del cual se obtuvo el consentimiento del reclamante”. FUNDAMENTOS DE DERECHO I Competencia. De acuerdo con lo establecido en el artículo 43.1 de la LSSI y lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." La Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Contestación a las alegaciones presentadas Primero: Como respuesta a las alegaciones presentadas en los puntos “primero” y “segundo” del escrito de alegaciones debemos empezar recordando que la reclamación presentada se fundamenta en el envío reiterado de comunicaciones electrónicas comerciales no autorizadas, contraviniendo lo dispuesto en el artículo 21 de la LSSI. El reclamante alegaba, además, haber ejercitado los derechos que se indican en los correos electrónicos enviados, solicitando que cesara el envío de dichas comunicaciones, sin que dicha solicitud hubiera sido atendida. Por su parte, la entidad reclamada sostiene que la solicitud de supresión fue recibida el 02/04/24 y tramitada al día siguiente, el 03/04/24, notificándose esta supresión a los encargados del tratamiento el 08/04/24. Segundo: En los puntos “tres” y “cuatro” del escrito de alegaciones a la propuesta de resolución, la entidad reclamada manifiesta que, a su entender, ha aportado suficientes pruebas de los registros de los consentimientos obtenidos a través de sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/22 plataformas, los cuales incluyen información detallada sobre las fechas de recogida, contenido de las cláusulas informativas y los mecanismos empleados para la manifestación de conformidad de los interesados adjuntando: - como documento Uno: un documento denominado “Fichero log” con detalles del acceso al formulario, incluyendo una dirección IP, fecha y URL específica. donde se puede leer, entre otra información, lo siguiente: Búsqueda: SELECT FROM.- “log_access;” WHERE.- “ip“ LIKE (…); Fecha accion: 2022-03-23; IP: (…); Url: http://prb.premiumsales.esisorteosl; Acción: acceso Como documento Dos: un “Certificados de registro” donde se puede leer, entre otra información, lo siguiente o - o - Id: (…); email: ***EMAIL.2 ; fechinsercion: 2022-03-23 IP:(…); Emailverifique: https://cp.premíum-sales.es/public//profile//verify... Como documento Tres, un pantallazo denominado “Modelo de formulario web”, con los campos vacíos: o DEJANOS TUS DATOS: Desde Premium Sales nos pondremos en contacto contigo a través de email en caso de que resultes premiado…. Correo electrónico… o _ He leído y acepto la Política de Privacidad de AD735. o _ Acepto recibir comunicaciones comerciales por parte de AD735 sobre servicios y productos relacionados con su actividad reflejados en la política de privacidad de AD735. o _ Acepto que AD735 ceda el tratamiento de mis datos a empresas relacionadas con los sectores de actividad que se detallan en la política de privacidad de AD735. <<PARTICIPAR>> Sin embargo, debemos volver a reiterar que estos documentos resultan insuficientes para probar que el consentimiento para enviarle comunicaciones comerciales al reclamante fue otorgado de forma válida, pues no aportan ninguna evidencia concluyente ya que el formulario presentado (Documento Tres) es un modelo en blanco que no acredita que el reclamante marcara las casillas pertinentes en el momento de acceder a la página web, si es que este hecho se produjo. Tampoco, en los documentos uno y dos existen evidencias que demuestren que el reclamante hubiera prestado su consentimiento expreso para que se le pudiera enviar comunicaciones comerciales, ni consta evidencia de que la reclamada tenga implementados procedimientos adecuados para evitar la introducción de datos erróneos o fraudulentos (como verificaciones de identidad robustas o mecanismos antifraude, como pudiera ser el envío una notificación SMS al móvil y una acción inequívoca para verificar la identidad, pues el simple registro de la dirección IP y el nombre de un correo electrónico no es considerado suficiente para demostrar que el reclamante manifestara su consentimiento expreso a recibir comunicaciones comerciales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/22 En este punto, recordemos, tal y como ya se expuso en la incoación del expediente que las Directriz 5/2020 del Comité Europeo de Protección de Datos sobre el consentimiento establece claramente que, el consentimiento debe ser demostrable (punto 105). El responsable del tratamiento debe conservar un registro (log) suficiente, que permita probar que el consentimiento fue otorgado de manera clara y expresamente para recibir comunicaciones comerciales y que no basta con alegar una configuración adecuada del sitio web (punto 108). Es necesario aportar documentación concreta que refleje el momento, el contexto y los términos en los que se obtuvo el consentimiento. En el presente caso, la reclamada no ha presentado documentación suficiente que cumpla con estas exigencias, limitándose a ofrecer capturas parciales y modelos genéricos que no acreditan que el consentimiento para recibir comunicaciones comerciales fuera otorgado por el reclamante. La posterior supresión de los datos del reclamante, aunque pudiera ser considera diligentemente gestionada, no exime a la reclamada de responsabilidad por los envíos realizados con anterioridad a dicha solicitud ya que no queda aclarado que existiera un consentimiento expreso para ello. En consecuencia, debe mantenerse la consideración de que los hechos descritos constituyen una infracción del artículo 21.1 de la LSSI. Por todo ello, se debe concluir que las alegaciones formuladas por la reclamada carecen de fundamento jurídico y probatorio suficiente. La documentación aportada no demuestra que el tratamiento de los datos personales del reclamante se haya realizado bajo el amparo de una base legitimadora válida, ni acredita el cumplimiento de las exigencias legales en la obtención del consentimiento para la recepción de comunicaciones comerciales. En consecuencia, estas alegaciones no pueden ser tenidas en consideración y deben ser desestimadas en su totalidad. Tercero: En el apartado “quinto” de su escrito de alegaciones, la reclamada manifiesta que, en el presente caso, respecto de la sanción impuesta, se deberían tener en consideración actuaciones realizadas por la entidad para evitar este tipo de acontecimientos, como son la ausencia de intencionalidad, la diligencia proactiva y la inexistencia de perjuicios efectivos para los derechos del reclamante, todo ello en aplicación de lo contemplado en artículo 83 del RGPD y el artículo 76 de la LOPDGDD. Pues bien, debe señalarse que el presente expediente sancionador no se encuentra basado en la posible vulneración de la normativa de protección de datos (RGPD y LOPDGDD), sino en el incumplimiento de lo estipulado en la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), aplicándose para la graduación de la sanción lo dispuesto en su artículo 40, por lo que no es posible aplicar, en nuestro caso, el artículo 83.2 del RPGD para ponderar la multa impuesta, ya que el RGPD regula un ámbito objetivo, subjetivo y territorial de aplicación manifiestamente distinto a la LSSI. Aparte de lo anterior, a las alegaciones de la entidad donde expone que no se ha producido ningún perjuicio tangible al reclamante derivado de las actuaciones objeto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/22 del expediente, se debe indicar que, conforme a lo establecido en la LSSI, la imposición de una sanción no exige la existencia de un perjuicio efectivo o material al afectado, sino que se basa en la infracción de los principios y obligaciones establecidos en la normativa aplicable y en este sentido, la reiteración de la conducta infractora y su impacto en los derechos de los destinatarios de las comunicaciones comerciales justifican por si solo la imposición de la sanción, independientemente de que el perjuicio pudiera ser cuantificable en términos económicos o materiales. La entidad expone que ha adoptado medidas correctivas para reforzar sus sistemas de gestión del consentimiento y de atención a los derechos de los interesados, incluyendo auditorías periódicas y mejoras en los mecanismos de acceso, supresión y demostración de los consentimientos obtenidos. Si bien el artículo 40 de la LSSI establece que ciertos factores pueden ser considerados en la graduación de la sanción, tales como la adhesión a códigos de conducta o sistemas de autorregulación, la posterior adopción de medidas correctivas no elimina la responsabilidad de la entidad respecto a las infracciones cometidas. Además, la reincidencia de conductas sancionadas en expedientes previos refuerza la necesidad de una sanción disuasoria para evitar la repetición de prácticas ilícitas. Por tanto, en consideración a todo lo expuesto, no puede ser atendida, en este caso, la solicitud de la entidad en el sentido de reducir la sanción impuesta al existir dos agravantes que condicionan la imposición de la máxima sanción posible. Cuarto: En el punto “sexto” de su escrito de alegaciones, la reclamada fundamenta su defensa en el principio de presunción de inocencia, señalando que la apertura del procedimiento sancionador se basa únicamente en una manifestación del reclamante sin evidencias suficientes para acreditar que no se dio consentimiento y cita la sentencia de la AN de 22 de febrero de 2022 (rec. 26/2020), donde se subraya la necesidad de pruebas incriminatorias que respalden cualquier actuación sancionadora. Invoca también el artículo 24.2 de la CE señalando que la presunción de inocencia es aplicable también en el ámbito administrativo sancionador y que la carga de la prueba recae en quien acusa, y no en el acusado. La reclamada alega haber acreditado la licitud del tratamiento de los datos personales del reclamante para el envío de comunicaciones comerciales y sostiene que, en ausencia de pruebas concluyentes por parte del reclamante y habiendo aportado documentación que respalda su actuación, el principio de presunción de inocencia debe prevalecer, resolviéndose el procedimiento a su favor. Pues bien, debemos volver a recordar que en las Directriz 5/2020 del Comité Europeo de Protección de Datos sobre el consentimiento, en el punto 107 establece que, en lo que respecta al consentimiento para el tratamiento de los datos personales, en este caso para el envío de comunicaciones comerciales, le corresponde al responsable de dichos envíos demostrar que obtuvo un consentimiento válido del interesado. Esto es, debe demostrar el procedimiento exacto por el cual el reclamante prestó su consentimiento (por ejemplo, mostrando que se marcó una casilla específica en el formulario, en nuestro caso para consentir el envío de comunicaciones comerciales, la fecha y hora en que se otorgó el consentimiento deben constar de forma precisa y qué C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/22 información se facilitó al interesado en el momento del consentimiento). En consecuencia, debe presentar el log del proceso de captación del consentimiento. En la directriz mencionada no se prescribe cómo debe demostrarse el consentimiento, en este caso, para el envío de comunicaciones comerciales, pero sí exige que se mantengan registros (log) claros y verificables que demuestren que el interesado consintió este tipo de comunicaciones. Según el punto 108, el responsable debe conservar los registros que documenten. En este caso, la reclamada no ha demostrado el flujo (log) del registro ni ha presentado documentación que acredite que cumplió con los requisitos antes mencionados. La presentación de un formulario en blanco no es suficiente para cumplir con las exigencias marcadas en la normativa vigente. Tampoco en los documentos presentados con el título “Registro (log) con los datos de acceso del reclamante” (Doc. 1) y “Certificados de tabla de registro y verificación de email”, existe ninguna evidencia que demuestre la prestación del consentimiento para el envío de comunicaciones comerciales. Sobre el principio de presunción de inocencia y la carga de la prueba, se debe indicar que en este caso, la presunción de inocencia no exime al responsable del tratamiento de cumplir con las obligaciones establecidas en las Directriz 5/2020, pues según se establece en ella, corresponde al responsable del tratamiento la carga de demostrar que se cumplió con los requisitos para obtener un consentimiento válido para el envío de comunicaciones comerciales, se adoptaron mecanismos para garantizar que dicho consentimiento fue otorgado verdaderamente por el interesado y no por un tercero. Por lo tanto, en este caso, el principio de presunción de inocencia no puede invocarse para eximir al responsable de esta obligación. Por tanto, las alegaciones presentadas por la reclamada en este punto carecen de fundamento, ya que, como hemos visto, en base al principio de responsabilidad proactiva, el responsable debe estar en condiciones de acreditar su cumplimiento, según lo establecen la Directriz 5/2020 y en este caso, la reclamada no ha aportado evidencias concluyentes ni verificables pues la documentación presentada por la reclamada no cumple con los requisitos establecidos en los puntos 105-108 de la Directriz, en lo relativo a la conservación de registros y la demostración del consentimiento válido, en este caso, para el envío de comunicaciones comerciales. III Prohibición de comunicaciones comerciales no solicitadas o expresamente autorizadas La LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo como: “
  3. f)toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. Sobre la autorización o el consentimiento que el usuario presta al responsable del tratamiento de sus datos para que por ejemplo, como ocurre en el presente caso, pueda enviarle comunicaciones comerciales, la Directriz 5/2020 sobre el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/22 consentimiento en el sentido del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), establece, en los puntos 105 a 108, lo siguiente: 105. El considerando 42 establece que: «Cuando el tratamiento se lleva a cabo con el consentimiento del adoptadas 22 interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento». 106. Los responsables del tratamiento tienen libertad para desarrollar métodos que permitan cumplir esta disposición adaptados a sus operaciones diarias. Al mismo tiempo, la obligación de demostrar que un responsable del tratamiento ha obtenido un consentimiento válido, no debe en sí misma provocar un tratamiento adicional de datos excesivo. Esto significa que los responsables deberían tener datos suficientes para mostrar un enlace al tratamiento (para mostrar que se obtuvo el consentimiento), pero no deberían recopilar más información. 107. Corresponde al responsable demostrar que obtuvo el consentimiento válido del interesado. El RGPD no prescribe cómo debe hacerse esto exactamente. No obstante, el responsable debe poder demostrar que, en un caso concreto, un interesado ha dado su consentimiento. La obligación de demostrar el consentimiento existirá mientras dure la actividad de tratamiento de los datos. Una vez finalizada dicha actividad, la prueba del consentimiento no deberá conservarse más allá de lo estrictamente necesario para cumplir una obligación legal o para la formulación, el ejercicio o la defensa de reclamaciones, de conformidad con el artículo 17, apartado 3, letras
  4. b)y e). 108. Por ejemplo, el responsable debe mantener un registro de las declaraciones de consentimiento recibidas, de manera que pueda demostrar cómo se obtuvo el consentimiento y cuándo se obtuvo dicho consentimiento, y también deberá demostrarse la información que se facilitó al interesado en su momento. El responsable también deberá poder demostrar que se informó al interesado y que el flujo de trabajo del responsable cumplió todos los criterios pertinentes para un consentimiento válido. La lógica subyacente a esta obligación en el RGPD es que los responsables del tratamiento deben rendir cuentas con respecto a la obtención del consentimiento válido de los interesados y con respecto a los mecanismos de consentimiento que han adoptado. Por ejemplo, en un contexto en línea, un responsable podría conservar información sobre la sesión en la que se expresó el consentimiento como verificaciones de identidad robustas o mecanismos antifraude, como pudiera ser el envío una notificación SMS al móvil y una acción inequívoca para verificar la identidad, junto con documentación sobre el flujo de trabajo del consentimiento cuando dicha sesión tuvo lugar, y una copia de la información que se presentó en ese momento al interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/22 Es cierto que no establece un mecanismo en concreto sobre cómo el responsable debe ser capaz de probar que ha obtenido un consentimiento válido, teniendo libertad para implementar la forma de obtención y registro que más se adapte a los procesos de la organización pero, al menos, debe poder acreditar quién otorgó el consentimiento, cuándo, cómo y para qué, así como la información que se le suministró en el momento de obtenerlo. Esa obligación subsiste en tanto que se siga realizando el tratamiento de los datos personales bajo las condiciones iniciales en que los datos fueron recabados y debe ser verificable en caso de auditoría o inspección. Por tanto, para valorar si el consentimiento es otorgado de una manera válida, el responsable del tratamiento debe mantener un registro (log) de las actuaciones llevadas a cabo para obtener el consentimiento para el envío de comunicaciones comerciales. Los documentos presentados por la reclamada resultan insuficientes para probar que el consentimiento para enviarle comunicaciones comerciales fue otorgado de forma válida, pues no aportan ninguna evidencia concluyente que demuestre que el reclamante otorgó su consentimiento para este tipo de tratamiento. El formulario presentado (Documento Tres) es un modelo en blanco que no acredita que el reclamante marcara las casillas pertinentes en el momento de acceder a la página web, si es que este hecho se produjo. Tampoco, en los documentos uno y dos existen evidencias que demuestren que el reclamante hubiera prestado su consentimiento expreso para que se le pudiera enviar comunicaciones comerciales, ni consta evidencia de que la reclamada tenga implementados procedimientos adecuados para evitar la introducción de datos erróneos o fraudulentos (como verificaciones de identidad robustas o mecanismos antifraude). El simple registro de la dirección IP y el correo electrónico no es suficiente para demostrar que el reclamante manifestara su consentimiento a recibir comunicaciones comerciales. IV Tipificación de la infracción cometida por el envío de comunicaciones comerciales sin la legitimación necesaria. El hecho de que la reclamado envíe correos electrónicos publicitarios al reclamante que previamente no hubieran sido solicitados o expresamente autorizados constituye una vulneración de lo establecido en el art. 21 de la LSSI, pues establece lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/22 momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” V Sanción La citada infracción se encuentra tipificada como “leve” en el art. 38.4.
  5. d)de dicha norma, que califica como tal, “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. A tenor de lo establecido en el artículo 39.1.
  6. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 €. Por otra parte, el artículo 40 de la LSSI establece los criterios para la graduación de la cuantía de las sanciones: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  7. a)La existencia de intencionalidad.
  8. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  9. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  10. d)La naturaleza y cuantía de los perjuicios causados.
  11. e)Los beneficios obtenidos por la infracción.
  12. f)Volumen de facturación a que afecte la infracción cometida.
  13. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. Tras las evidencias obtenidas, se considera que procede graduar la sanción a imponer de acuerdo con el apartado
  14. c)del citado artículo 40 LSSI. Es este caso, podemos citar los expedientes PS/161/2021 y PS/425/2021 donde se sanciona a la reclamada por realizar comunicaciones comerciales sin que previamente hubieran sido solicitadas o expresamente autorizadas. Con arreglo a dichos criterios, se estima adecuado imponer una sanción de 10.000 euros (diez mil euros), por la infracción del artículo 21.1 de la LSSI. Por lo tanto, a tenor de lo anteriormente expuesto, por parte de la Presidencia de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: IMPONER a la entidad, AD735 DATA MEDIA ADVERTISING, S.L. (AD735), con CIF.: B87781795, por infracción del artículo 21 de la LSSI, tipificada en el artículo 38.4.
  15. d)de la citada norma, una multa de 10.000 euros (diez mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/22 SEGUNDO: NOTIFICAR la resolución a AD735 DATA MEDIA ADVERTISING, S.L. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  16. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida Nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  17. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/22 Lorenzo Cotino Hueso, Presidente de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.