PS-00397-2014

(2)03/04/2013 04/04/2013 27/03/2013 13/05/2013 12/08/2013 14/08/2013 15/08/2013 16/08/2013 19/08/2013

(2)23/08/2013 29/09/2013 Las direcciones IP que figuran como origen de los citados envíos corresponden a EMAILVISION, empresa que presta servicios de envío y gestión de correos electrónicos. Todos los correos electrónicos disponían de un enlace de baja al pie de los mismos. 3. Según el denunciante dichos envíos representan una pequeña muestra de los correos comerciales no deseados que le fueron enviados por TRADEINN. 4. Analizados los enlaces de baja incluidos en los 15 correos electrónicos aportados por el denunciante se comprueba que: 4.1. Trece de ellos llevan a direcciones web del domino H.H.H.. Al tratar de seguir esos enlaces, en todos los casos aparece un mensaje de error con el texto “This is not the website you are looking for…”1 4.2. Los dos correos electrónicos restantes, recibidos el 19 y 23 de agosto de 2013, llevan a páginas web de los dominios I.I.I. y G.G.G., en los que se permite gestionar la suscripción a un total de 12 boletines de la entidad denunciada en relación con la dirección de correo electrónico del denunciante. 5. El dominio L.L.L. está registrado a nombre de TRADEINN. 6. El 16 de septiembre de 2013 se comprobó que en la política de privacidad del sitio web www. L.L.L./index.php?=action=mensionesypolitica se indica que uno de los medios para ejercer los derechos de acceso, rectificación y cancelación de los datos personales suministrados a la entidad es la dirección de correo electrónico cliente@ 1 “Este no es el sitio web que estabas buscando…” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/25 L.L.L.. El 17 de octubre de 2013 se comprobó que al menos en otro de los sitios web, en este caso de la marca RUNENERINN, se proporcionaba esa misma dirección de correo como medio de hacer llegar ese tipo de solicitudes. A fecha 2 de junio de 2014 la dirección de correo electrónico proporcionada en la política de privacidad de la página principal de TRADEINN ( L.L.L.) para ejercer los derechos de acceso, rectificación o cancelación es D.D.D.. 7. En respuesta a la solicitud de información realizada por la Agencia Española de Protección de Datos, los representantes de TRADEINN remitieron un escrito en el que manifestaron, en referencia al envío del correo electrónico en cuestión, que: 7.1. El denunciante no es cliente de la entidad. 7.2. El origen del dato de la dirección de correo electrónico es alguno de los formularios de suscripción a su boletín de información comercial. Para poder suscribirse, debe de marcarse la obligatoriamente la opción de que se acepta la política de privacidad de la entidad en la que acepta el envío de comunicaciones comerciales. En sus sistemas de información consta un registro con la suscripción de la dirección de correo del denunciante el 29 de enero de 2013 (aportan captura de pantalla). Al no ser cliente de la entidad no se dispone de ningún otro dato del denunciante. 7.3. Debido a que su base de datos contiene 2,5 millones de usuarios registrados es imposible gestionar las altas y las bajas manualmente, contando con un sistema automatizado para ello gestionado por EMAILVISION SPAIN S.A. como encargado de tratamiento, entidad con la que firmaron un contrato de prestación de servicios el 28 de febrero de 2011. 7.4. En los sistemas de la entidad consta que con fecha 19 de febrero de 2013 el denunciante manifestó su voluntad de cancelar su dirección de correo mediante el uso del link dispuesto al efecto en el pie de los citados correos, el cual fue contestado de forma automática notificándosele la cancelación de sus datos. 7.5. Se indica que los envíos se produjeron por un error. El sistema EMAILVISION está organizado de forma que la base de datos de clientes y usuarios que pueden recibir los correos electrónicos está duplicada. Una de las copias se encuentra en las instalaciones de TRADEINN y la otra en las de EMAILVISION. Algún tipo de error evitó que la baja que se produjo en la copia de la base de datos de TRADEINN se reprodujese en la de EMAILVISON y por ello el denunciante continuó recibiendo correos electrónicos. 7.6. Los errores al tratar de acceder a los enlaces de baja descritos en el punto 3.1 se producen por estar dado de baja el usuario. 7.7. El error en la sincronización afectó a tan pocos usuarios que no se dispuso de indicios para detectarlo hasta el 15 de noviembre de 2013, fecha en la que se procedió a su resolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/25 7.8. TRADEINN nunca llegó a recibir los correos de baja remitidos por el denunciante a la dirección cliente@ L.L.L. , por lo que únicamente tuvo conocimiento de los hechos al recibir la solicitud de información remitida por la AEPD, procediéndose entonces a la cancelación de la suscripción del usuario. Se aportan captura de pantalla que muestra la baja en el entorno EMAILVISION-SMARTFOCUS el 24 de marzo de 2014. 7.9. La entidad, una vez detectado el error, contrató los servicios de consultores informáticos y abogados especializados en privacidad para realizar una revisión en profundidad de sus sistemas. 8. Con fecha 2 de junio de 2013 se comprueba que el sistema de suscripción que tiene implementado TRADEINN no solicita confirmación a través de un correo electrónico dirigido a la dirección de suscripción (el denominado sistema de doble opt-in). 9. TRADEINN explica que los enlaces de baja que conducían a direcciones del domino H.H.H. mostraban una página de error porque el usuario había sido dado de baja, pero el mismo día que se probaron esos 13 enlaces se probaron dos que no mostraban ningún mensaje de error sino que aparentemente funcionaban correctamente. TERCERO: Con fecha 7 de julio de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TRADEINN RETAIL SERVICES, S.L. por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como grave en el artículo 38.3.

1. c)de dicha norma, pudiendo ser sancionada con multa de 30.001 hasta 150.000 €, de acuerdo con el artículo 39.1.
2. b)de la LSSI. Notificado el citado Acuerdo de inicio, con fecha 25 de julio de 2014 se remite al representante legal de la entidad imputada copia de las actuaciones practicadas en el procedimiento sancionador, previa acreditación de tal condición. CUARTO: Con fecha 6 de agosto de 2014 se registra de entrada en esta Agencia escrito de alegaciones del representante legal de TRADEINN solicitando la resolución del expediente sancionador con acuerdo de apercibimiento con fundamento, en síntesis, en el reconocimiento expreso de responsabilidad y en los siguientes argumentos: Primera: Se defiende el cumplimiento generalizado de lo dispuesto en el artículo 21.1 de la LSSI por parte de TRADEINN por disponer de procedimientos y sistemas automáticos a tal efecto. Se mantiene que aunque el denunciante no era cliente de la empresa, han contado con su autorización expresa para el envío de comunicaciones publicitarias , “por cuanto el afectado tuvo que clickar en un checkbox aceptando- obligatoriamente- la política de privacidad, en la que se acepta expresamente el envío de comunicaciones comerciales electrónicas para facilitar sus datos y dispuso, siempre, de varios canales para darse de baja o revocar su consentimiento y de un medio electrónico (link personalizado), sencillo y gratuito (…).” Segunda, Los hechos imputados no resultan imputables a una falta de diligencia en la conducta de TRADEINN, puesto que se originan en una anomalía excepcional, atípica y puntual acaecida durante el desarrollo e implementación, a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/25 largo del año 2013, de una serie de mejoras en el sistema de información, la cual resultaba difícil de identificar y solucionar con rapidez, en especial si se tiene en cuenta que el sistema de información de gestión de clientes y usuarios de TRADEINN dispone de dos bases de datos independientes, una en las instalaciones de TRADEINN y otra en las instalaciones de Emailvision/Smartfocus, empresa encargada del tratamiento del sistema de gestión de correos electrónicos promocionales. Así, el 19/02/2013, el usuario del correo electrónico B.B.B.@gmail.com manifestó su voluntad de cancelar su dirección para el envío de comunicaciones comerciales por vía electrónica mediante el link habilitado para ello en el pie de los envíos, lo que dio lugar al bloqueo del registro de este usuario en la base de datos de TRADEINN y a la remisión automática al mismo de un aviso de confirmación de cancelación de sus datos, provocando también que cualquier nuevo intento de dar de baja a ese usuario generase un mensaje de error. Sin embargo, por causa de un fallo temporal y anormal de las comunicaciones y/o debido a un error de la API (Application Programming Interface) con Emailvision/Smartfocus, dicha cancelación no se produjo en la base de datos de este encargado del tratamiento y, además, generó un duplicado del registro de usuario del denunciante, circunstancia que, al parecer, provocaba que en el momento de solicitar la baja de un usuario, el sistema de Emailvision/Smartfocus, fuera incapaz de identificar cuál de los dos debía eliminar y generaba también un error, sin más efectos ulteriores. Por tanto, debido a esta duplicación de registros, los datos del afectado siguieron activados en la base de datos del proveedor y continuaron enviándole información comercial. TRADEINN no dispuso de indicios para detectar el error de sincronización de los dos sistemas hasta que, el 15 de noviembre de 2013, haciendo una prueba de verificación del funcionamiento del procedimiento de baja se detectó y se procedió a su resolución técnica, no siendo hasta la recepción del requerimiento de información de la AEPD con fecha 24 de marzo de 2014 que se conoció que el error afectó al denunciante, ya que las solicitudes de baja supuestamente enviadas por éste el 22 de febrero y 22 de marzo de 2013 no constan como recibidas. Por ello, a partir del 24 de marzo de 2014 se procede a bloquear todos los registros con el nombre del usuario en la base de datos de Emailvision/Smartfocus y antes de 10 días se redunda la instrucción de baja de todos los registros del mencionado usuario mediante escrito certificado dirigido al encargado. Además, con fecha 2 de abril de 2014 se comunica al afectado el ejercicio efectivo de su derecho de cancelación y éste confirma su recepción al día siguiente, con lo que se regulariza la situación en plazo, de forma rápida y completa. Tercera.- Una vez corregida la anomalía de sincronización, se realizan operaciones de revisión periódicas consistentes en: 1) Nueva sincronización de las dos bases de datos con carácter trimestral mediante la verificación de que tienen los mismos registros; 2) Bloqueo manual redundante en las dos bases de datos de los mails que ejercitan su derecho de cancelación; 3) Comunicación inmediata de la cancelación al afectado, de forma manual. Paralelamente, se observa que en cuanto TRADEINN tuvo conocimiento cierto del incidente, regularizó la situación inmediatamente y de forma diligente, cumpliendo los plazos establecidos por la normativa, como resulta de los documentos aportados durante la instrucción y las actuaciones previas de inspección. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/25 Cuarta. Ausencia total de intencionalidad en la comisión del hecho denunciado, como prueba no sólo la existencia de medidas automáticas previstas para atender las solicitudes de revocación del consentimiento o la cancelación de datos cuando un usuario o cliente ejercen tales derechos incluso antes de los hechos denunciados, sino también la rápida adopción de todas las medidas posibles para regularizar la situación y minimizar las consecuencias una vez conocida la situación. Quinta. Se mantiene que los 15 correos comerciales aportados por el denunciado se enviaron en un lapso temporal de 6 meses. Se hace especial hincapié en que los envíos que conforman la oferta global de TRADEINN no pueden calificarse de insistentes o sistemáticos, sino de personalizados, dado que los usuarios pueden gestionar de forma individualizada los envíos que desean recibir eligiendo el número de tiendas o centros de venta desde las que desea recibir envíos publicitarios. Por ello, tampoco responden a envíos masivos programados de forma indiscriminada y sistemática, sino que atienden a la voluntad de TRADEINN de hacer llegar ofertas y propuestas de cada tienda a sus clientes y a los usuarios de la web. Sexta. Se alega: Inexistencia de apercibimiento y sanción alguna anterior como consecuencia de la comisión de infracciones previstas en la LSSI o en la LOPD; Inexistencia de perjuicio económico alguno al denunciante por la eventual comisión del hecho denunciado; Inexistencia de beneficio alguno para TRADEINN, ya que el afectado no ha sido nunca cliente de la empresa y sus datos sólo han sido utilizados para facilitarle información que había solicitado; Inexistencia de facturación asociada a los hechos objeto del procedimiento al no ser cliente, no haber efectuado compra alguna ni haber soportado gasto alguno. Además, se aduce la adhesión de TRADEINN a CONFIANZA ON LINE desde el año 2010 y a TRUSTED SHOP para ayudar a verificar el cumplimiento normativo de la web de la entidad, señalándose también la contratación en mayo de 2013 de los servicios de consultores, informáticos y abogados especialistas en la LOPD y la LSSI para realizar una revisión integral del cumplimiento de dichas normativas por parte de la empresa y de su web. Séptima: Se mantiene que concurren las circunstancias y supuestos regulados en los apartados a),
3. b)y
4. d)del artículo 39 Bis.1 de la LSSI para aplicar la escala correspondiente a las infracciones tipificadas como leves en dicha norma, al darse todos los criterios establecidos en el artículo 40 de la LSSI, haberse regularizado en forma diligente la situación irregular y haberse reconocido espontáneamente por TRADEINN su eventual responsabilidad desde el inicio de las actuaciones practicadas. Todo lo cual, a su vez, conforme a lo previsto en el artículo 39 Bis 2, justificaría la imposición de un apercibimiento como sanción adecuada a la gravedad de los hechos. Subsidiariamente, en el caso de estimar procedente la imposición de una sanción, se solicita la calificación de la infracción como de carácter leve por aplicación artículo 39 Bis 1, acordándose la imposición de una sanción hasta un máximo de 3.750 € a resultas de fraccionar en ocho tramos la escala establecida para las infracciones leves en atención a la concurrencia de todos los criterios atemperantes establecidos en el artículo 40 de la LSSI, rango dentro del cual, y aplicando el mismo criterio, siete de los ocho tramos deberían ser exonerados por aplicación del artículo 40 de la LSSI. QUINTO: Con fecha 19 de agosto de 2014, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas y la práctica de las siguientes pruebas: 1) Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante TRADEINN y el Informe de actuaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/25 previas de Inspección que forman parte del expediente E/05417/2013; 2) Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00397/2014 presentadas por TRADEINN y la documentación que las acompañaba; 3) Solicitar al denunciante la remisión de la siguiente información y/o documentación: - Con excepción de los correos ya remitidos, envío de copia de todos los mensajes comerciales no deseados recibidos en su cuenta de correo B.B.B.@gmail.com desde la cuenta C.C.C. con posterioridad al 29 de enero de 2013. - Indicación de si facilitó su dirección de correo electrónico a la empresa imputada al cumplimentar el formulario web del sitio www. K.K.K. y clickar el checkbox de aceptación de la política de privacidad que autoriza el envío de comunicaciones comerciales. - Remisión de cualquier medio de prueba que permita acreditar que las solicitudes de cancelación de sus datos con fines publicitarios remitidas con fechas 22 de febrero y 22 de marzo de 2013 a la cuenta cliente@ L.L.L. fueron efectivamente recibidas por la entidad destinataria de las mismas. Con fecha 20 de agosto de 2014 se notificó a TRADEINN la práctica de las pruebas acordadas el día anterior y se le solicitó el acuerdo de práctica de prueba consistente en remitir la siguiente información y/o documentación: - Acreditación mediante cualquier medio de prueba válido en derecho de que el denunciante cumplimentó en la fecha que consta en sus sistemas el formulario web del sitio F.F.F. , clickó el checkbox de aceptación de la política de privacidad incluido en el mismo y se dio de alta en todas las tiendas. - Relación de todos los mensajes comerciales remitidos a la cuenta de correo B.B.B.@gmail.com desde la cuenta C.C.C. con posterioridad al 29 de enero de 2013 que figuran tanto en sus sistemas de información como en los de Emalvision/Smartfocus, con copia del contenido íntegro de los mensajes en cuestión. - Acreditación de que el contrato suscrito con CONFIANZA ON LINE está vigente desde el año 2010. SEXTO: Con fecha 1 de septiembre de 2014 se registra de entrada escrito del denunciante de fecha 28/08/2014 contestando a las pruebas requeridas en el siguiente sentido: 1) Que no ha sido ni es cliente de TRADEINN ni de ninguna de sus marcas comerciales. Niega haberles proporcionado sus datos personales; 2) Que no se ha registrado en ninguna de las web del grupo, por lo que no ha marcado ninguna casilla de aceptación de política de privacidad ni de envío de comunicaciones comerciales; 3) Que solicitó la cancelación de sus datos el 22/02/2013 y el 22/03/2013 sin recibir respuesta alguna; 4) Que adjunta un archivo comprimido incluyendo los 367 correos comerciales enviados desde la cuenta C.C.C. sin su autorización; 5) Que incluye, por separado, 19 correos no deseados, adjuntando en 3 ficheros distintos cabecera, contenido en pdf y contenido en html sin imágenes. Con fecha 16 de septiembre de 2014 se registra de entrada escrito de escrito del representante legal de TRADEINN adjuntando la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/25 - Informe emitido por Perito-Ingeniero Técnico en Telecomunicaciones, señalando que para suscribirse y recibir e-mails de TRADEINN es necesario introducir el e-mail en un recuadro específico de su página web y marcar la casilla de checkbox para aceptar la política de privacidad. - Informe emitido por el responsable técnico de TRADEINN certificando que para aceptar la política de privacidad y recibir correos electrónicos es necesario clickar en el checkbox de la página web, pues de lo contrario no es posible avanzar en la página web y remitir los datos. - Impresión imagen de la página web que visualiza la necesidad de clickar la aceptación de la política de privacidad - Formulando de adhesión a CONFIANZA ON LINE suscrito por TRADEINN en el año 2010 y facturas correspondientes a las cuotas anuales 2011, 2013 y 2013. Señalan la imposibilidad de remitir la relación de todos los mensajes comerciales solicitados dado que emalvision/smartfocus ha indicado que solo conservan los envíos remitidos durante los últimos cuatro meses. SÉPTIMO: Con fecha 20 de octubre de 2014 se incorpora al procedimiento la siguiente documentación del CD aportado por el denunciante con fecha 28/08/2014: - Impresión de las cabeceras y contenido de las 19 comunicaciones comerciales enviadas entre el 12 y el 23 de noviembre de 2013 desde la dirección C.C.C. a la cuenta B.B.B.@gmail.com - Relación de 367 archivos aportada por el denunciante, correspondientes a los correos electrónicos comerciales enviados desde la cuenta de correo electrónico C.C.C. a la cuenta B.B.B.@gmail.com entre el 4 de febrero y el 23 de noviembre de 2013, de los que 342 se remitieron transcurridos diez días hábiles desde el 19 de febrero de 2013, fecha en que TRADEINN recibió la solicitud de oposición del denunciante al tratamiento de sus datos y confirmó al mismo la tramitación de la cancelación de sus datos. - Primera y última páginas de la relación de archivos (envíos) contenidos en el fichero anterior ordenada por fecha de envío y fecha de recepción. OCTAVO: Con fecha 27 de octubre de 2014 se formuló propuesta de resolución, proponiendo que por el Director de la Agencia Española de Protección de Datos se sancionase a TRADEINN RETAIL SERVICES, S.L. con multa de 60.000 € (Sesenta mil euros) por la infracción del artículo 21.1 de la LSSI, tipificada como grave en el artículo 38.3.
5. c)de dicha norma. Dicha propuesta fue notificada al representante legal de TRADEINN con fecha 30 de octubre de 2014 y a la entidad imputada el 3 de noviembre de 2014. NOVENO: Con fecha 25 de noviembre de 2014 se registra de entrada escrito del representante legal de TRADEINN alegando, en síntesis, lo siguiente: Primero, en cuanto a los hechos acaecidos se documentación ya presentada. remite a los escritos y Segundo, consideran acreditado el reconocimiento espontáneo y expreso de su culpabilidad de conformidad al supuesto
6. d)del artículo 39 bis 1 de la LSSI desde el inicio de las actuaciones, conforme prueba la contestación efectuada al requerimiento de información que le fue realizado durante las actuaciones previas de inspección E/5417/2013, habiéndose interpretado, erróneamente, por la AEPD las explicaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/25 efectuadas en los posteriores escritos de alegaciones para determinar las causas de la infracción denunciada con un intento de eludir su culpa y responsabilidad por tal concepto. Tercero, resulta contradictorio aplicar como agravante el apartado
7. a)del artículo 40 relativo a la existencia de intencionalidad cuando la propia AEPD ha reconocido su inexistencia, sin que, por otra parte, el tenor literal del artículo permita vincular la falta de diligencia apreciada por la Agencia en la conducta de TRADEINN con la existencia de voluntariedad para infringir la LSSI. Cuarto, no se ha posibilitado hacer alegaciones y/o contrastar parte de los documentos en los que el denunciante fundamenta la infracción con anterioridad a la propuesta de resolución. Se indica que para la resolución del expediente la AEPD deberá dar el valor probatorio pertinente a unos documentos privados grabados en CD que podrían haber sido manipulados por el denunciante. Quinta, produciéndose la concurrencia acreditada de los supuestos a),
8. b)y
9. c)del artículo 39 bis 1 de la LSSI en conjunción con todos los establecidos en el artículo 40 de la precitada Ley debe aplicarse la escala relativa a las infracciones tipificadas como leves, imponiéndose la sanción en su grado mínimo. Subsidiariamente de mantener la calificación como grave se solicita la imposición de una sanción en su grado mínimo. Otrosí, a efecto de notificaciones, se designa el despacho profesional de Don A.A.A.. HECHOS PROBADOS PRIMERO: Con fecha de 28 de agosto de 2013 se registra de entrada en esta Agencia denuncia formulada por Don B.B.B., (el denunciante) contra TRADEINN RETAIL SERVICES, S.L., (TRADEINN) por el envío no solicitado de comunicaciones comerciales a su cuenta de correo electrónico después de haber utilizado los mecanismos habilitados por dicha empresa, tanto en los propios correos electrónicos como en su página web, para no recibir nuevos envíos publicitarios en sus señas electrónicas. SEGUNDO: El denunciante afirma que en ningún momento se ha registrado en la web de dicha empresa ni en las de sus marcas comerciales, ni ha facilitado o autorizado en ningún momento a la misma el uso de sus datos para fines comerciales. (folios 1 al 8 y 340) TERCERO: El denunciante no es cliente de TRADEIN (folio 197) CUARTO: Con fechas 22 de febrero y 22 de marzo de 2013 el denunciante remitió desde su dirección de correo electrónico B.B.B.@gmail.com a la cuenta de correo cliente@ L.L.L. sendas solicitudes de cancelación de sus datos personales y de recepción de boletines publicitarios. En la solicitud de fecha 22 de febrero de 2013 se indicaba: “Hace dos semanas, intenté dejar de recibir sus boletines cancelando la suscripción (que por otro lado, nunca he solicitado) en el enlace que se adjuntaba en uno de los correos, datos desmarcando todas las casillas de las categorías indicadas. Apareció un mensaje indicando que la modificación se había realizado correctamente y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/25 que no recibiría más correos, pero no ha sido así, ya que sigo recibiendo comunicaciones comerciales posteriormente.” Dicha circunstancia también se hacía constar en la solicitud de fecha 22 de marzo de 2013 en términos similares. TRADEINN niega la recepción de las dos solicitudes anteriormente citadas. (folios 3 al 5 y 200) QUINTO: En los sistemas informáticos de TRADEINN figura que el denunciante se dio de alta en el formulario web de la entidad con fecha 29 de enero de 2013 y de baja con fecha 19 de febrero de 2013. (folios 203 y 207) SEXTO: TRADEINN ha informado que con fecha 19 de febrero de 2013 el denunciante utilizó el link de baja incluido en los envíos publicitarios y que con esa misma fecha se confirmó, automáticamente, al mismo la cancelación de su correo electrónico y se produjo el bloqueo del registro de ese usuario en la base de datos de TRADEINN. (folios 199, 201, 284 ) SÉPTIMO: En las versiones vigentes a fechas 15 de enero y 16 de septiembre de 2013 del documento de Política de Privacidad del sitio web L.L.L. se informaba que al registrarse el usuario otorgaba su consentimiento expreso para recibir comunicaciones comerciales por correo electrónico a la dirección facilitada, pudiendo darse de baja de dicho boletín a través del enlace incluido en los correos electrónicos promocionales. También se informaba que se podrían ejercer los derechos de acceso, rectificación y cancelación de los datos de carácter personal suministrados mediante petición escrita por correo electrónico enviado a la dirección cliente@ L.L.L. . Con fecha 2 de junio de 2014 se constata que dicha dirección se sustituye por D.D.D. o E.E.E. ( 225, 235, 236, 348 ) OCTAVO: Con fecha 28 de febrero de 2011 se suscribe contrato de prestación de servicios en virtud del cual EMAILVISION SPAIN, S.A., en calidad de encargado de tratamiento, presta a TRADEINN el servicio tecnológico de E-mail Marketing para la gestión del envío de mensajes por correo electrónico. (folios 214 al 219) NOVENO: TRADEINN ha indicado que la base de datos de clientes y usuarios destinatarios de los envíos comerciales de la entidad está duplicada, existiendo una base de datos en las instalaciones de TRADEINN y otra en las de MAILVISION.(folios 199 y 283) DÉCIMO: Consta que, transcurridos diez días hábiles desde el 19 de febrero de 2013, fecha en que TRADEINN confirmó al denunciante la tramitación de su solicitud de oposición al tratamiento de sus señas electrónicas, el denunciante recibió un total de 342 comunicaciones comerciales entre el 4 de marzo y el 23 de noviembre de 2013 en su dirección de correo electrónico B.B.B.@gmail.com procedentes de la cuenta J.J.J.. L.L.L.. (folios 340 y 361 al 553) UNDÉCIMO: Los correos anteriormente citados, cuyo contenido íntegro, cabeceras de Internet y fechas de envío, figuran en la documentación aportada por el denunciante durante el período de práctica de pruebas, contenían información promocional de productos comercializados por distintas marcas de TRADEINN. (folios 340 y 361 al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/25 553) DUODÉCIMO: Con fecha 24 de marzo de 2014 TRADEINN ha dado de baja todos los registros del denunciante en los ficheros de los que resulta responsable. (folio 199, 211, 212, 222, 354) DECIMOTERCERO: El dominio L.L.L. está registrado a nombre de TRADEINN (folios 224 y 226) DECIMOCUARTO: Con fecha 2 de abril de 2014 TRADEINN envía un correo electrónico a la cuenta del denunciante señalándole en relación con las solicitudes de cancelación de fechas 22 de febrero y de marzo de 2013, cuya existencia ha conocido, según indica, el 25 de marzo de 2014 a través de la notificación recibida de la AEPD, lo siguiente: “2. Que esta ha sido la primera ocasión en la que hemos tenido conocimiento efectivo de sus deseos, pues en la época en la que usted nos remitió el escrito se produjo un fallo técnico atípico que impidió que pudiéramos cancelar de forma automatizada los datos de algunas personas que también ejercieron sus derechos como usted, tal y como está previsto en nuestros sistemas de tratamiento de información. Desafortunadamente, otro problema técnico, coincidente en el tiempo con el anterior, impidió que recibiéramos correo alguno mediante la dirección electrónica utilizada por usted, en esas fechas.” (folio 320) FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
10. d)e
11. i)y 38.4 d),
12. g)y
13. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II Con carácter previo al análisis del fondo del asunto, debemos indicar que las modificaciones introducidas por Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones en la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, resultan de aplicación al presente expediente en virtud de la aplicación del principio de retroactividad de la norma sancionadora más favorable. III A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/25 legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Por lo tanto, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/25 mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
14. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
15. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. IV Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
16. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
17. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
18. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros C/ Jorge Juan, 6 28001 – Madrid y siempre que www.agpd.es sedeagpd.gob.es 14/25 representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales. ” (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
19. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. V En el presente supuesto de las actuaciones practicadas a lo largo de la tramitación del procedimiento sancionador, y, especialmente, de la documentación aportada por el denunciante durante el período de práctica de pruebas, ha quedado acreditado que TRADEINN remitió desde la cuenta J.J.J.. L.L.L. un total de de 342 comunicaciones comerciales entre el 4 de marzo y el 23 de noviembre de 2013 a la dirección de correo electrónico B.B.B.@gmail.com, titularidad del denunciante, sin contar con el consentimiento previo y expreso del mismo para ello. Los reseñados envíos, en los que se publicita la venta de productos y ofertas de material deportivo comercializadas por diferentes tiendas on-line especialistas en dicho sector, se remitieron con posterioridad a que hubieran transcurridos diez días hábiles desde que el denunciante recibiera con fecha 19 de febrero de 2013 aviso de confirmación de TRADEINN de la tramitación de su solicitud de oposición al tratamiento de sus señas electrónicas con fines publicitarios, la cual se efectuó por éste con esa misma fecha mediante el link habilitado para ello por TRADEINN en sus comunicaciones comerciales, tal y como ha reconocido la propia empresa remitente de los reseñados mensajes comerciales. Dicho plazo de diez días se aplica de conformidad con lo previsto el artículo 35.2 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y de conformidad con lo previsto en el artículo 19.2 de la LSSI. Téngase en cuenta que cuando se dirigieron las reseñadas comunicaciones comerciales al destinatario, la entidad remitente de las mismas ya conocía la voluntad del denunciante de que sus datos no se utilizaran con fines promocionales, puesto que TRADEINN ha reconocido la recepción de la mencionada solicitud de baja de fecha 19/02/2013 a través del enlace incluido en los propios envíos y, además, confirma el registro de baja de fecha 19/02/2014 asociado a la dirección del correo electrónico del denunciante que figura anotado en la base de datos de la entidad imputada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/25 Por lo tanto, con independencia de que TRADEINN hubiera podido obtener legítimamente el consentimiento del denunciante para enviarle publicidad a su dirección de correo electrónico en la forma indicada en sus alegaciones, -y que el denunciante ha negado reiteradamente al afirmar que no se había registrado en el formulario del sitio web de la imputada ni de las tiendas on-line cuya publicidad ésta gestiona-, resulta que la solicitud de baja efectuada por el denunciante con anterioridad a los envíos objeto de estudio hubiera revocado el consentimiento inicialmente prestado por el usuario al aceptar la política de privacidad incluida en el formulario web. Es decir, dicha solicitud anulaba la validez y eficacia de cualquier consentimiento otorgado con anterioridad al 19/02/2013 por el titular de las señas electrónicas para recibir envíos publicitarios en su cuenta de correo electrónico, haciendo decaer también la salvedad derivada de la relación contractual mantenida entre las partes en los supuestos en que ésta se produjese. En este mismo sentido se pronuncia la Audiencia Nacional en un caso similar en su sentencia de fecha 18 de octubre de 2013, Rec. nº 162/2012, al señalar: “En el supuesto que nos ocupa, ha quedado acreditado que la entidad recurrente remitió más de 47 e-mails publicitarios a la denunciante desde octubre hasta diciembre de 2010, con posterioridad a la solicitud y confirmación de la cancelación de los datos de la denunciante, por lo que ha de considerarse infringido el citado precepto, al no contar con el consentimiento de la destinaria. Por otro lado, aunque en este supuesto hubiese existido una relación comercial previa con la destinataria, ésta no le habilita a remitir publicidad comercial cuando el cliente ha manifestado, como es el caso que nos ocupa, su expreso deseo de no recibirla, pues la excepción prevista en el apartado segundo del citado art. 21 de la Ley 34/2002, de 11 de julio, establece expresamente la posibilidad de ofrecer al destinatario “la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija”. Más en el presente supuesto en que se había procedido a la cancelación de los datos de la denunciante. Carece de relevancia, por tanto, el sistema que para los envíos publicitarios tuviera establecido la entidad recurrente, pues no se trata tanto de cuestionar el tratamiento indebido de datos sino de impedir el envío de publicidad no consentida, para lo cual la empresa dispuso de tiempo suficiente para articular los mecanismos correctores necesarios para evitar que se siguiera mandando publicidad comercial a la denunciante” Sobre este particular, en la Sentencia de la Audiencia Nacional de fecha 29 de octubre de 2013, Rec. 341/2011, que analizaba una situación similar a la que ahora nos ocupa se indicaba que: “Y aunque en este supuesto existiese una relación comercial previa con el destinatario, esta no le habilita a remitir publicidad comercial cuando el cliente ha manifestado, como es el caso que nos ocupa, su expreso deseo de no recibirla, (…).Y consecuentemente de respetar su voluntad cuando éste pone de manifiesto su intención de no recibir dichos envíos publicitarios. Carece de relevancia, por tanto, el sistema que para los envíos publicitarios tuviera establecido la entidad recurrente, pues no se trata tanto de cuestionar el tratamiento indebido de datos sino de impedir el envío de publicidad no consentida, para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/25 lo cual la empresa dispuso de tiempo suficiente (varios meses) para articular los mecanismos correctores necesarios para evitar que se siguiera mandando publicidad comercial a los destinatarios que no lo deseasen. Es por ello que no puede entenderse aplicables las previsiones de la LOPD y su reglamente respecto de la capacidad de disociación de los datos personales, pues tales previsiones no pueden impedir el que se adopten las medidas necesarias para evitar por parte de las empresas la remisión de publicidad no deseada.” Sentado lo anterior, no puede considerarse que los envíos objeto de imputación estuvieran amparados por el consentimiento previo y expreso del denunciante, lo que supone un incumplimiento por parte de la entidad imputada de la prohibición recogida en el artículo 21.1 de la LSSI de enviar comunicaciones comerciales por medios de comunicación electrónica o similares que no hayan sido previamente solicitadas o expresamente autorizadas por los destinatarios de las mismas. VI La entidad imputada, centra sus alegatos en la inexistencia de la infracción imputada por falta del elemento de culpa en su conducta, afirmando que los hechos analizados traen causa de una anomalía atípica y puntual en el funcionamiento tecnológico de los sistemas automáticos implantados para hacer efectiva la revocación del consentimiento o la cancelación de datos, sin que el fallo de sincronización entre las bases de datos de clientes y usuarios instaladas en TRADEINN y en Emailvisión/Smartfocus pueda ser debida o imputable a falta de diligencia por parte de TRADEINN. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/25 en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
20. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En este orden de ideas, si bien en el presente caso no puede acreditarse una conducta dolosa por parte de la entidad imputada, sin embargo, si se aprecia la existencia de responsabilidad en la comisión de la infracción imputada a título de culpa. De este modo, la AEPD considera que TRADEINN, en su condición de empresa responsable de los ficheros de gestión de clientes y usuarios ubicados tanto en sus instalaciones como en las del encargado del tratamiento a fin de que ésta pueda prestar el servicio contratado de envío de correos comerciales publicitarios, y en tanto que empresa habituada en el desarrollo de su actividad al tratamiento de datos con finalidades publicitarias, no desplegó con anterioridad a la realización de los envíos no consentidos la diligencia y el deber de cuidado que le eran exigibles para asegurarse del correcto funcionamiento de la operativa habilitada, en esos momentos, para conciliar la gestión de las bajas recibidas, máxime cuando durante el año 2013 se estaban implementando cambios en el sistema de información para mejorar el volumen de transacciones diarias generadas. Sin perjuicio de que la existencia de un error no determina, automáticamente, la existencia de una infracción, en este caso el supuesto fallo que ha provocado la falta de sincronización automática entre las dos bases de datos, y que derivaría “supuestamente por causa de un fallo temporal y anormal de las comunicaciones y/o debido a un error de la API (Aplication Programming Interface) con Emailvision/Smartfocus)” no puede entenderse como un error puntual y excepcional. Téngase en cuenta no sólo el período y plazo de tiempo transcurrido desde que el 19/02/2013 se confirmó la tramitación de la baja al denunciante hasta que se detectó el error de sincronización de los dos sistemas el 15/11/2013, sino también el elevado número de comunicaciones comerciales no consentidas que recibió el afectado a pesar de que en los sistemas informáticos de TRADEINN el correo electrónico del denunciante estaba anotado como de baja. Precisamente, la existencia duplicada de una base de datos titularidad de la imputada, debería haber hecho extremar el deber de cuidado y rigor que le son exigibles a TRADEINN en razón de su actividad profesional para controlar el correcto funcionamiento del procedimiento de bajas de usuarios en evitación de irregularidades como la alegada. Por lo tanto, cabe pensar que actuando de otro modo hubiera podido evitarse el tratamiento de las señas electrónicas del afectado con finalidades publicitarias sin su autorización, por ejemplo, realizando pruebas revisión y verificación del funcionamiento del procedimiento de baja con una periodicidad más adecuada al volumen de usuarios registrados (2,5 millones) y al número de boletines C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/25 publicitarios gestionados

(12)a fin de evitar el envío de mensajes comerciales no autorizados en un sistema que funciona en la forma alegada, tal y como con indica haber realizado la mercantil imputada posterioridad a los hechos imputados junto con otras medidas correctoras y preventivas, las cuales, no son sino una muestra del deber de cautela que debe exigirse para regularizar unos mecanismos de control y seguridad cuyo correcto funcionamiento incide en el cumplimiento de las obligaciones fijadas por en el artículo 21 de la LSSI. A mayor abundamiento, extrañan las manifestaciones de TRADEINN que, si bien por un lado, no aclara la naturaleza exacta del fallo de sincronización ocurrido, el cual define como “supuestamente de un fallo temporal y anormal de las comunicaciones y/o debido a un error de la API” difícil de detectar, por otro lado especifica que se detectó el 15/11/2013, lo que supone que, entonces, debe tener conocimiento exacto del tipo de error acaecido. En definitiva, TRADEINN no desplegó toda la diligencia que le era exigible para asegurarse de que los envíos comerciales remitidos al denunciante con posterioridad al 19 de febrero de 2013 contaban con el consentimiento de su destinatario, lo que lleva a considerar la existencia del elemento de culpabilidad en la conducta de TRADEINN en el ilícito administrativo imputado. VII Por otro lado debe rechazarse el alegato relativo a que no se ha dado vista de la documentación aportada por el denunciante durante el período de práctica de pruebas, toda vez que en el Anexo que acompañaba a la propuesta de resolución se indicaba claramente que se notificaba la relación de documentos obrantes en el procedimiento a fin de que TRADEINN pudiera obtener las copias de los que estimase convenientes. En dicha relación figuraban reseñados los documentos 9 y 11 con los títulos “Contestación a pruebas requeridas al denunciante (folios 340 al 342)” y “Diligencia de incorporación de documentación asociada a las pruebas aportadas por el denunciante (folios 361 al 353)”. Además, en los Antecedentes Sexto y Séptimo de la citada propuesta se describían la naturaleza de la documentación aportada por el afectado. Sin embargo, esa empresa no ha hecho uso de su derecho a solicitar copia de la citada documentación después de recibir la notificación de la propuesta de resolución en la que se le concedía un plazo de 15 días hábiles para alegar cuanto considerarse en su defensa, de acuerdo con el artículo 19.1 del Real Decreto 1398/1993, de 44 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, y cuyo literal es el siguiente: “Artículo 19. Audiencia. 1. La propuesta de resolución se notificará a los interesados, indicándoles la puesta de manifiesto del procedimiento. A la notificación se acompañará una relación de los documentos obrantes en el procedimiento a fin de que los interesados puedan obtener las copias de los que estimen convenientes, concediéndoseles un plazo de quince días para formular alegaciones y presentar los documentos e informaciones que estimen pertinentes ante el instructor del procedimiento.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/25 A mayor abundamiento, no hay indicios de que las comunicaciones comerciales contenidas en el CD aportado no sean las efectivamente enviadas por TRADEINN al denunciante después de haberle confirmado la cancelación de su correo electrónico ni, tampoco, de que tales envíos hayan podido ser manipulados por el denunciante. Téngase en cuenta que mientras éste ha aportado copia del contenido y las cabeceras de Internet de los envíos objeto de imputación TRADEINN, sin embargo, no ha presentado ningún medio de prueba que enerve la validez de dicha documentación, limitándose a cuestionar su valor probatorio, circunstancia que, por otra parte, en contra de lo alegado por esa supone cuestionar la imputación de los hechos y el reconocimiento de su responsabilidad en los mismos. VIII Conforme al artículo 9.3 de la Constitución Española, “La Constitución garantiza (…) la irretroactividad de las disposiciones sancionadoras no favorables o restrictivas de derechos individuales”. Y en este sentido constante jurisprudencia ha mantenido el principio de retroactividad de la ley sancionadora más favorable. Destacamos así la Sentencia del Tribunal Constitucional 131/1986 de 29 de octubre que señala refiriéndose al principio de retroactividad de la ley penal más favorable “es que, además, dicho principio supone la aplicación íntegra de la ley más beneficiosa, incluidas aquellas de sus normas parciales que puedan resultar perjudiciales en relación con la ley anterior, que se desplaza en virtud de dicho principio, siempre que el resultado final, como es obvio, suponga beneficio para el reo, ya que en otro caso la ley nueva carecería de esa condición de más beneficiosa que justifica su aplicación retroactiva”. Y en este sentido el artículo 128.2 de la ley 30/1992, de 28 de noviembre, dispone: “Las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”, dado que, como señala el apartado 17 de su Exposición de motivos, es objeto de la misma la aplicación de "los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia". En consecuencia, en aplicación del anterior criterio jurisprudencial procede aplicar de forma retroactiva el régimen sancionador de la LSSI introducido por la modificación operada en dicha norma por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, al resultar éste en su conjunto más favorable que el vigente en el momento de la comisión de los hechos objeto de imputación. El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos) La definición de prestador del servicio se contiene en el apartado

1. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/25 De acuerdo con lo establecido en los apartados 3.
2. c)y 4.
3. d)del artículo 38 de la LSSI actualmente en vigor, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
4. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
5. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b), se producirá una infracción de carácter grave a los efectos de la LSSI. A partir del conjunto de hechos y circunstancias constatadas en el procedimiento sancionador y vistos los fundamentos de derecho anteriores, la conclusión que se despende es que la conculcación del artículo 21 de la LSSI que se imputa a TRADEINN se ajusta al tipo de infracción calificada como grave en el artículo 38.3.
6. c)de la vigente LSSI. Sin perjuicio de los usuarios que se registran en la web de la imputada puedan seleccionar el número de tiendas de las que desean recibir publicidad, que no la cantidad de envíos, dado el volumen de las comunicaciones comerciales no consentidas remitidas en un plazo de nueve meses por TRADEINN a la cuenta de correo electrónico del denunciante, en concreto 342 mensajes, parece razonable calificar el mismo como de envío insistente al haberse remitido una media superior a un mensaje diario y, también, como sistemático al responder a los criterios de gestión agrupada de las ofertas fijados por TRADEINN al gestionar la oferta global de las tiendas, sin que en este caso, quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 al haberse reconocido por la entidad remitente que el denunciante no era cliente de TRADEINN. IX A tenor de lo establecido en el artículo 39.1.
7. b)de la LSSI las infracciones graves podrán sancionarse con multa desde 30.001 hasta 150.000 euros, estableciéndose los criterios para su graduación en los artículos 39 bis y 40 de la misma norma, cuyo tenor literal es el siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/25
8. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
9. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
10. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
11. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
12. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
13. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
14. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
15. a)La existencia de intencionalidad.
16. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
17. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
18. d)La naturaleza y cuantía de los perjuicios causados.
19. e)Los beneficios obtenidos por la infracción.
20. f)Volumen de facturación a que afecte la infracción cometida.
21. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” X TRADEINN solicita la aplicación del artículo 39.bis. 2 de la LSSI aduciendo que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/25 en este caso se produce, junto con los presupuestos
22. a)y
23. b)contemplados en dicho precepto, la concurrencia significativa de los criterios establecidos en los apartados a),
24. b)y
25. d)del artículo 39 bis 1 de dicha norma, a lo que añade la existencia de una cualificada disminución de la culpabilidad como consecuencia de la concurrencia de los apartados a), c), d),
26. e)del artículo 40 de la LSSI. No obstante, en el presente supuesto, atendida la naturaleza de los hechos analizados, no se estima aplicable la previsión contenida en el mismo, cuya aplicación resulta excepcional y corresponde ponderar al órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. Así, en este caso, se considera que tiene especial relevancia el hecho de que a pesar de que la entidad imputada había recibido, confirmado y registrado en sus sistemas la solicitud de baja del denunciante, por lo que conocía la oposición del afectado al tratamiento del dato de su correo electrónico con fines publicitarios, sin embargo, continuó enviándole, en contra de su voluntad, comunicaciones comerciales en forma insistente y sistemática durante un plazo de nueve meses, tal y como prueba el elevado número de correos electrónicos recibidos por el denunciante

(342)entre marzo y noviembre de 2013. Con arreglo al plazo de tiempo durante el cual se ha venido cometiendo la infracción no puede considerarse que TRADEINN haya subsanado la situación irregular de forma diligente, y ello en razón de que no fue a partir del momento en que recibió el requerimiento de información de la AEPD (25 de marzo de 2014) que tuvo conocimiento de la voluntad del afectado de cancelar sus datos para no recibir publicidad, tal y como indicaba al afectado en el correo electrónico que le dirigió con fecha 2 de abril de 2014, sino que de lo actuado se ha constatado que desde el 19 de febrero de 2013 TRADEINN ya conocía la negativa del usuario a que se trataran sus señas electrónicas con fines publicitarios (folio 320). Además, el hecho de que TRADEINN no recibiera las solicitudes de cancelación de datos de fechas 22 de febrero y de marzo de 2013 no resulta imputable al afectado, quien utilizó la cuenta de correo electrónico habilitada por la empresa para ello en esas fechas, sino a la entidad imputada según se evidencia del citado correo electrónico de fecha 2 de abril de 2014 dirigido por ésta al afectado en el que se le indicaba que “un problema técnico” impidió la recepción de los mismos. Sobre este particular se observa que la cuenta de correo cliente@ L.L.L. debería haber estado operativa a los efectos de posibilitar tanto el ejercicio los derechos ARCO de la LOPD conforme se indicaba en la página web de esa empresa en esas fechas, como el de revocación en la forma prevista en el artículo 22.1 de la LSSI, que establece que: “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/25 Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos” (El subrayado es de la AEPD) A mayor abundamiento, si la entidad imputada detectó un problema de sincronización existente entre las bases de datos de gestión de clientes el 15 de noviembre de 2013, en lo que se refiere al denunciante consta que dicha anomalía se resolvió cuatro meses después, en concreto el 24 de marzo de 2014, fecha en la que se dio de baja el registro del correo electrónico del denunciante en la base de datos de Emailvisión/Smartfocus, la cual es titularidad de TRADEINN según figura en la Condición General relativa a “Protección de Datos Personales”. (folio 217) Frente al alegato relativo a la buena fe con la que siempre ha actuado, en la Sentencia de la Audiencia Nacional de fecha 27 de mayo de 2010, Sala de lo Contencioso-Administrativo, sec. 1º rec. 421/2010, se señalaba que: “El argumento de la buena fe es claramente insuficiente sobre todo en un caso como el presente en que se trata de una gran empresa que maneja multitud de datos y que debió actuar con más prudencia para justificar la legalidad de los tratamientos efectuados. La inexistencia de dolo, tan escuetamente planteada en el escrito de contestación a la demanda, no puede ser suficiente para justificar la estimación de la demanda pues procede aplicar lo dicho por el artículo 130 de la Ley 30/92 según el cual: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia". Tampoco se produce el supuesto

1. d)del artículo 39 bis 1, toda vez que, a pesar de lo pretendido, la imputada no ha reconocido expresa y espontáneamente su culpabilidad. Conviene observar que en las conclusiones contenidas en la respuesta al requerimiento de información efectuado por la AEPD durante las actuaciones previas TRADEINN no reconoce la existencia de culpa en ningún momento (folio 201), y aunque en las alegaciones al acuerdo de inicio se menciona dicho reconocimiento, sin embargo éste se produce después un conjunto de alegaciones que, manifiestamente, tratan de enervar su responsabilidad sobre los hechos imputados, sin que pueda admitirse la invocación de la atenuante únicamente a efectos estratégicos o de disminución de la sanción desvirtuándolo con otras coincidencias que lo contradicen . De hecho sus alegaciones se enuncian con las siguientes descripciones: “Cumplimiento generalizado de lo dispuesto en el artículo 21.1” de la LSSI, “Materialización de una anomalía puntual”, Medidas de subsanación adoptadas, ausencia total de intencionalidad en la comisión del hecho denunciado”, “Comisión del hecho denunciado en un plazo temporal breve, puntual, sin tratarse de envíos insistentes o sistemáticos, sino personalizados”, pronunciándose también las siguientes afirmaciones: “que respecto de la persona afectada se ha actuado siempre con la autorización expresa para el envío de todas las comunicaciones publicitarias que ha recibido” (folios 282 y 283), que el denunciante “dispuso, siempre, de varios canales para darse de baja o revocar su consentimiento”, que “los hechos a los que hace referencia el expediente que nos ocupa traen causa de consecuencia de una anomalía atípica y puntual en el funcionamiento tecnológico de dichos sistemas automáticos, no siendo debidos o imputables en modo alguno a la falta de diligencia de TRADEINN” (folio 283). Lo que demuestra que no se ha producido ningún error de interpretación como aduce TRADEINN en sus alegaciones a la propuesta de resolución, puesto que no se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/25 trata únicamente de describir el origen de la infracción y exponer la ausencia de dolo en su actuación, sino que en torno al argumento relativo a la existencia de un fallo que, por excepcional, no permitió la correcta cancelación automática de los datos del usuario en los sistemas de Emailvisión/Smartfocus y que, a su vez, generó la duplicidad de registros, impidiendo el bloqueo de los datos del afectado, lo que se está cuestionando es su responsabilidad o falta de rigor frente a la comisión de la infracción imputada. En relación a los criterios de graduación de las sanciones recogidos en el citado artículo 40 de la LSSI, se estima que operan como agravantes los criterios
2. a)y b). En cuanto a la expresión “La existencia de intencionalidad” con la que se describe el criterio a), esta Agencia entiende, conforme a la jurisprudencia del Tribunal Constitucional y del Tribunal Supremo reseñada en el Fundamento de Derecho VI de esta resolución, que dicha expresión debe entenderse en el sentido de grado de culpabilidad. Es destacable en ese sentido la grave falta de diligencia demostrada por TRADEINN en la conducta que es objeto de valoración en el expediente, y que ha dado lugar a la remisión de 342 comunicaciones electrónicas no deseadas al denunciante durante un plazo de tiempo cercano a los nueve meses, y que resulta particularmente relevante si se tiene en cuenta que, en tanto que empresa dedicada a la venta on-line, utiliza habitualmente los medios de comunicación electrónica con fines publicitarios, causa por la que debe ser especialmente conocedora de las exigencias recogidas en la LSSI en lo que respecta a las comunicaciones comerciales por vía electrónica. A su vez, se valoran como circunstancias atenuantes en la comisión de la infracción, los criterios relativos a la inexistencia de reincidencia por comisión de infracciones de la misma naturaleza, la falta de constancia de que el denunciante haya sufrido perjuicios derivados de la recepción del citado correo comercial electrónico, la ausencia de beneficios obtenidos por la imputada con motivo de la comisión de la infracción del artículo 21.1 de la LSSI y la adhesión de la imputada desde el año 2010 al código de conducta y sistema extrajudicial de resolución de reclamaciones de “CONFIANZA ON LINE”. Por todo lo cual, procede imponer a TRADEINN una sanción de 60.000 € . Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TRADEINN RETAIL SERVICES, S.L., por una infracción del artículo 21.1 de la LSSI, tipificada como grave en el artículo 38.3.
3. c)de la LSSI, una multa de 60.000 € (Sesenta mil €), de conformidad con lo establecido en los artículos 39.1. b y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a TRADEINN RETAIL SERVICES, S.L. y a Don B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/25 contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es