PS-00403-2014

1/31 Procedimiento Nº PS/00403/2014 RESOLUCIÓN: R/02821/2014 En el procedimiento sancionador PS/00403/2014, instruido por la Agencia Española de Protección de Datos a la entidad GROUPALIA COMPRA COLECTIVA, S.L., vista la denuncia presentada por Don D.D.D., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 18 de diciembre de 2013 tiene entrada en esta Agencia una denuncia contra GROUPALIA COMPRA COLECTIVA, SL, (en adelante GROUPALIA) interpuesta por Don D.D.D., (en adelante el denunciante) en la que manifiesta que tras una controversia en una de las compras solicitó en fecha 21/11/2013 la cancelación de sus datos personales para no recibir más notificaciones. Indica que a pesar de ello han seguido remitiéndole correos. Aporta copia de la carta remitida a la entidad con fecha 15/11/2013 en la que solicita la devolución del importe de cupones. El denunciante expresa a lo largo de la carta su reclamación sobre los cupones y al final de la misma incluye una coletilla solicitando literalmente “la oposición y cancelación de mis datos personales de sus ficheros para no volver a recibir sus comunicaciones”. Aporta copia de acuse de recibo de fecha de recepción 21/11/2013. No consta que aporte copia de DNI junto a la solicitud de cancelación. El denunciante aporta listado de 26 correos electrónicos provenientes de “Exclusivos Groupalia”, “Groupalia Madrid”, “Groupalia” y “Groupalia Travel” comprendidos entre las fechas 02/12/2013 y 12/12/2013. También aporta copia de otros 5 correos correspondientes a fechas comprendidas entre el 13/01/2014 y el 16/01/2014, y las cabeceras de Internet de 3 de ellos así como las cabeceras de otros dos correos electrónicos de fechas 11/01/2014 y 12/01/2014. En los correos en los cuales se aporta el final del texto, en el pie de los mensajes se aprecia la existencia de una coletilla informativa sobre los derechos ARCO, y la forma de ejercitarlos. Asimismo, el denunciante adjunta copia de la contestación a su solicitud de devolución de importe, oposición y cancelación. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia han tenido conocimiento de los siguientes extremos: - C/ Jorge Juan, 6 28001 – Madrid Se ha verificado analizando las cabeceras de Internet aportadas, que en la primera cabecera “received” incorporada consta el nombre de los servidores www.agpd.es sedeagpd.gob.es 2/31 de correo origen de los mensajes, siendo estos las máquinas que tienen por nombres “mta2.e. I.I.I.”, y “mta3.e. I.I.I.”. El dominio “ I.I.I.” está registrado a nombre de GROUPALIA. - En respuesta a la solicitud de información realizada desde esta Inspección de Datos, con relación al consentimiento otorgado por el denunciante así como a los motivos de la continuación de remisión de correos electrónicos comerciales, a pesar de la oposición y cancelación ejercitada, y adjuntando a la solicitud de información copia de los últimos correos electrónicos aportados por el denunciante y de la carta oposición y cancelación, los representantes de GROUPALIA han manifestado lo siguiente: “Groupalia es una entidad de compra colectiva, en la que aquellas personas que voluntariamente y de forma expresa, se inscriben en la plataforma web, recibirán boletines de correo electrónicos con ofertas comerciales sobre los productos deseados. La mecánica de negocio se basa pues, en las inscripciones voluntarias de sus usuarios sin que adquiramos bases de datos ni obtengamos datos personales de alguna otra forma. Groupalia ofrece a los interesados dos modalidades de suscripción:

1. a)Una modalidad en la que el usuario únicamente facilita su dirección de correo electrónico y el tratamiento de datos se limita a la remisión diaria de boletines electrónicos.
2. b)Una segunda modalidad en la que el usuario se registra facilitando datos adicionales que le permitirán hacer compras a través de Groupalia. En ambos casos, el interesado ha de aceptar de forma expresa la política de privacidad y las condiciones de uso. […] El usuario D. D.D.D., se suscribió en la modalidad de Usuario Registrado el 19/07/2011, para ello en el momento del registro, aceptó la política de protección de datos, en el que se solicitaba su consentimiento informado en los siguientes términos: A) Extracto de las Condiciones de Uso de Groupalia, aceptadas expresamente por los interesados: www. H.H.H. es una web de acceso libre y visita gratuita por todos los usuarios de Internet mayores de 16 años, sin necesidad de registrarse hasta el inicio de una compra o la solicitud de envío de las ofertas y/o descuentos (en adelante, “Visitantes”) Las personas que quieran recibir, periódicamente, en su dirección de correo electrónico las ofertas y descuentos disponibles deberán contar con la condición de “Usuario Suscriptor”, la cual se adquiere completando y enviando el formulario existente en el Sitio Web correspondiente a “¡Recibe nuestras ofertas!” y seleccionando las ciudades y países de donde se quiere obtener información. Los usuarios que quieran apuntarse a las Ofertas y comprar, deben contar con la condición de “Usuario Registrado”, la cual se adquiere completando como mínimo los campos obligatorios marcados con [*] y enviando el formulario del apartado “Regístrate” o cualquier otro formulario enviado por Groupalia directamente o a través de terceros. El Usuario Registrado consiente expresamente con la aceptación de las presentes CU recibir todas nuestras newsletters con las ofertas y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/31 descuentos disponibles. Si no selecciona específicamente otra opción, recibirá entre otras, ofertas y descuentos de la ciudad donde esté ubicado. En el caso de no querer recibir todas o algunas de nuestras newsletters o querer ampliar el número de ciudades de donde se ofrecen los Ofertas, en cualquier momento, el usuario las deberá deseleccionar o seleccionar, en el apartado web “Mi cuenta” y “Newsletter” En cualquiera de los tres casos anteriores (Visitante, Usuario Suscriptor y Usuario Registrado), el acceso y/o compra de los productos y servicios ofertados por Groupalia implica la aceptación y cumplimiento de las Condiciones Generales de Uso en la versión publicada en el momento en que se acceda al Sitio Web. B) Extracto de la Política de Privacidad, relativa a la finalidad del tratamiento de datos, aceptada expresamente por los interesados. [Durante la navegación a través de la web H.H.H. es posible que se soliciten datos de carácter personal a través de diferentes formularios dispuestos al efecto. Dichos datos formarán parte de los pertinentes ficheros en función de la finalidad determinada y concreta que motiva el recabo de los mismos. Fichero “Usuarios Web” de Groupalia Compra Colectiva S.L.] [La finalidad del tratamiento de tus datos de carácter personal, es la siguiente: • Remitirte nuestras ofertas y descuentos, a través de la dirección de correo electrónico que nos has proporcionado a tales efectos. • Realizar la gestión administrativa de la compra del producto o servicio asociado a las Ofertas.] […] Todo usuario que voluntariamente se inscribe en Groupalia es informado de forma explícita y determinada de la inclusión de sus datos de carácter personal en un fichero cuyas finalidades se detallan de forma pormenorizada en la política de privacidad de la web. Cuando el Sr. D.D.D. se registró en la web de Groupalia, aceptó necesariamente la política de privacidad y las condiciones de uso, al ser una casilla de marcación obligatoria. […] Desde que el Sr. D.D.D. creó su cuenta de usuario en Groupalia, contrató la adquisición de productos y servicios ofrecidos a través de nuestros boletines en 8 ocasiones, siendo la última contratación de fecha de 24 de octubre de 2013. Durante este tiempo, podemos estimar que el Sr. D.D.D. ha recibido un número aproximado de mil boletines electrónicos solicitados expresamente como se acreditó en el apartado anterior y todos bajo su plena conformidad. A raíz de la notificación de la AEPD, se inicia un procedimiento interno en Groupalia con un doble objetivo: 1º Cancelar de inmediato el envío de cualquier boletín electrónico a la dirección de correo K.K.K.@hotmail.com 2º Analizar el flujo de comunicaciones con el denunciante, a fin de averiguar lo sucedido. Se comprueba que cuando el Sr. D.D.D. adquiere un bono en la última compra que realizó en Groupalia, se produce una incidencia en la prestación del servicio y en ese C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/31 contexto, en Groupalia cometemos un error, ya que no atendemos de forma correcta en primera instancia la solicitud de devolución de 11 euros en bonos para comprar en una pizzería. El error consistió en que se realizó un cargo por 22 euros, cuando realmente el coste ascendía a 11 euros y asimismo, la posibilidad de usar el cupón no se encontraba operativa en la web de la pizzería al día siguiente de la compra. A pesar de que la responsabilidad en cuanto a la web de la pizzería no corresponde a Groupalia, sino al prestador del servicio (habiendo Groupalia actuado como mero intermediario en la publicitación de los servicios de un tercero), el departamento de atención al cliente de Groupalia siempre atiende y da respuesta a todas las incidencias que pueden tener los usuarios de la plataforma web. Sólo reparamos en la duplicación del pedido el día 12 de noviembre de 2013, tras cruzar varias comunicaciones con el interesado y en el mismo instante en el que se verificó la incidencia se procedió de inmediato a la devolución del importe cobrado erróneamente. A continuación, se recibe por parte de Groupalia por correo certificado la reclamación de cantidad del Sr. D.D.D. y la solicitud del derecho de desistimiento en la compra del cupón, por lo que dicha petición es gestionada directamente por un agente del servicio de atención al cliente de Groupalia y no por el departamento de bajas. En las últimas dos líneas del escrito, el interesado indica brevemente (sin resaltar dicho apartado de ningún modo) “Asimismo solicito la oposición y cancelación de los datos personales de sus ficheros para no volver a recibir sus comunicaciones”. Una vez realizadas las gestiones oportunas por parte de Groupalia y efectuado el reembolso del importe, se entiende cerrada la incidencia con el usuario y se procede al archivo de la carta, al no recibirse ninguna petición adicional del usuario. A.A.A., siendo la pretensión del usuario la devolución del importe del cupón y que por ello, fue tramitada por un área diferente a la de gestión de base de datos. Si el propósito era no dar notoriedad a la petición de revocación del consentimiento, obviamente se consiguió, ya que la persona de Groupalia que tramita la petición se centra en la resolución de la devolución del dinero con el fin de satisfacer la pretensión del usuario insatisfecho y no repara en la última línea del escrito. Cabe destacar que el usuario ni siquiera dirige su carta al departamento de atención al cliente o al departamento de bajas. En Groupalia entendemos, que cuando se publica la Ley de Servicios de la Sociedad de la Información en el año 2002 se busca dar respuesta a la garantía de los derechos de los ciudadanos en el uso de las tecnologías de la información. Por ello se imponen una serie de obligaciones a los prestadores de servicios como Groupalia, consistentes en facilitar la oposición al tratamiento dé sus datos en cada comunicación comercial que se remita a los interesados, elemento que es la mayor garantía posible para el ciudadano y al mismo tiempo hace viable el cumplimiento del deber al prestador del servicio dotándole de seguridad jurídica. De haber querido oponerse a la recepción de comunicaciones comerciales, el Sr. D.D.D. podría haber pulsado en un simple enlace de las más de 1.000 comunicaciones recibidas con agrado anteriormente, y en 30 segundos hubiera realizado la gestión completa. Hay que tener en cuenta que todas las newsletters de Groupalia contienen un enlace a través del cual se gestionan las bajas en los boletines, en estricto cumplimiento de lo establecido por el artículo 22.1 de la LSSI, que viene a prever lo siguiente: “Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibida el envío de comunicaciones que no incluyan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/31 dicha dirección.” Se trata de un procedimiento sencillo, gratuito, inmediato, formal, que hubiera satisfecho su derecho y no quebraría la seguridad jurídica de Groupalia. A pesar de ello, el usuario no optó por utilizar el procedimiento descrito (ni los otros procedimientos que se indican más adelante), sino que decide enviar una carta por correo administrativo, que ni tan solo va dirigida a ningún departamento concreto de Groupalia. En dicha carta centra su petición en reclamar la devolución del importe de un cupón e incluye en la última línea una breve mención relativa a la cancelación de sus datos. A mayor abundamiento, queremos manifestar que en una entidad como Groupalia, en el que nuestro principal activo es la remisión de boletines electrónicos diarios, somos especialmente cuidadosos en el cumplimiento de la normativa en materia de protección de datos y servicios de la sociedad de la información, ya que el elevado volumen de boletines electrónicos que remitimos diariamente nos sitúa en una posición de riesgo en ambas normativas. Por ello, hemos querido ir más allá del mero cumplimiento de la Ley de Servicios de la Sociedad de la Información y facilitamos hasta 4 formas de oponerse al tratamiento de los datos e incluso cancelar la cuenta de usuario. Primera opción Enlace activo al pie de cada comunicación comercial. Facilita la cancelación de la suscripción a los boletines en dos nasos directos e inmediatos […] El procedimiento se encuentra debidamente explicado en el siguiente enlace: http://es.help. newsletter H.H.H./custorner/portal/articles/154391-quiero-darme-de-bajade-la- […] Segunda opción Para el caso de que el usuario desee cursar la baja completa en el sistema, se ha habilitado un apartado específico dentro del área de usuario: Tercera opción Como garantía adicional, asimismo informamos a los usuarios sobre la posibilidad de oponerse a la recepción de comunicaciones comerciales indicando este extremo a C.C.C.. En esos casos las solicitudes de bajas y cancelaciones de datos se tramitan de forma manual por un agente del departamento de bajas. Cuarta opción: 1. Para el caso de que la referida información no fuese suficiente, se posibilita contactar directamente con el Departamento Técnico a través de un formulario específico, como se adjunta […] En este mismo sentido, queremos manifestar que en un sector como el de las plataformas de compra colectiva siempre hay un ratio de bajas y altas cada día. Como muestra del funcionamiento correcto cuando un usuario desea cancelar su cuenta y emplea los cauces adecuados se muestra a continuación las cifras de baja de los días correspondientes a la última semana de noviembre de 2013 a continuación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/31 Todas las cancelaciones y las oposiciones se tramitaron de forma exitosa, ya que como volvemos a repetir, somos los primeros conocedores de que es completamente inviable desde el punto de vista negocio -y por supuesto desde un punto de vista legal- mantener en la base de datos a personas que hayan revocado su consentimiento. Llegados a este punto, vemos que tras recibir aproximadamente 1.000 boletines electrónicos (expresamente solicitados) a lo largo de casi tres años el Sr. D.D.D. presenta denuncia ante la AEPD por recibir 6 boletines, debido a que se ha producido una incidencia que en absoluto tiene relación con el derecho fundamental a la protección de datos o a los derechos de los usuarios en relación con las tecnologías de la información, en lo que nuestro juicio es una muestra de mala fe o abuso de derecho, más cuando pudo haber ejercido su derecho en menos de 30 segundos a través del enlace habilitado a tal efecto en cada uno de los boletines que recibió. Teniendo en cuenta el riesgo que se asumiría diariamente si Groupalia no fuera especialmente cuidadosa y diligente en el cumplimiento de la LSSI, el hecho de que estemos ante una incidencia que afecta a un usuario, acredita de forma manifiesta la ausencia de dolo vio culpa, así como el conocimiento explícito de la normativa aplicable.” Sobre la contestación emitida por la entidad a la solicitud de oposición remitida por el denunciante los representantes de GROUPALIA manifiestan lo siguiente: “La cronología de hechos y contestaciones puede resumirse en los siguientes puntos: 1) Mensaje de correo electrónico remitido por Groupalia el día 12 de noviembre de 2013 a las 17.00 […] Como se puede observar, la contestación indicada no hace referencia alguna a los derechos de oposición o cancelación de los datos, ya que: 1º Durante todo ese tiempo, el interesado nunca se manifestó en dicho sentido, ni realizó solicitud o consulta alguna sobre el ejercicio de sus derechos. 2º La contestación se centra en la incidencia de compra y en el error de Groupalia de cargar dos veces un bono de compra de una pizza. 4º En último lugar se le informa que se ha procedido a la devolución del pedido cobrado erróneamente, dándose de este modo por cerrada la incidencia. 2) El día 21 de noviembre de 2013 se recibe envío postal certificado del Sr. D.D.D., en el que se reitera la solicitud de desistimiento y se solicita el reembolso del dinero. En la últimas dos líneas se incluye por primera y única vez una somera referencia a la “oposición y cancelación”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/31 3) La solicitud en papel es tramitada por un departamento diferente al de gestión de Base de Datos, al tener por objeto una incidencia relativa al cupón del usuario. El agente procede al abono del cupón que el Sr. D.D.D. había adquirido correctamente, teniendo en cuenta que la pretensión principal de la carta de fecha 15 de noviembre de 2013 enviada por el usuario es precisamente el reembolso del importe abonado. El propio usuario indica lo siguiente: “Por tanto, mediante la presente les solicito la devolución del importe de ambos cupones, tanto el primero que no sirve para nada, como el duplicado por el que han sustraído su importe de mi cuenta bancaria sin mi consentimiento’ 4) Mensaje de correo electrónico remitido por Groupalia el día 27 de noviembre de 2013 a las 18.31 […] El día 27 de noviembre desde Groupalia se comunica que se hace efectivo de forma inmediata el reintegro del referido cupón, pese a que éste fue cobrado correctamente conforme a lo dispuesto en las Condiciones de Uso de Groupalia. Es decir, se da trámite a las peticiones del Sr. D.D.D. de la forma más favorable a sus intereses, evitándole el menor perjuicio. Se han atendido todas las peticiones del usuario, y se ha renunciado incluso, a los legítimos intereses de Groupalia. De haber existido mala fe por parte de Groupalia, hubiese sido mucho más sencillo cancelar los datos del usuario y no proceder al reembolso de los cupones. En ese caso, no existiría el presente procedimiento y el usuario tendría que haber recurrido a los cauces adecuados y normales para una reclamación en el ámbito de consumo, teniendo en cuenta además que al cancelar su cuenta hubiera perdido cualquier derecho a recuperar el importe pagado. Pero fue imposible gestionar la supuesta solicitud de oposición porque existiendo una ley que regula las formas de oponerse a la recepción de comunicaciones electrónicas como es la LSSI, el usuario opta por esconder su pretensión en un papel, donde de manera velada y sin cumplir el menor requisito formal produce una quiebra de la seguridad jurídica y en las garantías que precisamente se han establecido para proteger los derechos de los consumidores. La ausencia de toda formalidad es tal, que el usuario ni adjunta copia de su Documento Nacional de Identidad, circunstancia que podría haber ayudado para asociar -al menos en primera instancia- la petición planteada con un derecho de cancelación en materia de protección de datos. Nunca se ha pretendido mantener activa la cuenta de usuario del Sr. D.D.D., ya que mantener activa una cuenta de un usuario que desea poner fin a la relación que mantiene con Groupalia, nunca nos supone un beneficio, sino un claro perjuicio. Como se ha indicado anteriormente, las bajas diarias forman parte de la mecánica habitual de nuestro negocio y hasta el momento presente siempre se han gestionado de forma correcta. No obstante, y dado que la intención de Groupalia es minimizar cualquier riesgo que pueda tener relación con el cumplimiento de las normas de protección de datos y servicios de la sociedad de la información, se han llevado a cabo acciones a fin de cubrir el máximo número de variables posibles. Por ello, se ha enviado un mensaje de correo electrónico a todo el personal de la compañía, incluso a aquellas personas que no tienen acceso a datos de carácter personal, con el objetivo de que sepan reconocer situaciones en las que a pesar de que haya peticiones que pudieran ser un tanto irregulares por forma y contenido, un usuario de Groupalia pueda estar haciendo referencia a algún derecho contemplado en la normativa de protección de datos o servicios de la sociedad de la información. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/31 […] En relación con la situación actual del Sr. D.D.D. con respecto a la emisión de comunicaciones comerciales, se ha de indicar, que en el momento en el que se recibió la solicitud de información por parte de la AEPD (día 6 de junio de 2014), se procedió a la baja inmediata del usuario de nuestro sistema informático, de forma que los datos han sido aislados del sistema y en la actualidad no recibe ni recibirá comunicación alguna de Groupalia. No se ha podido proceder a la baja de usuario con anterioridad, debido a que el Sr. D.D.D. no remitió si quiera un e-mail en el que solicitara la baja, ni por supuesto hizo uso de los numerosos mecanismos técnicos habilitados en la web para garantizar los derechos de nuestros usuarios. Según se ha expuesto más arriba, el usuario optó por el envío de una carta, siendo el propósito principal de la misma, a nuestro juicio, el reembolso del importe de unos cupones.” La entidad apoya lo manifestado con diversa documentación, incluyendo capturas de pantalla con las opciones disponibles al usuario para la baja de los boletines y copia de la remisión del mensaje a los empleados de la entidad para intentar evitar que se vuelva a producir un hecho como el denunciado. No obstante se ha comprobado que en la página web de la entidad figura, en la política de privacidad, en el apartado “Ejercicio de derechos de “Acceso, rectificación, cancelación y oposición”, lo siguiente : “En cualquier momento, el Usuario Registrado o Usuario Subscriptor tendrá el derecho de acceso, rectificación, cancelación y oposición a todos sus datos personales. Para ejercitar esta facultad el Usuario Registrado deberá acceder a G.G.G., al apartado "Mi Cuenta" (pestañas: "editar", "cambiar información" y "darse de baja de Groupalia") o dirigirse por escrito a c/ B.B.B., vía e-mail a C.C.C.. Asimismo, para solicitar más información los usuarios también podrán contactar con el departamento de atención al cliente llamando al 902. L.L.L..” Es decir, se incluye “por escrito a c/ B.B.B., Barcelona” tal y como lo ha realizado el denunciante, si bien ha incluido la oposición al final del texto de una reclamación y no aportó copia del DNI. TERCERO: Con fecha 7 de julio de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GROUPALIA COMPRA COLECTIVA, S.L. por la presunta infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como grave en el artículo 38.3.
3. c)de dicha norma, pudiendo ser sancionada con multa de 30.001 hasta 150.000 euros, de acuerdo con el artículo 39.1.
4. b)de la LSSI. CUARTO: Notificado el citado Acuerdo de inicio, la representación legal de la entidad imputada presentó alegaciones solicitando el archivo del procedimiento sancionador, con fundamento, en síntesis, en las siguientes alegaciones, las cuales en su mayor parte constituyen reiteración de los extremos indicados durante las actuaciones previas: Primera: Falta de concurrencia del tipo descrito en el artículo 38.3.
5. c)de la LSSI, toda vez que los correos comerciales alegados por el denunciante se han enviado cumpliendo los requisitos recogidos en el artículo 21 de la LSSI. Respecto de la exigencia del consentimiento recogida en el apartado 1 de dicho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/31 precepto, se aduce que el denunciante consintió expresamente en la recepción de envíos publicitarios al suscribirse voluntariamente con fecha 19/07/2011 como “Usuario Registrado” de GROUPALIA a fin de recibir ofertas y poder comprar, para lo que en ese momento facilitó sus datos y aceptó la política de privacidad del servicio, en la que se indicaba que consentía expresamente a recibir todas las newsletters con las ofertas y descuentos disponibles. Se observa que este consentimiento expreso fue previo a que el denunciante se convirtiera en cliente de la entidad al adquirir hasta en siete ocasiones, de productos y servicios ofrecidos por la entidad. En cuanto a las exigencias recogidas en los apartados segundo y tercero del artículo 21 de la LSSI, se indica que todas las newsletters de GROUPALIA disponen de una dirección electrónica válida a través de la cual ejercitar el derecho de oposición a recibir comunicaciones comerciales que permite al usuario cancelar la suscripción a dichos boletines electrónicos, tal y como muestra la plantilla adjuntada correspondiente a los boletines remitidos en los meses de diciembre de 2013 y enero de 2014, aunque los boletines aportados por el denunciante aparecen truncados en el lugar en el que figura el enlace de gestión de bajas. Segundo: Al parecer de la entidad, y sin perjuicio de que la aplicación de la LSSI no impida la aplicación de la LOPD, no nos encontramos ante el ejercicio de derechos ARCO de la LOPD, ya que la solicitud de oposición y cancelación a la que se refiere el denunciante aparecía en una “frase inconcreta, ambigua y carente de todo formalismo” incluida en una reclamación económica de consumo que fue gestionada por el departamento de atención al cliente y no en el departamento de bajas, añadiendo que de haberse percibido el menor indicio de la solicitud veladamente incluida en el escrito, se habría llevado a cabo siguiendo la política de la entidad de facilitar la gestión de bajas. Se aduce que el hecho de que entre las formas facilitadas en política de privacidad de la entidad para ejercer los derechos ARCO se encuentre la opción de una carta postal a la c/ J.J.J. de Barcelona no habilita para que en una comunicación escrita originada en una cuestión completamente distinta se introduzca una referencia confusa sobre “oposición” y “cancelación”, ya que dicho ejercicio precisaría de una solicitud ad hoc o, como mínimo, una petición clara en la expresión de voluntad del interesado que contenga los elementos requeridos en el título III del RLOPD, o, en su defecto, un mínimo de información suficiente para inferir la petición del solicitante y poder solicitar que subsane los defectos de forma. Aunque se cumple el requisito de que el medio enviado permita acreditar el envío, sin embargo se observa que la inconcreta petición en una línea de un documento completamente ajeno carece de los mínimos elementos formales establecidos en el artículo 26 del RLOPD (falta aportación DNI u otro documento identificativo válido que acredite la identidad del afectado, falta de concreción de la petición), cuya función principal es mostrar y clarificar al responsable del fichero que está obligado a facilitar el ejercicio de un derecho al titular de los datos. La ausencia de estos elementos, y, fundamentalmente, la ausencia de una base mínima que permita conocer al prestador de servicios que se ha requerido la subsanación de la solicitud impide considerar que estamos ante el ejercicio de un derecho ARCO. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/31 Tercero: Aunque el denunciante siguió recibiendo comunicaciones comerciales de GROUPALIA después de la fecha en que se recibió su reclamación de consumo, sin embargo no utilizó el mecanismo de baja contenido en los envíos recibidos con posterioridad que le hubiera permitido cancelar la suscripción de los boletines, lo que se interpreta, de acuerdo con el criterio jurisprudencial mantenido por la Audiencia Nacional en la Sentencia de 15/07/2011, con nº de Recurso 256/2010, como conformidad con la recepción de los posteriores envíos e implica que el usuario no ha revocado el consentimiento prestado para la recepción de los boletines de GROUPALIA . Subsidiariamente, se solicita que en el supuesto de que se considere la existencia de infracción se establezca la cuantía de la sanción aplicando la escala relativa a la clase de infracción leve por concurrencia significativa de los siguientes elementos tipificados en el artículo 39 bis 1 de la LSSI: Falta de concurrencia del elemento subjetivo de dolo o culpa en su conducta; Regularización de la situación tan pronto como se tuvo conocimiento de la misma a través de la solicitud de información de la AEPD, momento en que se canceló la suscripción a los boletines del denunciantes. La baja no se pudo gestionar con anterioridad al no constar que el denunciante hubiera decido cancelar su suscripción; La conducta del afectado es clave en la situación analizada, puesto que aunque parece conocer la normativa aplicable de la LSSI para interponer una denuncia, sin embargo no hace uso del enlace de baja facilitado con tal fin. Además, acumula un número suficiente de envíos que permitan inferir la posible comisión de una infracción grave a la LSSI; La empresa no ha sido sancionada por incumplimiento a la LSSI ni a la LOPD, a pesar de que el riesgo de incumplimiento es mayor que el de otras empresas al centrarse el negocio en la remisión de comunicaciones comerciales; Falta de perjuicio alguno al interesado, a quien se reintegró el bono cobrado erróneamente y efectuó una transferencia por el bono cobrado correctamente; Falta de beneficio en relación con los hechos acaecidos. Ya dentro de la citada escala, se aplique la graduación mínima de la eventual sanción por la concurrencia de los criterios contemplados en el artículo 40 de la LSSI. QUINTO: Con fecha 20 de agosto de 2014 se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas en el que acordó: 1. Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante GROUPALIA, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/07933/2013. 2. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00403/2014 presentadas por GROUPALIA y la documentación que a ellas acompaña. 3. Solicitar al denunciante remisión de impresión en formato papel del contenido completo del cuerpo de los mensajes aportados en su escrito de fecha 16/01/2014 al estar incompleta su parte izquierda. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/31 Con fecha 8 de septiembre de 2014 se registra de entrada contestación del denunciante indicando que desconoce el motivo de la situación comunicada y que no puede atender a lo solicitado al haber procedido a eliminar los mensajes de la bandeja de entrada una vez enviados. SEXTO: Con fecha 13 de noviembre de 2014 se formuló propuesta de resolución, proponiendo que por el Director de la Agencia Española de Protección de Datos se sancionase a GROUPALIA COMPRA COLECTIVA, S.L. con multa de 20.000 € (Veinte Mil euros) por la infracción del artículo 21.1 de la LSSI, tipificada como grave en el artículo 38.3.
6. c)de dicha norma, conforme a lo previsto en los artículos 39 bis 1.
7. c)y 40 de dicha norma. SÉPTIMO: Notificada la propuesta de resolución, la representación legal de la entidad imputada solicitó el archivo de las actuaciones alegando, en síntesis, lo siguiente: - En cuanto a los hechos se realizan las siguientes matizaciones:
8. a)Consideran que existió la diligencia debida en la prevención, ya que con anterioridad a los hechos denunciados ya estaban implementadas medidas para garantizar que todo el personal con acceso a datos de los clientes conociese el procedimiento de atención de los derechos ARCO y para formar en materia de protección de datos a los trabajadores que se incorporaban a la empresa, como muestra que no se haya producido ninguna reclamación a excepción de la presente. Por ello, se recalca que la comunicación dirigida a los empleados de la entidad con fecha 16/06/2014 constituyó un recordatorio, y no una información “ex novo”, sobre la importancia de revisar todo el contenido de los escritos recibidos en evitación de posibles errores asociados al tratamiento de datos personales.
9. b)Se incide en que la forma en que se ejerció por el denunciante la solicitud pudo provocar el error humano de la persona que atendió la reclamación de consumo que contenía la solicitud de cancelación y oposición no tramitada, señalándose que la entidad conoció la existencia de dicho error, en lugar de por el denunciante, a través de la primera comunicación de la AEPD trasladando la denuncia recibida. Al hilo de lo cual se alega que el plazo y el número de envíos realizados se deben al tiempo que el denunciante dejo transcurrir sin comunicar la situación a GROUPALIA o sin denunciar el hecho a la AEPD. Se arguye que el denunciante tuvo la oportunidad de solventar la situación después de recibir cada uno de los envíos denunciados utilizando el enlace de baja o, en su caso, usando el resto de enlaces a los distintos documentos o al Servicio de Atención al Cliente contenidos en los mismos, lo que hubiera reducido el tiempo transcurrido y el número de envíos recibidos. - En cuanto a los Fundamentos de Derecho expone: Primero, considera que a pesar del escrupuloso cumplimiento en su actividad de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/31 normativa de protección de datos, no puede evitarse que ésta se utilice, pervirtiendo su espíritu, como elemento intimidador en controversias existentes entre particulares y empresas debido a las elevadas sanciones que fija su régimen sancionador, añadiendo la relativa facilidad para interponer denuncias ante la AEPD por situaciones que no generan daño alguno a los bienes jurídicos protegidos por la LOPD. Segundo, conforme a lo previsto en el artículo 130.1 de la Ley 30/92, se defiende la inexistencia de culpa en su conducta , ya que la implementación de las medidas de protección de datos antes señaladas demuestra que no se ha producido la inobservancia del deber de cuidado en su conducta, añadiendo que el hecho antijurídico se ha producido por un error humano de la persona que tramitó la solicitud, propiciado por la dificultad de asociar la solicitud del demandante con una solicitud de baja o de ejercicio de derechos ARCO. Tercero, Se defiende la existencia de un matiz diferenciador crucial entre el concepto general de “spam” expuesto por la Agencia, con el que se está de acuerdo, y la acción denunciada en el presente expediente, ya que partiendo del espíritu de la LSSI debe diferenciarse entre los casos en que se realiza directamente una comunicación no solicitada en origen por el destinatario de aquellos otros supuestos en los que el usuario, tras revocar el consentimiento originariamente prestado, continúa recibiendo comunicaciones comerciales por un error en el proceso de baja, tal y como ha ocurrido en este caso. En consecuencia, en este supuesto, los mensajes recibidos no pueden ser englobados en el concepto de “spam”, siendo la causa de la continuidad de los envíos el desconocimiento de la antijuridicidad de la situación por GROUPALIA debido a un error humano en el proceso de tramitación de la baja y la falta de comunicación posterior del denunciante de la recepción de los mismos, no obstante que pudo entender que había habido un error en dicho proceso. Dicho lo cual, de no aceptarse la ausencia de culpabilidad, se solicita la tipificación de la sanción como leve en lugar de grave al haber quedado demostrado que no existió remisión insistente y sistemática de comunicaciones comerciales no deseadas en el espíritu de lo fijado por el artículo 21 de la LSSI. Complementariamente a lo anterior, se reitera la solicitud de aplicación de lo previsto en el artículo 39 bis 1 de la LSSI estimando una minoración sustancial de la cuantía de la sanción, y su graduación conforme a los criterios establecidos en el artículo 40 de dicha norma al concurrir los supuestos
10. a)al
11. e)citados en el mismo. HECHOS PROBADOS PRIMERO: Con fechas 18 de diciembre de 2013 y 23 de enero de 2014 se registran de entrada en esta Agencia escritos de Don D.D.D., el denunciante, comunicando que GROUPALIA continúa enviándole comunicaciones comerciales con posterioridad al ejercicio por su parte de los derechos de cancelación y oposición al tratamiento de sus datos personales. En la copia de algunos de los envíos aportados por el denunciante se aprecia que al pie de los mismos se consigna como domicilio para ejercer los derechos ARCO de la Ley 15/1999, sobre Protección de Datos Personales, la c/ J.J.J., de Barcelona o el e-mail a E.E.E.. (folios 1 al 6 y 11 al 27) SEGUNDO: GROUPALIA ha informado que con fecha 19 de julio de 2011 el denunciante se suscribió, voluntariamente, en la plataforma web de GROUPALIA en la modalidad de “Usuario Registrado” para recibir diariamente boletines comerciales en su cuenta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/31 correo electrónico con las ofertas y descuentos disponibles en asuntos de viajes, shopoing y ocio Madrid y realizar compras a través de dicha entidad. Dicho registro requería la aceptación de las Condiciones de Uso y Política de Privacidad de dicha empresa, constando en el primer documento que el usuario registrado consentía expresamente la recepción de todas las newsletters de GROUPALIA con las ofertas y descuentos disponibles, y figurando en el segundo documento citado que la finalidad del tratamiento de los datos de carácter personal recabados era la remisión de dichas ofertas y descuentos a través de la dirección de correo proporcionada y la gestión administrativa de la compra del producto o servicio asociado a las ofertas. (folios 41 al 43, 51, 119, 133) TERCERO: En la ficha de registro del denunciante obrante en los sistemas de GROUPALIA aparecen su nombre y apellidos, el email K.K.K.@hotmail.com, su fecha de nacimiento y género (folio 133) CUARTO: Con posterioridad a su inscripción el denunciante adquirió productos y servicios ofrecidos por GROUPALIA. (folios 1, 57 al 59 y 120 ) QUINTO: Con fecha 15 de noviembre de 2013 el denunciante, dirigió un escrito certificado a GROUPALIA a la dirección c/ J.J.J., 2º planta de Barcelona en el que, junto con una reclamación relativa a la devolución del importe de unos cupones cobrados erróneamente, se solicitaba “la oposición y cancelación de mis datos personales de sus ficheros para no volver a recibir sus comunicaciones.” El escrito fue recibido por GROUPALIA con fecha 21 de noviembre de 2013. (folios 3, 4, 44 ) SEXTO: GROUPALIA cerró la incidencia contestando con fecha 27 de noviembre de 2013, vía email, dicha reclamación comunicando al denunciante que se había cancelado su pedido y procedido al reembolso inmediato del mismo. La contestación no hacía ninguna mención a la solicitud de oposición y cancelación de los datos personales del afectado. (folios 44, 54) SÉPTIMO: GROUPALIA ha reconocido que con posterioridad a dicha fecha continuó enviando diariamente a la cuenta de correo electrónico del denunciante K.K.K.@hotmail.com boletines electrónicos con ofertas sobre productos y descuentos, (folios 5, 6, 11 al 27, 127 ) En consecuencia, entre el 4 de diciembre de 2013, fecha a partir de la que se dan por transcurridos diez días hábiles a contar desde la recepción del escrito el 21 de noviembre de 2013 que contenía la solicitud del ejercicio de los derechos de oposición y cancelación de datos del denunciante, y el 11 de junio de 2014 , fecha en que se cancelaron los datos del denunciante en los sistemas de la entidad, éste recibió un total de 189 comunicaciones comerciales en su cuenta de correo electrónico procedentes de GROUPALIA. OCTAVO: Los boletines electrónicos comerciales remitidos por GROUPALIA contienen un enlace de baja (dirección electrónica válida de baja). (folios 122, 134 al 136). NOVENO: GROUPALIA dio de baja al denunciante en sus sistemas con fecha 11 de junio de 2014 (folio 51) DÉCIMO: En el apartado denominado “Ejercicio de derechos de “Acceso, rectificación, cancelación y oposición” de la Política de Privacidad del sitio web H.H.H. figura lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/31 siguiente: “En cualquier momento, el Usuario Registrado o Usuario Subscriptor tendrá el derecho de acceso, rectificación, cancelación y oposición a todos sus datos personales. Para ejercitar esta facultad el Usuario Registrado deberá acceder a G.G.G., al apartado "Mi Cuenta" (pestañas: "editar", "cambiar información" y "darse de baja de Groupalia") o dirigirse por escrito a c/ B.B.B., Barcelona, vía e-mail a C.C.C.. Asimismo, para solicitar más información los usuarios también podrán contactar con el departamento de atención al cliente llamando al 902. L.L.L..” (folios 92, 93 y 125) FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
12. d)e
13. i)y 38.4 d),
14. g)y
15. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el párrafo segundo del artículo 43.1 de dicha Ley. II Con carácter previo al análisis del fondo del asunto, debemos indicar que entre la remisión de los envíos objeto de análisis y la iniciación del presente procedimiento se ha promulgado la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, cuya Disposición Final Segunda introduce, entre otras, importantes modificaciones en el régimen sancionador de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico. Conforme al artículo 9.3 de la Constitución Española, “La Constitución garantiza (…) la irretroactividad de las disposiciones sancionadoras no favorables o restrictivas de derechos individuales”. Y en este sentido constante jurisprudencia ha mantenido el principio de retroactividad de la ley sancionadora más favorable. Destacamos así la Sentencia del Tribunal Constitucional 131/1986 de 29 de octubre que señala refiriéndose al principio de retroactividad de la ley penal más favorable “es que, además, dicho principio supone la aplicación íntegra de la ley más beneficiosa, incluidas aquellas de sus normas parciales que puedan resultar perjudiciales en relación con la ley anterior, que se desplaza en virtud de dicho principio, siempre que el resultado final, como es obvio, suponga beneficio para el reo, ya que en otro caso la ley nueva carecería de esa condición de más beneficiosa que justifica su aplicación retroactiva”. El artículo 128.2 de la ley 30/1992, de 28 de noviembre, dispone: “Las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”, dado que, como señala el apartado 17 de su Exposición de motivos, es objeto de la misma la aplicación de "los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia". En consecuencia, en aplicación del principio de retroactividad de la norma sancionadora más favorable procede aplicar de forma retroactiva el régimen sancionador de la LSSI introducido por la modificación operada en dicha norma por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, al resultar éste en su conjunto más favorable que el vigente en el momento de la comisión de los hechos objeto de imputación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/31 III A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Por lo tanto, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. A su vez, el artículo 22.1 de la LSSI, que establece como “Derechos de los destinatarios de los servicios” que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/31 “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos” De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
16. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
17. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/31 advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. IV Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
18. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. La LSSI en su Anexo
19. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros representen una actividad económica, los siguientes: (…) y siempre que 4º El envío de comunicaciones comerciales. ” (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
20. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. V En el presente supuesto, ha quedado acreditado que entre el 4 de diciembre de 2013 y el 11 de junio de 2014 GROUPALIA remitió 189 correos electrónicos comerciales al denunciante sin contar con el consentimiento previo y expreso del mismo. Todos ellos contenían ofertas y promociones acordes a los productos elegidos por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/31 denunciante al registrarse como usuario de la plataforma web. A este respecto, señalar que GROPUPALIA recibió el 21 de noviembre de 2013 un escrito del denunciante que contenía una solicitud de oposición y cancelación de sus datos personales para no volver a recibir comunicaciones. Por lo tanto, cuando GROUPALIA remitió las comunicaciones comerciales objeto de análisis ya conocía la voluntad del denunciante de que sus datos personales, y entre los que se encuentra su email, no se utilizaran para enviarle los boletines promocionales objeto del negocio de dicha entidad. Dichos envíos se integran por los correos comerciales remitidos transcurridos 10 días hábiles desde la recepción del escrito del denunciante conteniendo la mencionada solicitud y se ha finalizado el día en se bloquearon los datos del afectado en sus ficheros. Por lo tanto, con independencia de que el envío de comunicaciones comerciales al correo electrónico del denunciante se hubiera venido produciendo con la autorización del “usuario registrado” en la plataforma web al objeto de recibir dichos boletines comerciales, la recepción por parte de GROUPALIA de la mencionada solicitud con anterioridad a los envíos objeto de análisis dejaba sin efecto, de esta forma, cualquier consentimiento anteriormente prestado para recibir boletines publicitarios en su cuenta de correo electrónico, haciendo decaer también la salvedad al consentimiento que pudiera derivarse de la relación contractual mantenida entre ambas partes con posterioridad a dicho registro. En este mismo sentido se pronuncia la Audiencia Nacional en un caso similar en su sentencia de fecha 18 de octubre de 2013, Rec. nº 162/2012, al señalar: “En el supuesto que nos ocupa, ha quedado acreditado que la entidad recurrente remitió más de 47 e-mails publicitarios a la denunciante desde octubre hasta diciembre de 2010, con posterioridad a la solicitud y confirmación de la cancelación de los datos de la denunciante, por lo que ha de considerarse infringido el citado precepto, al no contar con el consentimiento de la destinaria. Por otro lado, aunque en este supuesto hubiese existido una relación comercial previa con la destinataria, ésta no le habilita a remitir publicidad comercial cuando el cliente ha manifestado, como es el caso que nos ocupa, su expreso deseo de no recibirla, pues la excepción prevista en el apartado segundo del citado art. 21 de la Ley 34/2002, de 11 de julio, establece expresamente la posibilidad de ofrecer al destinatario “la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija”. Más en el presente supuesto en que se había procedido a la cancelación de los datos de la denunciante. Carece de relevancia, por tanto, el sistema que para los envíos publicitarios tuviera establecido la entidad recurrente, pues no se trata tanto de cuestionar el tratamiento indebido de datos sino de impedir el envío de publicidad no consentida, para lo cual la empresa dispuso de tiempo suficiente para articular los mecanismos correctores necesarios para evitar que se siguiera mandando publicidad comercial a la denunciante” Con arreglo a este criterio jurisprudencial, no cabe duda que los 189 correos electrónicos recibidos por el denunciante después de haber solicitado la oposición y cancelación de sus datos a efectos de no volver a recibir newsletters publicitarios eran comunicaciones comerciales no consentidas por su destinatario, por lo que éstos resultan perfectamente encuadrables en el concepto de “spam” reseñado en el Fundamento de Derecho III de esta resolución. En nada modifica tal consideración, que el denunciante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/31 se hubiera dado de alta en el servicio de boletines comerciales antes de ejercer los reseñados derechos, tuviera identificado al remisor de los mismos, conociese el funcionamiento de los envíos publicitarios y se tratara del mismo tipo de información que la recibida con anterioridad a su ejercicio, puesto que al ejercitarlos manifestó su negativa a recibir comunicaciones procedentes de GROUPALIA. La mencionada interpretación, por lo tanto, se encuentra en concordancia con lo el espíritu de la LSSI, en cuya Exposición de Motivos se afirma que “En lo que se refiere a las comunicaciones comerciales, la Ley establece que éstas deban identificarse como tales, y prohíbe su envío por correo electrónico u otras vías de comunicación electrónica equivalente, salvo que el destinatario haya prestado su consentimiento.”. A mayor abundamiento, del tenor literal del artículo 21 de la LSSI se observa que la justificación ofrecida por GROUPALIA para mantener que los envíos imputados no pueden ser calificados de “spam” no está contenida como excepción al consentimiento previo y expreso del destinatario requerido en el citado precepto, causa por la que los hechos analizados encajan en el tipo infractor descrito y se produce antijuridicidad en la conducta de GROUPALIA. VI En las alegaciones al acuerdo de inicio GROPUPALIA manifestó que el denunciante intentaba hacer valer el derecho de oposición regulado en la LSSI, a través de una referencia incompleta y carente de forma a los derechos de oposición y cancelación de la LOPD y su normativa de desarrollo, a pesar de que los derechos de estas normas, aunque conexos, son distintos y disponen de na naturaleza jurídica diferente. Se recalcaba que el denunciante no había utilizado ninguno de los cuatro mecanismos habilitados por GROUPALIA, en cumplimiento de lo dispuesto en los artículos 21.2 y 22.1 de la LSSI, alegato reiterado en las alegaciones a la propuesta de resolución. También se insistía en que no se estaba ante un supuesto del ejercicio de los derechos ARCO de la LOPD en atención a que la solicitud de oposición y cancelación se incluía en forma poco precisa y clara en un escrito cuyo objeto principal era una reclamación de consumo, lo que obstaculizaba la comprensión de la voluntad del interesado, y dado que dicha solicitud no cumpliría los requisitos establecidos en el título III del RLOPD. En las alegaciones a la propuesta de resolución GROUPALIA intenta derivar su responsabilidad en la comisión de la infracción imputada insistiendo en que los hechos objeto de expediente traen causa de un error humano producido la persona que atendió la reclamación, la cual no entendió del tenor del escrito que se tratase del ejercicio de derechos ARCO y sólo dio trámite a la reclamación de consumo. En el presente caso, y sin perjuicio de que la incoación del presente procedimiento sea de aplicación el régimen sancionador previsto en la LSSI, en tanto que es una noma especial que prohíbe el envío de comunicaciones comerciales por correo electrónico u otras vías de comunicación electrónica equivalente, la correcta valoración de los hechos imputados hace preciso recordar que, de conformidad con lo previsto en el artículo 19.2 de la LSSI, también ha de estarse a lo previsto en la LOPD y su normativa de desarrollo. De este modo, la LOPD resulta de aplicación al haberse producido el tratamiento de los datos personales del denunciante correspondiente a su cuenta de correo electrónico y haberse utilizado por éste una dirección postal habilitada por la empresa remitente de los envíos denunciados para el ejercicio de los derechos ARCO, entre los que se encuentran los derechos de cancelación y de oposición. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/31 A los efectos de dilucidar la cuestión planteada resulta necesario citar la siguiente normativa de protección de datos. Los artículos 16.1, 2 y 3 y 17.1 de la LOPD, en relación con los derechos de cancelación y oposición señalan que: “Art. 16 Derecho de rectificación y cancelación. 1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. (…) Art. 17. Procedimiento de oposición, acceso, rectificación o cancelación. 1. Los procedimientos para ejercitar el derecho de oposición, acceso, así como los de rectificación y cancelación serán establecidos reglamentariamente.” El artículo 30.4 de la LOPD señala en cuanto a los tratamientos con fines de publicidad y de prospección comercial que cuando los datos hayan sido facilitados por los propios interesados y obtenidos con su consentimiento que: “4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.” Por su el parte los párrafos 4 y 5 del artículo 24 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (RDLOPD), señalan respecto de las condiciones generales para su ejercicio que: “4. Cuando el responsable del fichero o tratamiento disponga de servicios de cualquier índole par la atención a su público o el ejercicio de reclamaciones relacionadas con el servicio prestado o los productos ofertados al mismo, podrá concederse la posibilidad al afectado de ejercer sus derechos de acceso, rectificación, cancelación y oposición a través de dichos servicios. En tal caso, la identidad del interesado se considerará acreditada por los medios establecidos para la identificación de los clientes del responsable en la prestación de sus servicios o contratación de sus productos. 5. El responsable del fichero o tratamiento deberá atender la solicitud de acceso, rectificación, cancelación u oposición ejercida por el afectado aún cuando el mismo no hubiese utilizado el procedimiento establecido específicamente al efecto por aquél, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud, y que ésta contenga los elementos referidos en el párrafo 1 del artículo siguiente. A su vez, el artículo 25 del RDLOPD dispone sobre el procedimiento que: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/31 fichero, que contendrá:
21. a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
22. b)Petición en que se concreta la solicitud.
23. c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
24. d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber. 6. El responsable del fichero deberá adoptar las medidas oportunas para garantizar que las personas de su organización que tienen acceso a datos de carácter personal puedan informar del procedimiento a seguir por el afectado para el ejercicio de sus derechos. 7. El ejercicio de los derechos de acceso, rectificación, cancelación y oposición podrá modularse por razones de seguridad pública en los casos y con el alcance previsto en las Leyes.” Los artículos 31.2, 32.1 y 2, 34 y 35. 1 y 2 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (RDLOPD), señalan respecto del ejercicio de estos derechos y su denegación lo siguiente: El artículo 31.2 del RDLOPD establece que: “2. El ejercicio del derecho de cancelación dará lugar a que se supriman los datos que resulten ser inadecuados o excesivos, sin perjuicio del deber de bloqueo conforme a este reglamento. En los supuestos en que el interesado invoque el ejercicio del derecho de cancelación para revocar el consentimiento previamente prestado, se estará a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento.” Los apartados 1 y 2 del artículo 32 del RDLOPD establecen que: “1. La solicitud de rectificación deberá indicar a qué datos se refiere y la corrección que haya de realizarse y deberá ir acompañada de la documentación justificativa de lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/31 solicitado. En la solicitud de cancelación, el interesado deberá indicar a qué datos se refiere, aportando al efecto la documentación que lo justifique, en su caso. 2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo.” El artículo 34 del RDLOPD indica en relación con el derecho de oposición que “es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos: ” (…)
25. b)Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial, en los términos previstos enel artículo 51 de este reglamento, cualquiera que sea la empresa responsable de su creación.” Mientras el artículo 35 del RDLOPD contempla que: “1. El derecho de oposición se ejercitará mediante solicitud dirigida al responsable del tratamiento. (…) 2. El responsable del fichero resolverá sobre la solicitud de oposición en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 3. El responsable del fichero o tratamiento deberá excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición o denegar motivadamente la solicitud del interesado en el plazo previsto en el apartado 2 de este artículo.” Los apartados 1 y 2 del artículo 33 del RDLOPD establecen respecto de la denegación del derecho de cancelación lo siguiente: “1. La cancelación no procederá cuando los datos de carácter personal deban ser conservados o durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado que justificaron el tratamiento de los datos. 3. Podrá también denegarse los derechos de rectificación o cancelación en los supuestos en que así lo prevea una ley o una norma de derecho comunitario de aplicación directa o cuando éstas impidan al responsable del tratamiento revelar a los afectados el tratamiento de los datos a los que se refiera el acceso. “ Del análisis de estos artículos se infiere que el ejercicio de los derechos de cancelación y oposición suponen el cese en el tratamiento y uso de los datos personales del solicitante por parte del responsable del fichero al que se dirige la solicitud que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/31 contiene los mismos, siempre y cuando no se dé ninguna causa o limitación legal que impida que la cancelación de la información personal se produzca, debiendo en este último caso informar de la misma al solicitante, al igual que debe requerírsele la subsanación de la solicitud cuando se entienda que ésta no responde a los requisitos fijados en el artículo 25.1 del RDLOPD. VII Sentado lo anterior, de lo actuado circunstancias: han quedado acreditadas las siguientes Primero, El denunciante utilizó uno de los procedimientos establecidos específicamente por GROUPALIA para el ejercicio de los derechos ARCO de la LOPD, toda vez que el escrito se dirigió a la dirección de Barcelona que figuraba en el sitio web H.H.H. y también constaba en la parte final de los mensajes recibidos, donde, por cierto, no se reseñaba debieran ser dirigidas a un departamento específico. Segundo, la solicitud, con independencia de que estuviera incluida en un escrito que también contenía una reclamación económica relativa al cobro de dos cupones, identificaba claramente al interesado, cuyos datos personales y dirección aparecían en el encabezamiento del escrito, tenía fecha y estaba firmada por el solicitante. Además, incluía la petición exacta en que se concretaba la solicitud, pudiendo interpretarse sin ningún tipo de duda que el objeto de la misma era la cancelación de sus datos personales y la oposición al tratamiento de los mismos para no recibir comunicaciones, que en este caso están referidas a los boletines comerciales remitidos diariamente por GROUPALIA a la cuenta de correo electrónico facilitada por el denunciante cuando se inscribió en la plataforma web de la empresa al objeto de recibir los mismos. Por tanto, sólo podía referirse al email F.F.F. que es el único que figura en la ficha de usuario registrado del denunciante (folios 51 y 133) y es coincidente con el que aparece en el correo de fecha 25/11/2013 remitido al denunciante comunicándole el reembolso efectuado con motivo de la reclamación (folio 54). Es decir la reclamación, contenía la información suficiente para inferir la petición del solicitante e iniciar el protocolo de baja del sistema de newsletter o, en su caso, solicitar al denunciante que subsanase los defectos formales que, según se indica en las alegaciones a la propuesta de resolución, dificultaron detectar el ejercicio de derechos ARCO a la persona que atendió la reseñada reclamación. Por otra parte, la falta de mención del asunto de la baja en las comunicaciones anteriormente cruzadas con el denunciante no obstaculiza su solicitud posterior. Tercero, GROUPALIA no hizo efectivos los mencionados derechos en el plazo de diez días a contar desde su recepción, a pesar que hay constancia de que el escrito que contenía la solicitud de cancelación y oposición se envió por correo certificado y fue recibió con fecha 21/11/2013. Tampoco contestó a la misma en ningún sentido, puesto que ni requirió al afectado la subsanación de los requisitos que alega no se contenían en la misma ni comunicó al afectado que procedía su denegación por causa de los supuestos previstos para ello. Por lo tanto, la entidad imputada fue conocedora no sólo de que dicha solicitud de cancelación y oposición conllevaba no sólo el bloqueo de todos los datos personales del denunciante obrantes en sus ficheros, sino también de que impedía el tratamiento de sus datos con fines promocionales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/31 Cuarto, la circunstancia de que el denunciante no utilizase para oponerse al uso de sus señas electrónicas con fines comerciales ninguno de los mecanismos de baja implantados por la entidad a los efectos previstos en los artículos 21 y 22.1 de la LSSI, no enerva el hecho de que los envíos comerciales recibidos por el afectado se remitieran incumpliendo los requisitos establecidos en el artículo 21.1 de la LSSI, toda vez que el consentimiento inicialmente prestado por éste para recibir correos comerciales en su dirección de correo electrónico decayó a partir del momento en que GROUPALIA tuvo conocimiento de la oposición al tratamiento de sus datos personales con fines publicitarios, a lo que hay que sumar que la citada empresa no solicitó al afectado la subsanación de las deficiencias que señala contiene la solicitud. Téngase en cuenta que el ejercicio de ambos derechos conlleva el bloqueo de los datos personales por la entidad titular del fichero, sin que, por otra parte, entre las salvedades establecidas en el artículo 16.3 de dicha norma, que ampara la conservación de los mismos para la atención de las responsabilidades nacidas del tratamiento, figure el uso de los datos bloqueados para fines publicitarios. En consecuencia, el ejercicio del derecho de cancelación y oposición de datos contemplado en la LOPD constituye un procedimiento válido para evitar la recepción de correos electrónicos publicitarios una vez se bloquean los datos, con independencia de que los destinatarios de los mensajes comerciales puedan manifestar su voluntad de no recibir más correos publicitarios a través de otras vías, tales como la utilización de los mecanismos de baja que la LSSI obliga a habilitar a los prestadores de servicios a estos efectos en el artículo 21.2 de la LSSI o mediante la revocación al consentimiento inicialmente prestado utilizando los mecanismos que se informan por el prestador de servicios por medios electrónicos tal y como fija el artículo 22.1 de la LSSI. Otra interpretación, supondría vaciar de contenido el derecho de los afectados a no recibir comunicaciones comerciales que previamente no hayan sido solicitadas o autorizadas, siendo, por otra parte, un derecho de éstos denunciar ante el organismo competente el incumplimiento de su derecho a no recibir comunicaciones comerciales por medios de comunicación electrónica. En correlación con lo ya expuesto, en este caso no se produce la analogía pretendida por GROUPALIA entre este supuesto y el criterio mantenido por la Audiencia Nacional en su Sentencia 3673/11 de 15/07/2011, en la que ésta entendió, en esa ocasión, que al no haberse utilizado por el destinatario de los mensajes comerciales el mecanismo de baja incluido en los mismos “pudo interpretarse como conformidad con los posteriores envíos”, calificando la infracción a la LSSI como leve en lugar de grave. Este análisis no resulta de aplicación al caso que nos ocupa, ya que sin perjuicio de que el denunciante no utilizó el enlace de baja incluido en los boletines comerciales, sin embargo, con anterioridad a la recepción de los envíos imputados, había manifestado en forma expresa ante GROPUPALIA su rechazo a la recepción de comunicaciones comerciales en su cuenta de correo ejercitando los derechos de cancelación y oposición al uso de datos personales con dicha finalidad, negativa que no se había producido en el caso valorado en la Sentencia aludida. De lo que se evidencia, que la falta de activación del enlace por el denunciante después de recibir el primer boletín enviado con posterioridad al ejercicio de los reseñados derechos no implica que GROUPALIA pudiera interpretar que éste estuviera conforme con los posteriores envíos, consideración que, en este caso, se extiende a las siguientes comunicaciones comerciales enviadas, ya que la remitente sabía de la voluntad del afectado de no continuar recibiéndolas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/31 En correlación con lo expuesto, cabe concluir que no puede considerarse que los envíos objeto de imputación estuvieran amparados por el consentimiento previo y expreso del denunciante, lo que supone un incumplimiento por parte de la entidad imputada de la prohibición recogida en el artículo 21.1 de la LSSI de enviar comunicaciones comerciales por medios de comunicación electrónica o similares que no hayan sido previamente solicitadas o expresamente autorizadas por los destinatarios de las mismas. VIII La entidad imputada ha defendido en todo momento la falta de dolo o culpa en su conducta, aunque a lo largo del procedimiento ha ido variando los motivos centrales argüidos para su justificación. En las alegaciones al acuerdo de inicio se aducía que la empresa había actuado con la máxima diligencia para satisfacer la pretensión principal del usuario en materia de consumo y, de esta forma, no perjudicar al denunciante acudiendo a un órgano de consumo. En las alegaciones a la propuesta de resolución, cambiando de línea argumental, se defendía que la falta de tramitación de la baja del correo electrónico se debió a un error humano no imputable o a GROUPALIA, entidad que siempre ha observado el deber de cuidado que le era exigible implementando medidas de seguridad y formación de sus empleados en las responsabilidades en la materia. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. En esta línea, en la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece en cuanto a la aplicación del principio de culpabilidad que “ Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/31 resultado, es decir al principio de responsabilidad objetiva. Trasladando dicho criterio jurisprudencial al presente caso, si bien no puede acreditarse una conducta dolosa en la entidad imputada, sin embargo, si se aprecia la existencia de responsabilidad por parte de GROUPALIA en la comisión de la infracción imputada a título de culpa, ya que esta mercantil, en el momento de recibir el escrito del denunciante conteniendo dos peticiones diferentes, una originada en una incidencia relativa a los cupones del usuario y otra referente a la solicitud de ejercicio de los derechos de cancelación y oposición al tratamiento de sus datos personales, no mostró la diligencia y cautelas que le eran exigibles en orden a hacer efectiva la mencionada solicitud que hubiera impedido la remisión de las newsletters, limitándose a dar respuesta a la petición de reembolso de cupones. Asimismo, el hecho de que el escrito, que no estaba dirigido a ninguna unidad concreta, fuera tramitado en el departamento de Atención al Cliente que habitualmente gestiona las bases de datos, tampoco modifica la falta de rigor mostrada. Teniendo en cuenta que GROUPALIA es una entidad habituada a tramitar solicitudes de derechos ARCO y a gestionar las bajas de las newsletters de los usuarios, se estima que no hay motivo para que este tipo de solicitudes no puedan ser reconocidas conforme a su propia naturaleza al margen del tipo de escrito en el que se incluyan y la unidad a la que organizativamente le competa su tramitación. Se recuerda que en protocolo específico sobre ejercicio de derechos ARCO incluido en el Documento de Seguridad de la empresa actualizado el 08/11/2013, es decir, con anterioridad antes de formularse la solicitud por el denunciante, y aportado por GROUPALIA, se incluye un apartado relativo a las formas a través de las cuales pueden ser ejercitados los derechos en el que se precisa, en concordancia con lo dispuesto en el artículo 24.4 del RDLOPD, lo siguiente: “
26. a)Si el responsable del fichero dispone de servicios para la atención a su público o el ejercicio de reclamaciones relacionadas con sus servicios o productos podrá concederse la posibilidad al afectado de ejercer sus derechos de acceso, rectificación, cancelación y oposición a través de dichos servicios. En este caso, la identidad del interesado se considerará acreditada por los medios establecidos para la identificación habitual de los clientes.” Por todo lo cual, la AEPD considera que a la entidad imputada le era exigible otra conducta diferente de la que observó, puesto que no adoptó todas las medidas necesarias para controlar la difusión y correcta ejecución de los protocolos instaurados a fin de evitar situaciones como la que nos ocupa, asegurándose así de que éstos eran conocidos por el personal a su servicio y funcionaban adecuadamente. De hecho, fue con posterioridad a los hechos imputados, concretamente el 16 de junio de 2014, cuando consta que GROUPALIA dirigió un mensaje recordatorio a todo el personal de la compañía con la finalidad de asegurar que el tratamiento de datos de carácter personal de los usuarios y la respuesta al derecho a no recibir comunicaciones comerciales se realizase correctamente, con independencia de la forma en que se expresasen tales peticiones (folios 49 y 55). En congruencia con lo expuesto, debe rechazarse que los hechos analizados se debieran a un error humano de la persona que desatendió la solicitud, ya que su falta de tramitación se produce en el marco organizativo y dentro de la esfera de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/31 responsabilidad de GROUPALIA como comerciales objeto de denuncia. empresa remitente de las comunicaciones En definitiva, la entidad imputada no desplegó toda la diligencia que le era exigible para asegurarse de que los envíos comerciales remitidos al denunciante en el período indicado en el hecho séptimo contaban con el consentimiento de su destinatario, lo que lleva a considerar la existencia del elemento de culpabilidad en la conducta de GROUPALIA en el ilícito administrativo imputado. IX El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos) La definición de prestador del servicio se contiene en el apartado
27. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De acuerdo con lo establecido en los apartados 3.
28. c)y 4.
29. d)del artículo 38 de la LSSI actualmente en vigor, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
30. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
31. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción de carácter grave a los efectos de la LSSI. A partir del conjunto de hechos y circunstancias constatadas en el procedimiento sancionador y con arreglo a lo dispuesto en los citados preceptos, la conclusión que se despende es que la conculcación del artículo 21 de la LSSI que se imputa a GROUPALIA se ajusta al tipo de infracción calificada como grave en el artículo 38.3.
32. c)de la vigente LSSI. Así, el envío durante seis meses de un boletín publicitario diario a la cuenta de correo del denunciante, tal y como se desprende de las alegaciones de la imputada, sin contar con su consentimiento previo y expreso para ello debe ser calificado como de “envío insistente o sistemático” por parte de la referida entidad, resultando irrelevante a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/31 estos efectos que la periodicidad y cantidad de los envíos no autorizados proporcional a la consentida cuando tramitó el alta en el servicio de newsletter. fuera X A tenor de lo establecido en el los apartados
33. b)y
34. c)del artículo 39 de la LSSI las infracciones graves podrán sancionarse con multa desde 30.001 hasta 150.000 euros mientras que las infracciones leves podrán sancionarse con multa de hasta 30.000 euros, estableciéndose los criterios para su graduación en los artículos 39 bis 1 y 40 de la misma norma, cuyo tenor literal es el siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
35. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
36. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
37. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
38. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
39. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
40. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
41. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
42. a)La existencia de intencionalidad.
43. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
44. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/31 así haya sido declarado por resolución firme.
45. d)La naturaleza y cuantía de los perjuicios causados.
46. e)Los beneficios obtenidos por la infracción.
47. f)Volumen de facturación a que afecte la infracción cometida.
48. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En cuanto a la solicitud de aplicar lo previsto en el artículo 39 bis 1 de la LSSI a los efectos de la rebaja sustancial de la sanción a imponer, se considera que, en este caso, no se ha producido una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad de los hechos como consecuencia de la concurrencia significativa de varios de los criterios del artículo 40 de la LSSI que contempla el supuesto
49. a)del precepto, habiéndose razonado ya la responsabilidad de GROUPALIA en la comisión de la infracción grave imputada, la cual no se ve mermada por la colaboración mostrada por dicha entidad durante la realización de las actuaciones previas o durante la tramitación del procedimiento sancionador. Asimismo, GROUPALIA no ha reconocido espontáneamente su responsabilidad como se requiere en el supuesto
50. d)del artículo 39 bis 1 de la LSSI, defendiendo en todo momento la inexistencia de culpabilidad en su conducta. Tampoco estamos ante una infracción cometida con anterioridad a un proceso de fusión por absorción que recoge el supuesto e). No obstante lo cual, se estima la concurrencia del supuesto b), ya que si bien GROUPALIA no actuó con el rigor debido a la hora de tramitar la solicitud recibida del denunciante con fecha 21 de noviembre de 2013, ha de valorarse que cuando dicha entidad conoció, con fecha 6 de junio de 2014, a través del requerimiento de información enviado por la Agencia la situación irregular derivada de la falta de atención de la citada solicitud, procedió, rápidamente, a dar de baja al denunciante en sus sistemas, en concreto, con fecha 11 de junio de 2014, a fin de subsanar rápidamente la situación irregular Además, se considera que también se produce el supuesto
51. c)del artículo 39 bis 1 de la LSSI al entender que la conducta del afectado ha podido inducir a la comisión de la infracción. Aunque éste ha utilizado uno de los mecanismos previstos por la entidad imputada para satisfacer los derechos ARCO, no puede obviarse que tal petición se incluía en la parte final de un escrito aparentemente centrado en una reclamación de cantidades. Esta circunstancia, una vez cerrada la incidencia del cobro de los cupones por personal no especializado en atender el ejercicio de derechos ARCO o las solicitudes de baja de los envíos comerciales, pudo dificultar la correcta gestión del ejercicio de los derechos de cancelación y oposición también solicitados por el afectado en el escrito en cuestión, y dar lugar a la continuación de la remisión de este tipo de envíos, a pesar de que el denunciante había manifestado su voluntad de no recibirlos a través de la reseñada solicitud incluida en el escrito de tanta cita. Situación que, por otra parte, se prolongó en el tiempo ante la falta de constancia de la entidad de que el denunciante hubiera utilizado los procedimientos de oposición y/o revocación habilitados en cumplimiento de las exigencias de los artículos 21.2 y 22.1 de la LSSI con posterioridad a la resolución de la reclamación de consumo incluida en el citado escrito. En relación a los criterios de graduación de las sanciones recogidos en el citado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/31 artículo 40 de la LSSI, se estima que actúan como agravantes los criterios
52. a)y b), ya que, si bien no ha existido intencionalidad en su conducta, la falta de diligencia observada, en un principio, por GROUPALIA para atender la petición de oposición y cancelación del denunciante propició la remisión al mismo de 189 comunicaciones electrónicas no deseadas durante seis meses. Esta conducta, que lesiona el bien jurídico protegido por el artículo 21.1 de la LSSI, resulta especialmente relevante si se tiene en cuenta que, en tanto que el objeto del negocio es la remisión de comunicaciones comerciales a través de correo electrónico, GROPUALIA debería tener un especial cuidado en detectar y atender, en cumplimiento de las exigencias recogidas en el artículo 21.1 de la LSSI, cualquier solicitud de sus usuarios tendente a no recibir comunicaciones comerciales en sus señas electrónicas realizada mediante cualquier procedimiento legalmente válido para ello, lo que incluye no sólo los medios de oposición y/o revocación a los que se refieren los artículos 21.2 y 22.1 de la LSSI, sino también el ejercicio de los derechos de cancelación, oposición y revocación contemplados en la LOPD cuando, como en este caso, dichos envíos supongan un tratamiento de datos personales, conforme a lo previsto en el artículo 19.2 de la LSSI, cuando se produce un tratamiento de datos de carácter personal. A su vez, se consideran que los criterios c),
53. d)y
54. e)actúan como atenuantes, al no producirse reincidencia por comisión de infracciones de la misma naturaleza, no haber constancia de que el destinatario de los boletines comerciales haya sufrido perjuicios derivados de la recepción de los mismos, ni existir prueba de que esta entidad haya obtenido beneficios con motivo de la comisión de la infracción del artículo 21.1 de la LSSI. Por todo lo cual, se estima proporcional a la gravedad de los hechos imputados imponer una sanción de 20.000 euros a GROUPALIA. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad GROUPALIA COMPRA COLECTIVA, S.L., por una infracción del artículo 21.1 de la LSSI, tipificada como grave en el artículo 38.3.
55. c)de la LSSI, una multa de 20.000 € (Veinte mil euros), de conformidad con lo establecido en los artículos 39.1.
56. b)y c), 39 bis 1.
57. c)y
58. d)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a GROUPALIA COMPRA COLECTIVA, S.L. y a Don D.D.D.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/31 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es