← España

PS-00408-2024

1/18  Expediente N.º: EXP202407136 (PS/00408/2024) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18 de marzo de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad la entidad AD735 DATA MEDIA ADVERTISING, S.L. (en adelante, AD735 o parte reclamada), con CIF.: B87781795, por la presunta vulneración de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en adelante, LSSI). Los motivos en que el reclamante basa la reclamación son sobre la recepción de alrededor de cinco correos spam diarios de la entidad reclamada afirmando que nunca le ha facilitó sus datos y que, al intentar darse de baja mediante el enlace proporcionado en los correos, es redirigido a una página web donde se solicitan más datos personales. Junto al escrito de reclamación, se acompaña la siguiente documentación: - Fechados el 23/04/24 (7:22 horas y a las 9:10 horas) copia de dos correos electrónicos enviados desde la dirección, “Iron Hack vía AD735 info@crm.lleganlasofertas.es, a la dirección de correo electrónico, ***EMAIL.1, conteniendo el mensaje: “Nuevo webinar gratuito.- Escápate de ese curro que no soporta. Descubre como los empleos en el campo Tecnológico están transformando el panorama laboral…” En los correos electrónicos aparece la siguiente información: “De conformidad con lo dispuesto en la normativa vigente en materia de protección de datos de carácter personal, el Reglamento General de Protección de Datos 2016/679, y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, le informamos que sus datos personales forman parte de un fichero automatizado del que es responsable AD735 DATA MEDIA ADVERTISING, S.L., con CIF B87781795, y domicilio en la Cl. Ibersierra, 15, bajo de 28440 Guadarrama, Madrid. Si usted no desea continuar recibiendo comunicaciones comerciales, puede ejercitar sus derechos de supresión y oposición al tratamiento de sus datos personales dirigiéndose por correo postal a la dirección indicada, a la dirección bajas@ad735.es, o en www.ad735.es/bajas Si Usted desea ejercer los derechos de acceso, rectificación, portabilidad de sus datos y los de limitación a su tratamiento le rogamos acceda al siguiente enlace www.ad735.es/derechosRGPDAD735.pdf”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/18 - Copia de la página web a la que se accede a través del link existente en los correos electrónicos publicitarios, https://www.ad735.es/bajas/ donde aparece un formulario para solicitar la supresión de los datos personales. SEGUNDO: Con fecha 14 de mayo de 2024, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, (LOPDGDD), por parte de esta Agencia, se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase sobre lo que se exponía en el escrito de reclamación. El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), mediante notificación electrónica, con el siguiente resultado: “expirada por caducidad, al superarse el plazo establecido para la comparecencia, a fecha de 25/05/24 00:00”, según consta en el certificado existente en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, se volvió a enviar dicha reclamación a la parte reclamada con fecha 25/05/24, nuevamente mediante notificación electrónica siendo ésta aceptada en destino con fecha 28/05/24, según consta en el certificado existente en el expediente. TERCERO: Con fecha 28 de junio de 2024, la entidad reclamada presenta escrito de contestación a la solicitud enviada, en el que sintetizando manifiesta lo siguiente: - Que el reclamante denuncia una supuesta falta de atención a su solicitud de derechos pero de la documentación aportada no se acredita que se haya realizado una solicitud válida de supresión de datos, y por tanto, las comunicaciones comerciales recibidas (23/04/24) se enviaron legalmente. - Que no obstante, a raíz del traslado de la reclamación por parte de esta Agencia se procede a la supresión y bloqueo de los datos del reclamante, con fecha 11/06/24, comunicándoselo también a los encargados del tratamiento. - Que el reclamante no intentó resolver la incidencia directamente con la reclamada antes de acudir a la AEPD, incumpliendo el procedimiento indicado en el sitio web de la Agencia. Junto con el escrito de información, la reclamada adjunta la siguiente documentación: - Fechado el 14/06/24, copia del documento con el título “CERTIFICADO DE OBTENCIÓN DE DATOS PERSONALES”, con el siguiente texto: “Estimado usuario, En respuesta a su solicitud ejerciendo el derecho de acceso de sus datos personales obrantes en nuestros ficheros, de conformidad con lo establecido en el artículo 15 del Reglamento General de Protección de Datos (RGPD), le informamos que nuestra entidad trata datos de carácter personal de su titularidad (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/18 - Copia del documento, “COPIA DE LOS DATOS PERSONALES OBJETO DE TRATAMIENTO”, donde, entre otra información, aparecen los siguientes datos del reclamante objeto de tratamiento por parte de la reclamada: “Correo electrónico: ***EMAIL.1 Dirección IP: ***IP.1 Fecha Obtención: 19/03/2022 17:34” - Copia del documento “PROCEDENCIA DE LOS DATOS PERSONALES OBJETO DE TRATAMIENTO”.- donde, entre otra información, aparece: “Sus datos de carácter personal que figuran en el fichero de AD735 DATA MEDIA ADVERTISING denominado PREMIUM SALES, han sido obtenidos a través de los formularios habilitados en el sitio web www.premium-sales.es , del que es titular. En el formulario de participación recibido consta que el usuario otorgó a AD735 DATA MEDIA ADVERTISING el consentimiento libre y expreso para el tratamiento de sus datos personales con fines de mercadotecnia, y la cesión de sus datos a terceros para estos fines, mediante la aceptación de la política de privacidad, las condiciones de uso y las bases del sorteo aplicables en ese momento, accesibles en el sitio web www.premium-sales.es , y establecidas de conformidad a la legislación en materia de protección de datos de carácter personal vigente el día 19 de marzo de 2022, el Reglamento General de Protección de Datos (REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016), la Ley Orgánica 3/2018, de 5 de noviembre, de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) y la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico (...)”. - Fechado el 11/06/24, copia del documento titulado “CERTIFICADO DE SUPRESION DE DATOS DE CARÁCTER PERSONAL” con el siguiente texto: “A.A.A., mayor de edad, con DNI ***NIF.1, en nombre y representación de AD735 con CIF B87781795, y con domicilio social en la calle Ibersierra, 15, bajo A, de 28440 Guadarrama (Madrid), CERTIFICA: I.- Que con fecha 28 de mayo de 2024 hemos recibido de la Agencia Española de Protección de Datos traslado de reclamación y solicitud de información en el Expediente EXP202407136. II.- En atención a la reclamación recibida, y, de conformidad con la normativa vigente en materia de protección de datos, hemos procedido a suprimir sus datos personales que se hallaban incluidos en un fichero de datos titularidad de AD735 DATA MEDIA ADVERTISING, S.L. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/18 III.- Que los datos personales objeto de supresión son los siguientes: Correo electrónico: ***EMAIL.1 Dirección IP: ***IP.1 Fecha Alta: 19/03/2022 Fecha Baja: 11/06/2024 IV.- Que la supresión de datos ha sido llevada a cabo en virtud de lo establecido la normativa aplicable en materia Protección de Datos (…)”. CUARTO: Con fecha 23 de julio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Con fecha 14 de octubre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta vulneración del artículo 21.1 de la LSSI, tipificada como leve en el art. 38.4.d), de la citada norma por el envío de comunicaciones comerciales no solicitadas o expresamente autorizadas. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, atendidas las evidencias existentes en ese momento y sin perjuicio de lo que resultase de la instrucción ascendería a un total de 10.000 euros (diez mil euros). La notificación del acuerdo de inicio, que se practicó conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, tuvo como fecha de puesta a disposición el 14/10/24 y como fecha de acceso al contenido de la notificación, el 24/10/24, como consta en el acuse de recibo que obra en el expediente. SEXTO: Con fecha 18 de noviembre de 2024, se recibe en esta Agencia escrito de alegaciones a la incoación del expediente donde la parte reclamada manifiesta: “PRIMERA.- En el presente procedimiento se acuerda “INICIAR PROCEDIMIENTO SANCIONADOR a la entidad AD735 DATA MEDIA ADVERTISING, S.L., con NIF B87781795, por la vulneración del artículo 21.1 de la LSSI, tipificada como leve en el art. 38.4.d)”. Se indica en el Fundamento de Derecho IV - Tipificación de la posible infracción cometida por el envío de comunicaciones comerciales después de haber confirmado no volver a enviarlas: “... el hecho de que se envíen comunicaciones comerciales sin que previamente se hubieran solicitados o expresamente autorizadas puede constituir una vulneración del art. 21 de la LSSI, (…). SEGUNDA.- El Reglamento (UE) 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos establece, en su artículo 7.1 “Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/18 ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”. Se recoge en el Fundamento de Derecho III lo siguiente: “... sobre la autorización o el consentimiento que el usuario presta al responsable del tratamiento de sus datos para el envío de comunicaciones comerciales, la Directriz 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), establece, en los puntos 105 a 108, (…). En atención a esta normativa, y en un contexto en línea, como es el caso, adicionalmente a la aportación de los certificados de obtención y supresión de datos personales de datos personales y contestación al requerimiento efectuado, por parte de la responsable del tratamiento se aporta al presente procedimiento información sobre la sesión en la que el usuario autoriza el envío de comunicaciones comerciales, junto con la documentación sobre el flujo de trabajo realizado cuando dicha sesión tuvo lugar, y una copia de la información que se presentó en ese momento al interesado para su aceptación. Esta documentación acredita fehacientemente la obtención del consentimiento del afectado como base de legitimación para el tratamiento de sus datos personales para fines de mercadotecnia directa. Documento Uno.- Fichero registro (log) con los datos de registro del reclamante. Documento Dos.- Certificados de tabla de registro y de verificación de email emitidos por el responsable del fichero de datos personales Documento Tres.- Modelo de formulario web a través del cual se obtuvo el consentimiento del reclamante. TERCERA.- Adicionalmente, por parte de la reclamada, se llevan a cabo acciones técnicas para verificar y asegurar la validez de las direcciones de correo electrónico de los usuarios sin comprometer su derecho a la privacidad, y así garantizar que no se introducen direcciones de correo inexactas (error o dolo). Entre las acciones que se realizan se incluyen, alternativamente, la verificación sintáctica mediante la comprobación básica de la estructura del correo para verificar que siga el formato estándar, la verificación de DNS, conexiones a los servidores de correo (generalmente denominadas “ping”). La reclamada realiza un mantenimiento periódico y continuado de sus ficheros que, con ayuda de proveedores especializados en la validación de direcciones de correo y filtrado de con la Lista Robinson gestionada por Adigital que permite tener actualizados los mismos. CUARTA.- A la vista de las manifestaciones realizadas en nuestro anterior escrito de 28 de julio de 2024, y en el presente escrito, así como de lo acreditado con los documentos aportados en ambos documentos, acreditando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/18 fehacientemente la obtención del consentimiento del afectado como base de legitimación para el tratamiento de sus datos personales para fines de mercadotecnia directa, consideramos que la apertura del presente procedimiento sancionador, basado únicamente en una manifestación del afectado sin aportar indicio racional alguno de la existencia de infracción, supone una clara vulneración del principio de presunción de inocencia. El derecho a la presunción de inocencia, en el ámbito administrativo, comporta: - que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; - que la carga de la prueba (onus probandi) corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y - que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. Así, la Sección 1ª de la Sala de lo Contencioso Administrativo de la Audiencia Nacional ha señalado en su recientísima Sentencia de fecha 22 de febrero de 2022, (rec. 26/2020), que “Falta de aportación de indicios racionales de la existencia de infracción que es lo acontecido en el presente supuesto, según deriva de las consideraciones de las resoluciones impugnadas, que razonan que el actor fundamenta la presunta vulneración de la normativa de protección de datos en meras manifestaciones, sin aportar pruebas que acrediten que se haya cometido una infracción. Añadiendo la AEPD que, al ser de aplicación, al derecho administrativo sancionador, con alguna matización, los principios inspiradores del orden penal, resulta clara la plena virtualidad del principio de presunción de inocencia, de conformidad con lo previsto en el artículo 53.2.

  1. b)de la LPACAP”. Por otra parte, en el artículo 65 de la LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, que ha adaptado el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril, se establece que “La Agencia Española de Protección de Datos inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos de carácter personal, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción”. En relación con este artículo, la Sección 1ª de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, en la misma sentencia reseñada, indica que este precepto “contempla una inadmisión a limine, es decir, de oficio, sin analizar el fondo de la posible controversia planteada y sin necesidad de ninguna otra actuación, en los supuestos, entre otros, en que la cuestión planteada no aporte indicios racionales de la existencia de una infracción”, como entendemos que ha sucedido en este caso, en el que el afectado se limita a negar la manifestación de su consentimiento sin aportar indicios racionales de la existencia de una infracción por parte de AD735 DATA MEDIA ADVERTISING, aun cuando está ha aportado certificado de obtención de sus datos personales incluyendo los siguientes componentes: 1. Confirmación de si se tratan o no datos personales del reclamante. 2. Acceso a los datos personales del reclamante. 3. Acceso a la información sobre el tratamiento, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/18 como los fines, las categorías de datos y los destinatarios, la duración del tratamiento, los derechos de los interesados y las garantías adecuadas en caso de transferencias de tercero países. Tal y como se recoge en las Directrices 1/2022 sobre derecho de los interesados – Derecho de acceso, del European Data Protection Board. La misma Sección 1ª, en su sentencia de 31 de enero de 2022 (rec. 2058/2019), viene a indicar que cuando no hay prueba de vulneración alguna de la LOPD, debe primar el principio de presunción de inocencia. Con respecto al Principio de Presunción de Inocencia, éste está recogido como derecho fundamental en el artículo 24.2 de nuestro Texto Constitucional. Configurado como un derecho propio del ordenamiento penal, la jurisprudencia, por afinidad, ha hecho extensible el mismo al procedimiento administrativo sancionador. El principio de presunción de inocencia garantiza no sufrir sanción en el orden administrativo sancionador, sin previa actividad probatoria. Garantiza, además, un periodo de prueba que dé como resultado una prueba de cargo, qué en el presente procedimiento no existe. En virtud de este principio, corresponde al reclamante, probar la certeza de los hechos imputados, y en ningún caso está obligado el expedientado a probar su inocencia, al venir amparado por la presunción de inocencia constitucional. Sin que sea bastante una denuncia que inicie un expediente sancionador, pero que no constituya prueba de infracción. Sobre el principio de presunción de inocencia, nuestro Tribunal Constitucional, ha tenido ocasión de pronunciarse y sentar doctrina respecto del periodo probatorio, teniendo por resuelto que, 76/90 de 25 de abril (FJ.8º)] “cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. QUINTA.- Tal y como se recoge en el sitio web de la Agencia Española de Protección de Datos, ésta no puede tramitar las reclamaciones relativas a los derechos de acceso, rectificación, limitación, oposición, supresión (“derecho al olvido”), portabilidad y oposición al tratamiento de decisiones automatizadas si previamente el afectado no se ha dirigido a la entidad responsable del tratamiento de tus datos o si, habiéndose dirigido a esta, no ha transcurrido el plazo legalmente previsto para contestarle (un mes como regla general). Supuesto que concurre en la presente reclamación, ya que el reclamante no llegó a efectuar la solicitud de supresión de sus datos en los ficheros de la reclamada. SEXTA.- Por todo lo expuesto, entendemos que, con la documentación aportada por la responsable del tratamiento, queda suficientemente demostrado que AD735 DATA MEDIA ADVERTISING ha efectuado un correcto tratamiento de los datos personales del afectado bajo el amparo de la causa legitimadora recogida en el artículo 6.1.
  2. a)del RGPD, y ha llevado a cabo éste de forma respetuosa con la normativa en materia de protección de datos de carácter personal vigente en cada momento, sin incurrir en infracción alguna C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/18 del artículo 21.1 de la LSSI ni de otro precepto regulador de los derechos de la personas a la privacidad o a la protección de sus datos personales. De contrario, nada se alega por el reclamante, más allá de una simple manifestación de no haber consentido la recepción de comunicaciones comerciales, circunstancia ésta que, por sí sola, no es suficiente para enervar el principio de presunción de inocencia que ampara a la responsable del tratamiento, más aún cuando éste ha acreditado la manifestación del consentimiento libre, específico, informado e inequívoco el reclamante. En ningún momento se aporta indicio racional alguno de la existencia de una infracción por parte de AD735 DATA MEDIAADVERTISING. En virtud, SOLICITO A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, que tenga por presentado este escrito junto con sus documentos adjuntos, lo admita, tenga por evacuado, en tiempo y forma, el trámite conferido, y, en virtud de las alegaciones realizadas en el cuerpo del presente documento se sirva de dictar resolución acordando el sobreseimiento y archivo del presente Procedimiento Sancionador EXP202407136 (PS/00408/2024) sin imposición de sanción alguna, expresando además la ausencia de cualquier responsabilidad, por haber sido la actuación de AD735 DATA MEDIA ADVERTISING conforme a la vigente normativa en materia de protección de datos personales, y no haberse conculcado los preceptos recogidos en la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, en especial su artículo 21.1, el Reglamento (UE) 2016/679 de 27 de abril de 2016 (GDPR) y demás normativa de aplicación, así como todo lo demás que en Derecho”. Junto al escrito de alegaciones, la reclamada presenta la siguiente documentación: - Copia del documento etiquetado por la reclamada como, “Doc. Uno.- Fichero registro (log) con los datos de registro del reclamante” donde se puede leer, entre otra información, lo siguiente: “Busqueda: SELECT FROM.- “log_access;” WHERE.- “ip“ LIKE '***IP.1'.- Id: 33527; Fechaaccion: 2022-03-19; IP: ***IP.1 Url: http://prb.premium-sales.esisorteosl...; Acción: registro sorteo (…)”. - Copia del documento etiquetado por la reclamada como, “Doc. Dos.Certificados de tabla de registro y de verificación de email emitidos por el responsable del fichero de datos personales” donde se puede leer, entre otra información: “Id: 365; email: ***EMAIL.1 ; fechinsercion: 2022-03-19 IP: ***IP.1; Comunicación: S; Enveterceros: S; Emailverifique: ***URL.1... Verify date: 2022-03-20 09:44”. - Copia del documento etiquetado por la reclamada como “Doc. Tres.- Modelo de formulario web a través del cual se obtuvo el consentimiento del reclamante”, donde se puede leer la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/18 “Déjanos tus Datos: Desde Premium Sales Nos pondremos en contacto contigo a través de email en caso de que resultes premiado. Correo electrónico: ___ _ He leído y acepto la Política de Privacidad © de AD735 Data Media Advertising SL _ Acepto recibir comunicaciones comerciales por parte de AD735 sobre servicios y productos relacionados con los sectores de actividad reflejados en la política de privacidad de AD735 _ Acepto que AD735 ceda el tratamiento de mis datos a terceras empresas relacionadas con los sectores de actividad que se detallan en la política de privacidad de AD735”. SÉPTIMO: Con fecha 11 de febrero de 2025 se formuló propuesta de resolución, proponiendo que, por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad, AD735 DATA MEDIA ADVERTISING, S.L. (AD735), con CIF.: B87781795, por la infracción del artículo 21 de la LSSI, tipificada como leve en el art. 38.4.d). artículo 21 de la LSSI, tipificada como “leve” en el art. 38.4.
  3. d)de la misma norma con una sanción de 10.000 euros (diez mil euros). La notificación de la propuesta de resolución, que se practicó conforme a las normas establecidas en la LPACAP mediante notificación electrónica, no fue recogida por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 22/02/25, como consta en el certificado que obra en el expediente. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero: Se constata que la entidad responsable del tratamiento de los datos personales vinculados al presente procedimiento es la entidad AD735 DATA MEDIA ADVERTISING, S.L., con CIF.: B87781795. La mencionada entidad figura como titular del fichero automatizado que contiene los datos personales del reclamante, según lo indicado en las comunicaciones comerciales enviadas y en la documentación aportada por la misma. Segundo: Se adjunta al escrito de reclamación copia de dos correos electrónicos remitidos a la dirección del reclamante: ***EMAIL.1, desde la dirección de correo electrónico, <<…vía AD735 (info@crm.lleganlasofertas.es)>>, con fecha 23/04/24, con información comercial relacionada con ofertas de trabajo: “Nuevo webinar.- Escápate de ese curro que no soporta. Descubre como los empleos en el campo Tecnológico están transformando el panorama laboral…” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/18 En estos correos electrónicos se incluye, en el pie de los mensajes, un apartado informativo que señalaba que los datos personales del destinatario se encuentran en un fichero gestionado por AD735 DATA MEDIA ADVERTISING, S.L. Dicho apartado informa sobre los derechos de oposición y supresión, así como los canales disponibles para su ejercicio, incluyendo un formulario web y direcciones electrónicas específicas. De conformidad con lo dispuesto en la normativa vigente en materia de protección de datos de carácter personal, el Reglamento General de Protección de Datos 2016/679, y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, le informamos que sus datos personales forman parte de un fichero automatizado del que es responsable AD735 DATA MEDIA ADVERTISING, S.L., con CIF B87781795, y domicilio en la Cl. Ibersierra, 15, bajo de 28440 Guadarrama, Madrid. Si usted no desea continuar recibiendo comunicaciones comerciales, puede ejercitar sus derechos de supresión y oposición al tratamiento de sus datos personales dirigiéndose por correo postal a la dirección indicada, a la dirección bajas@ad735.es, o en www.ad735.es/bajas Si Usted desea ejercer los derechos de acceso, rectificación, portabilidad de sus datos y los de limitación a su tratamiento le rogamos acceda al siguiente enlace www.ad735.es/derechosRGPDAD735.pdf Se aporta además, pantallazo de la página que aparece a través del link existente en los correos electrónicos publicitarios, https://www.ad735.es/bajas/ donde aparece un formulario para solicitar la supresión de los datos personales. Tercero: La documentación aportada por la entidad reclamada junto al escrito enviado a esta Agencia con fecha 28/06/24, se incluye: - Copia del documento titulado, “CERTIFICADO DE SUPRESION DE DATOS DE CARÁCTER PERSONAL” dirigido al reclamante donde le informan que sus datos han sido borrados con fecha 14/06/24, como respuesta a la solicitud de cancelación recibida el 28/05/24. - Copia del documento titulado, “CERTIFICADO DE OBTENCIÓN DE DATOS PERSONAL”, donde se puede leer, entre otra información, lo siguiente: “Fecha Obtención: 19/03/2022 17:34 III.- PROCEDENCIA DE LOS DATOS PERSONALES OBJETO DE TRATAMIENTO.- Sus datos de carácter personal que figuran en el fichero de AD735 DATA MEDIA ADVERTISING denominado PREMIUM SALES, han sido obtenidos a través de los formularios habilitados en el sitio web www.premiumsales.es , del que es titular. En el formulario de participación recibido consta que el usuario otorgó a AD735 DATA MEDIA ADVERTISING el consentimiento libre y expreso para el tratamiento de sus datos personales con fines de mercadotecnia, y la cesión de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/18 sus datos a terceros para estos fines, mediante la aceptación de la política de privacidad, las condiciones de uso y las bases del sorteo aplicables en ese momento, accesibles en el sitio web www.premium-sales.es , y establecidas de conformidad a la legislación en materia de protección de datos de carácter personal vigente el día 19 de marzo de 2022 (...)”. Cuarto: La documentación aportada por la reclamada junto al escrito de alegaciones a la incoación del expediente, enviado a esta Agencia con fecha 18/11/24, incluye: - Copia del documento etiquetado por la reclamada como, “Doc. Uno.- Fichero registro (log) con los datos de registro del reclamante” donde se puede leer, entre otra información, lo siguiente: “Búsqueda: SELECT FROM.- “log_access;” WHERE.- “ip“ LIKE '***IP.1'.- Id: 33527; Fechaaccion: 2022-03-19; IP: ***IP.1 Url: http://prb.premium-sales.esisorteosl...; Acción: registro sorteo (…)” - Copia del documento etiquetado por la reclamada como, “Doc. Dos.Certificados de tabla de registro y de verificación de email emitidos por el responsable del fichero de datos personales” donde se puede leer, entre otra información: “Id: 365; email: ***EMAIL.1 ; fechinsercion: 2022-03-19 IP: ***IP.1; Comunicación: S; Enveterceros: S; Emailverifique: ***URL.1... Verify date: 2022-03-20 09:44”. - Copia del documento etiquetado por la reclamada como “Doc. Tres.- Modelo de formulario web a través del cual se obtuvo el consentimiento del reclamante”, donde se puede leer la siguiente información: “Déjanos tus Datos: Desde Premium Sales Nos pondremos en contacto contigo a través de email en caso de que resultes premiado. Correo electrónico: ___ _ He leído y acepto la Política de Privacidad © de AD735 Data Media Advertising SL _ Acepto recibir comunicaciones comerciales por parte de AD735 sobre servicios y productos relacionados con los sectores de actividad reflejados en la política de privacidad de AD735 _ Acepto que AD735 ceda el tratamiento de mis datos a terceras empresas relacionadas con los sectores de actividad que se detallan en la política de privacidad de AD735. <<PARTICIPAR>>”. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/18 I Competencia De acuerdo con lo establecido en el artículo 43.1 de la LSSI y lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." La Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Síntesis de los hechos acaecidos: La parte reclamante alega que ha estado recibiendo diariamente correos electrónicos no solicitados ("spam") enviados por la parte reclamada. Según indica, nunca ha proporcionado su dirección de correo electrónico a dicha entidad, por lo que sospecha que ésta ha obtenido su información de manera fraudulenta o engañosa. Además, señala que al intentar darse de baja a través del enlace proporcionado en los correos recibidos es redirigido a una página web donde le solicitan más datos personales (nombre, apellidos, teléfono y correo electrónico) para darse de baja, lo cual genera suspicacia sobre una posible intención de recolectar más información. Por su parte, la reclamada afirma que los datos personales del reclamante fueron obtenidos el 19/03/22 a través del formulario existente en la web www.premiumsales.es, con el consentimiento expreso para su uso en mercadotecnia, presentando copia del documento titulado “certificado de obtención de datos personales” donde aparecen el correo electrónico del reclamante y de una dirección IP y manifiesta que los correos electrónicos enviados disponen de procedimientos accesibles y gratuitos para que los usuarios ejerzan sus derechos, incluyendo además, varias vías para solicitar la supresión de datos y manifiesta que, pese a ello, no tiene constancia de ninguna solicitud de supresión de datos por parte del reclamante y que, aunque el reclamante presenta una captura de pantalla del formulario de solicitud de baja, éste no está cumplimentado y no se proporciona copia del correo de confirmación que debería haberse generado tras su envío. No obstante, manifiesta que, a raíz del traslado de la reclamación por parte de esta Agencia, procedió a la supresión de los datos personales del reclamante el 11/06/24, notificando dicha acción a los encargados del tratamiento. III Prohibición de comunicaciones comerciales no solicitadas o expresamente autorizadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/18 La LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo como: “
  4. f)toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. En el caso que nos ocupa, el reclamante manifiesta que nunca ha proporcionado su dirección de correo electrónico a la reclamada y ésta alega, por su parte, que los datos personales del reclamante fueron obtenidos el 19/03/22 a través del formulario existente en la web www.premium-sales.es. Pues bien, sobre la autorización o el consentimiento que el usuario presta al responsable del tratamiento de sus datos para el envío de comunicaciones comerciales, la Directriz 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), establece, en los puntos 105 a 108, lo siguiente: 105. El considerando 42 establece que: «Cuando el tratamiento se lleva a cabo con el consentimiento del adoptadas 22 interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento». 106. Los responsables del tratamiento tienen libertad para desarrollar métodos que permitan cumplir esta disposición adaptados a sus operaciones diarias. Al mismo tiempo, la obligación de demostrar que un responsable del tratamiento ha obtenido un consentimiento válido, no debe en sí misma provocar un tratamiento adicional de datos excesivo. Esto significa que los responsables deberían tener datos suficientes para mostrar un enlace al tratamiento (para mostrar que se obtuvo el consentimiento), pero no deberían recopilar más información de la necesaria. 107. Corresponde al responsable demostrar que obtuvo el consentimiento válido del interesado. El RGPD no prescribe cómo debe hacerse esto exactamente. No obstante, el responsable debe poder demostrar que, en un caso concreto, un interesado ha dado su consentimiento. La obligación de demostrar el consentimiento existirá mientras dure la actividad de tratamiento de los datos en cuestión. Una vez finalizada dicha actividad, la prueba del consentimiento no deberá conservarse más allá de lo estrictamente necesario para cumplir una obligación legal o para la formulación, el ejercicio o la defensa de reclamaciones, de conformidad con el artículo 17, apartado 3, letras
  5. b)y e). 108. Por ejemplo, el responsable debe mantener un registro de las declaraciones de consentimiento recibidas, de manera que pueda demostrar cómo se obtuvo el consentimiento y cuándo se obtuvo dicho consentimiento, y también deberá demostrarse la información que se facilitó al interesado en su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/18 momento. El responsable también deberá poder demostrar que se informó al interesado y que el flujo de trabajo del responsable cumplió todos los criterios pertinentes para un consentimiento válido. La lógica subyacente de lo anterior es que el responsable de las comunicaciones comerciales debe rendir cuentas con respecto a la obtención de la autorización del interesado para el envío de comunicaciones comerciales y con respecto a los mecanismos utilizados para conseguirlo. Por ejemplo, en un contexto en línea, como es el caso, el responsable podría conservar información sobre la sesión en la que el usuario autoriza el envío de comunicaciones comerciales, junto con la documentación sobre el flujo de trabajo realizado cuando dicha sesión tuvo lugar, y una copia de la información que se presentó en ese momento al interesado para su aceptación. No sería suficiente referirse únicamente a una configuración o página-formulario del sitio web en cuestión. La norma no establece un mecanismo en concreto sobre cómo el responsable debe ser capaz de probar que el usuario ha solicitado o expresamente autorizado las comunicaciones comerciales, teniendo libertad para implementar la forma y registro que más se adapte a los procesos de la organización pero, al menos, debe poder acreditar quién, cuándo, cómo y para qué se autorizó las comunicaciones comerciales, así como la información que se le suministró al usuario en el momento de obtenerlo. Esa obligación subsiste en tanto que se siga realizando el tratamiento de los datos personales bajo las condiciones iniciales en que los datos fueron recabados y debe ser verificable en caso de auditoría o inspección. Por tanto, para valorar si las comunicaciones comerciales fueron realizadas habiendo sido previamente solicitadas o expresamente autorizadas, el responsable de las comunicaciones debe mantener un registro (log) de las actuaciones llevadas a cabo para poder probarlo. En el presente caso, reclamada solamente presenta copia del documento con el título “CERTIFICADO DE OBTENCIÓN DE DATOS PERSONAL” donde se incluye información sobre el correo electrónico del reclamante y una dirección IP, indicando que los datos fueron obtenidos el día 19/03/22, a través del formulario existente en la página web www.premium-sales.es y copia del documento con el título “CERTIFICADO DE SUPRESION DE DATOS DE CARÁCTER PERSONAL” donde se puede leer que A.A.A., en nombre y representación de AD735 DATA MEDIA ADVERTISING, S.L., CERTIFICA que se ha procedido a suprimir los datos personales del reclamante de sus sistemas con fecha de baja, 11/06/24. No obstante lo anterior, más allá de alegar que el consentimiento del reclamante para enviarle comunicaciones comerciales fue prestado cuando se registró en la web www.premium-sales.es, de la documentación que aporta la parte reclamada no se desprende en ningún caso que el reclamante se registrase en la web y otorgase el consentimiento para recibir comunicaciones comerciales, pues no se aporta ningún modelo de formulario, ni la manera de cómo se obtiene dicho consentimiento, ni fecha y hora de obtención. Esto es, no se aporta el log del presunto registro. Tampoco acredita haberse establecido un mecanismo en la web que garantice que no se introducen direcciones de correo electrónico inexactas (por error o por dolo). IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/18 Obligación incumplida El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación.” La definición de prestador del servicio se contiene en el apartado
  6. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De conformidad con las evidencias de las que se dispone en este momento de resolución del procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por la vulneración del artículo 21 de la LSSI, pues establece lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” V Tipificación y calificación de la infracción La citada infracción se encuentra tipificada como “leve” en el art. 38.4.
  7. d)de dicha norma, que califica como tal, “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/18 A tenor de lo establecido en el artículo 39.1.
  8. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 euros. Por otra parte, el artículo 40 de la LSSI establece los criterios para la graduación de la cuantía de las sanciones: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  9. a)La existencia de intencionalidad.
  10. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  11. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  12. d)La naturaleza y cuantía de los perjuicios causados.
  13. e)Los beneficios obtenidos por la infracción.
  14. f)Volumen de facturación a que afecte la infracción cometida.
  15. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. Tras las evidencias obtenidas se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de la LSSI indicado anteriormente: - La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme (apartado c). Es este caso, podemos citar los expedientes PS/161/2021 y PS/425/2021 donde se sanciona a la reclamada por realizar comunicaciones comerciales sin que previamente hubieran sido solicitadas o expresamente autorizadas. VI Sanción De conformidad con las evidencias de que se dispone con respecto a la infracción cometida al vulnerar lo establecido en el artículo 21 de la LSSI, permite fijar una sanción de 10.000 euros (diez mil euros). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a AD735 DATA MEDIA ADVERTISING, S.L., con NIF B87781795, por una infracción del Artículo 21 de la LSSI, tipificada en el Artículo 38.4.
  16. d)de la LSSI, una multa de 10.000 euros (diez mil euros). SEGUNDO: NOTIFICAR la presente resolución a la entidad AD735 DATA MEDIA ADVERTISING, S.L. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/18 facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  17. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  18. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/18 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.