← España

PS-00417-2017

1/13 Procedimiento Nº PS/00417/2017 RESOLUCIÓN: R/02972/2017 En el procedimiento sancionador PS/00417/2017, instruido por la Agencia Española de Protección de Datos a la entidad EVOFINANCE ESTABLECIMIENTO FINANCIERO DE CREDITO, S.A.U., vista la denuncia presentada por DÑA. A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 05/04/2017, tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito presentado por Dña. A.A.A. (en lo sucesivo el denunciante), en el que formula denuncia contra la entidad EVOFINANCE, E.F.C., S.A. (en lo sucesivo EVOFINANCE), por el envío a su línea de telefonía móvil de mensajes de texto (SMS) de contenido comercial, a pesar de que con fecha 01/11/2016 ejercitó ante dicha entidad el derecho de cancelación de sus datos personales, el cual fue atendido por la misma el 04/11/2016. Según la denunciante, recibió los mensajes de texto en las fechas 15/02 y 29/03/2017. Añade que recientemente ha recibido, asimismo, publicidad de dicha entidad a través de envíos postales. Con su escrito de denuncia, aportó copia de la solicitud de cancelación reseñada y de la respuesta recibida, así como impresión de pantalla con la imagen del texto correspondiente a los mensajes recibidos y copia de la publicidad objeto de la denuncia. El texto de los mensajes es el siguiente: “Últimos días para solicitar tus 7900€ preconcedidos. Llámanos y no dejes para mañana los proyectos que quieras hacer hoy”. “Recuerda que tienes 7900€ preconcedidos. Solicítalo hoy mismo con solo una llamada. Válido hasta…”. El envío postal se refiere al mismo tipo de préstamo. La información facilitada en el folleto remitido indica que la oferta es válida hasta el 21/04/2017. Y en escrito de respuesta a la solicitud de cancelación de datos personales, la entidad EVOFINANCE informa a la denunciante lo siguiente: “Como consecuencia de la cancelación, en lo sucesivo esta Entidad no le enviará más material publicitario acerca de sus productos y/o servicios…”. Con fechas 21, 26/04 y 26/05/2017, se recibieron nuevos escritos de la denunciante, en los que acredita la titularidad de la línea B.B.B., receptora de los SMS, y denuncia la recepción de nuevas comunicaciones comerciales por correo postal (información sobre contratos de préstamo y crédito y una tarjeta de crédito que no fue solicitada por la misma). Según la denunciante, estos envíos fueron recibidos el 10 y 25/04/2017, respectivamente. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las actuaciones siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 1. El 06/05/2015 la denunciante firmó con FINANMADRID, S.A.U. un contrato de préstamo y línea de crédito, cuya copia firmada aporta EVOFINANCE. Según la información que consta en el registro mercantil central y en la página web de EVOFINANCE (https://www.evofinance.com/quienes-somos), FINANMADRID, S.A.U. fue absorbida por esta última el 08/07/2016. 2. Según la información obtenida de los sistemas de información de EVOFINANCE durante la inspección efectuada en fecha 14/07/2017, la denunciante consta como titular de: a. Un préstamo con fecha de alta 08/05/2015 y fecha de amortización 01/05/2016. b. Una línea de crédito con fecha de alta 08/05/2015 y sin fecha de baja. c. No consta que la denunciante haya utilizado la línea de crédito. En la cláusula 12 (“Duración”) del contrato citado en el punto 1, se establece que el contrato tendrá una duración indefinida pero que “no obstante, el titular podrá, en cualquier momento, dar por concluido el presente Contrato notificándolo a Fracciona por cualquiera de los medios válidos para su formalización, con 14 días de antelación…” (Fracciona es un nombre comercial de FINANMADRID, S.A.U.). 3. El 01/11/2016 la denunciante remite una solicitud de cancelación de datos que es atendida por EVOFINANCE y contestada el 04/11/2016 mediante escrito en el que se le informa que “…en referencia a la comunicación en la que nos solicitaba la cancelación de sus datos personales [...] hemos procedido a adoptar las medidas necesarias para su cumplimiento en nuestras bases de datos. Como consecuencia de la cancelación, en lo sucesivo esta entidad no le enviará más material publicitario acerca de sus productos y/o servicios….”. EVOFINANCE dispone de un sistema de información en el que registra las solicitudes de derechos de acceso, rectificación, cancelación y oposición. En dicho sistema consta la solicitud de cancelación reseñada, con fecha de recepción 01/11/2016 y de resolución 04/11/2016. 4. De la información obrante en el sistema de información de EVOFINANCE que registra los SMS publicitarios enviados, se desprende que EVOFINANCE envío siete SMS publicitarios a la línea de la denunciante los días 09/11/2016, 16/01/2017, 15/02/2017, 29/03/2017, 10/04/2017, 23/05/2017 y 06/06/2017. 5. Los envíos publicitarios postales son realizados por EMFASIS, una empresa contratada por EVOFINANCE, a la que se le facilita un fichero con los datos de los destinatarios. De la información obrante en los ficheros enviados por EVOFINANCE para la realización de campañas publicitarias en fechas posteriores al 04/11/2016 se desprende que los datos de la denunciante fueron utilizados para el envío de cuatro comunicaciones publicitarias postales, con fechas de envío a EMFASIS de 19/01/2017, 13/03/2017, 04/05/2017 y 06/07/2017. Durante la inspección realizada se aportaron los modelos de cartas publicitarias utilizadas en las campañas, siendo uno de ellos el utilizado en las campañas con fechas de envío 19/01/2017, 13/03/2017 y 04/05/2017, y otro el modelo de la última campaña. 6. Por los Servicios de Inspección se accedió al sistema de información que gestiona la situación de la línea de crédito de la denunciante. En dicho sistema consta el alta el 28/04/2017 de una tarjeta de crédito. El alta consta registrada como un alta masiva. La C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 numeración coincide con la aportada por la denunciante en su escrito de fecha 26/04/2017. Los representantes de la entidad manifestaron al respecto que el envío de la tarjeta se realiza en el contexto de una actualización del producto línea de crédito, con el fin de proporcionar a los clientes una tarjeta mediante la cual pueden hacer uso fácilmente del crédito de la línea. Por otra parte, los Servicios de Inspección de la AEPD recabaron la siguiente información relativa a la entidad EVOFINANCE: . La entidad investigada consta como una gran empresa en su sector de negocio. Según la información obtenida del servicio Monitoriza de Axesor, sus ventas para el año 2015 ascendieron a casi 24 millones de euros. . No constan procedimientos por infracciones de la entidad investigada en los últimos 12 meses. TERCERO: Con fecha 02/08/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad EVOFINANCE, por las presuntas infracciones del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. b)de la citada Ley Orgánica; y artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como leve en el artículo 38.4.
  2. d)de la citada Ley. A los efectos previstos en el artículo 64.2.
  3. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el citado acuerdo de apertura se determinó que, de acuerdo con las evidencias obtenidas con anterioridad a dicha apertura, la sanción que podría corresponder por la infracción del artículo 6 dela LOPD sería de 20.000 euros (veinte mil trescientos euros), y la sanción por el incumplimiento de lo dispuesto en el artículo 21.1 de la LSSI sería de 6.500 euros (seis mil quinientos euros), sin perjuicio de lo que resulte de la instrucción. CUARTO: Notificado el acuerdo de inicio, la entidad EVOFINANCE presentó escrito de alegaciones en el que manifiesta que reconoce la responsabilidad a efectos de lo dispuesto en los artículos 45.5 de la LOPD y 85 de la LPACAP. Sin embargo, solicita que se imponga una multa por el importe mínimo previsto para las infracciones leves conforme a las alegaciones siguientes: . Nunca ha sido sancionada ni apercibida por incumplimiento de la normativa de protección de datos (artículo 29.3 del a Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público; artículo 45.4.
  4. g)de la LOPD; y 40.
  5. c)de la LSSI). . No puede otorgarse a EVOFINANCE la condición de gran empresa en su sector de negocio. A este respecto, destaca que en los años 2014 y 2015 el resultado de explotación fue negativo; y que el número medio de empleados en el último año citado fue de 161 trabajadores, por lo que la empresa ha de catalogarse como pyme. . Tiene implantados procedimientos adecuados de actuación relativos al ejercicio de los derechos ARCO, según consta acreditado en el Acta de Inspección, siendo evidente que los envíos publicitarios se produjeron por un error en el marcado en el sistema. Pudo influir en ello el proceso de integración de FINANMADRID en los sistemas de información de EVOFINANCE, que se llevó a cabo en el mismo período en que la denunciante solicitó la cancelación de sus datos. . Ha adoptado todas las medidas posibles dirigidas a evitar que la infracción pueda volver a producirse, bloqueando los datos del denunciante dos días después de la inspección, y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 mejorando los sistemas y procesos para evitar anomalías en la marcación de solicitudes de cancelación u oposición. Además de lo expuesto, en relación con la infracción del artículo 6 de la LOPD, estima que he de considerarse la inexistencia de intencionalidad y que no ha obtenido beneficio alguno. Por todo ello, a juicio de EVOFINANCE, debería imponerse una sanción por importe de 5.000 euros, y cita la resolución dictada en el PS/00088/2014, en la que se impone multa por 6.000 euros en un supuesto en el que se aprecian algunas de las circunstancias concurrentes en el presente caso. En cuanto a la infracción del artículo 21.1 de la LSSI, entiende que debe apreciarse, además de las circunstancias expuestas, la ausencia de perjuicios y beneficios, y considera adecuada una sanción de 1.000 euros. En apoyo de sus alegaciones sobre la graduación de la multa, cita algunas resoluciones de esta Agencia en las que, en opinión de EVOFINANCE, se impusieron multas inferiores a la señalada en el acuerdo de apertura para supuestos más graves (PS/00186/2017, PS/00089/2017, PS/00456/2016 y PS/00653/2016). QUINTO: Con fecha 10/10/2017, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se sancione a la entidad EVOFINANCE con multa de 5.000 euros (cinco mil euros), por la infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
  6. d)de dicha norma; y con multa de 3.500 euros (tres mil quinientos euros), por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  7. d)de la citada Ley. La citada propuesta fue notificada a la entidad interesada y se le concedió plazo para formular alegaciones. SEXTO: En fecha 20/10/2017, la entidad EVOFINANCE ha procedido al pago de las sanciones en la cuantía de 6.800 euros haciendo uso de la reducción prevista en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra las mismas. HECHOS PROBADOS 1. La denunciante fue cliente de la entidad FINANMADRID, S.A.U., con la que firmó un contrato de préstamo, amortizado a fecha 01/05/2016, y una línea de crédito que no llegó a utilizar. 2. Con fecha 08/07/2016, FINANMADRID, S.A.U. fue absorbida por EVOFINANCE. 3. Con fecha 01/11/2016, la denunciante formuló ante EVOFINANCE una solicitud de cancelación de sus datos personales, que fue atendida por dicha entidad mediante escrito de 04/11/2016 en el que se indica: “…en referencia a la comunicación en la que nos solicitaba la cancelación de sus datos personales [...] hemos procedido a adoptar las medidas necesarias para su cumplimiento en nuestras bases de datos. Como consecuencia de la cancelación, en lo sucesivo esta entidad no le enviará más material publicitario acerca de sus productos y/o servicios….”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 4. En los Sistemas de Información de EVOFINANCE consta que esta entidad envió a la línea de telefonía de la denunciante siete SMS publicitarios los días 09/11/2016, 16/01/2017, 15/02/2017, 29/03/2017, 10/04/2017, 23/05/2017 y 06/06/2017. 5. Según la información obrante en los ficheros utilizados por EVOFINANCE para la realización de campañas publicitarias en fechas posteriores al 04/11/2016, los datos de la denunciante fueron tratados para el envío de cuatro comunicaciones publicitarias postales, con fechas de 19/01/2017, 13/03/2017, 04/05/2017 y 06/07/2017. 6. En los sistemas de información de EVOFINANCE consta registrada el alta (28/04/2017) de una tarjeta de crédito a nombre de la denunciante, cuya numeración coincide con la aportada por ésta. El alta consta registrada como un alta masiva. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en los artículos 36 y 37.1.
  8. g)de la LOPD, y en el artículo 43.1, párrafo segundo, de la LSSI, la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II Los hechos expuestos en los Antecedentes, en relación con el envío de comunicaciones de carácter publicitario a través de correo postal con posterioridad a la solicitud de cancelación de datos formulada por la denunciante, así como la utilización de los datos personales de la denunciante para emitir una tarjeta de crédito no solicitada, también con posterioridad a la cancelación de los datos de la misma, suponen la comisión por parte de EVOFINANCE de una infracción de lo dispuesto en el artículo 6.1 de la LOPD, según el cual “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”, en relación con lo dispuesto en el artículo 30 de la misma Ley Orgánica y artículos 45 y 46 de su Reglamento de desarrollo, en adelante RDLOPD. El artículo 30 de la LOPD determina, respecto de los “Tratamientos con fines de publicidad y de prospección comercial”, lo siguiente: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento. 2. Cuando los datos procedan de fuentes accesibles al público, de conformidad con lo establecido en el párrafo segundo del artículo 5.5 de esta Ley, en cada comunicación que se dirija al interesado se informará del origen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten. 3. En el ejercicio del derecho de acceso los interesados tendrán derecho a conocer el origen de sus datos de carácter personal, así como del resto de información a que se refiere el artículo 15. 4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud”. Por su parte, el artículo 45 del RLOPD determina: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
  9. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
  10. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
  11. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. 2. Cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, deberá informarse al interesado en cada comunicación que se le dirija del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten, con indicación de ante quién podrán ejercitarse. A tal efecto, el interesado deberá ser informado de que sus datos han sido obtenidos de fuentes accesibles al público y de la entidad de la que hubieran sido obtenidos”. Y el artículo 46 del RLOPD establece lo siguiente: “Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  12. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  13. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
  14. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 EVOFINANCE trató los datos personales de la denunciante sin su consentimiento, por lo que ha vulnerado el principio del consentimiento previsto en el artículo 6 de la LOPD. La conculcación de este principio supone la comisión de la infracción grave tipificada en el artículo 44.3.
  15. b)de dicha norma, que considera como tal “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. La Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  16. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. En este caso, EVOFINANCE no actuó con la diligencia que le era exigible, por cuanto trató los datos personales de la denunciante después de haber estimado la solicitud de cancelación formulada por la misma. III El artículo 45 de la LOPD, en sus apartados 1 a 5, establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  17. a)El carácter continuado de la infracción.
  18. b)El volumen de los tratamientos efectuados.
  19. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  20. d)El volumen de negocio o actividad del infractor.
  21. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  22. f)El grado de intencionalidad.
  23. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  24. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  25. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  26. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  27. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  28. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  29. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  30. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  31. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. Para la aplicación de lo establecido en el citado artículo 45.5 de la LOPD, no se tiene en cuenta el reconocimiento de la responsabilidad alegado por EVOFINANCE con posterioridad a la apertura del procedimiento, al no concurrir en el mismo el requisito previsto en dicho precepto, según el cual dicho reconocimiento de la responsabilidad ha de producirse espontáneamente. No obstante, de conformidad con dicho precepto, se considera procedente aplicar la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto
  32. a)del citado artículo que establece: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A este respecto, se entiende que se produce una cualificada disminución de la culpabilidad al concurrir de forma significativa los apartados
  33. b)y
  34. h)del artículo 45.4 de la LOPD: el volumen de los tratamientos no consentidos objeto del procedimiento afecta sólo a los datos de carácter personal de la denunciante (criterio b); y la ausencia de perjuicios a la misma o terceras personas (criterio h). Motivo por el cual cabe la imposición de una sanción en la cuantía de 900 € a 40.000 €, al tener la infracción cometida la calificación de grave y sancionarse conforme a las multas establecidas para las infracciones leves. En cuanto a los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se estima la alegación formulada por EVOFINANCE, según la cual debe minorarse la sanción a la que se hace referencia en el acuerdo de apertura del procedimiento (20.000 euros), considerando que no cabe atribuir a la misma la condición de gran empresa en su sector de negocio (criterio d). A este respecto, destaca que el número medio de empleados en el último año ascendió a 161 y que su resultado de explotación en los años 2014 y 2015 fue negativo. Por otra parte, los Servicios de Inspección constataron que en el año 2015 las ventas de EVOFINANCE ascendieron a casi 24 millones de euros. Sobre esta cuestión, se tienen en cuenta los criterios establecidos en la Recomendación de la Comisión Europea de 06/05/2003, sobre la definición de microempresas, pequeñas y medianas empresas (PYME), en cuyo artículo 2 se define esta categoría, que está constituida por las empresas que ocupan a menos de 250 personas y cuyo volumen de negocios anual no excede de 50 millones de euros o cuyo balance anual no excede de 43 millones de euros. Se considera, asimismo, que EVOFINANCE tenía procedimientos adecuados para la tramitación de los derechos ARCO, pero no el proceso de fusión absorción de FINANMADRID, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 S.A.U. por EVOFINANCE por tratarse de una circunstancia del artículo 45.5. Además, dicho proceso tuvo lugar con anterioridad a los hechos denunciados. Tanto la tramitación de la solicitud de cancelación de los datos personales formulada por la denunciante, como la utilización de sus datos para la realización de los envíos postales publicitarios, se llevan a cabo por EVOFINANCE. Y, finalmente, el período de tiempo durante el cual se estuvo presuntamente infringiendo la norma (los datos de la denunciante fueron tratados, al menos, entre el 04/11/2016 y el 06/07/2017, después de que se le comunicara la cancelación de los mismos), y el número de envíos postales realizados (criterio a). Teniendo en cuenta los criterios de graduación expresados, se determina el importe de la sanción en la cuantía de 5.000 euros por la infracción del artículo 6 de la LOPD. IV Los hechos expuestos, en relación con el envío a la línea de telefonía móvil de la denunciante de seis comunicaciones comerciales mediante mensaje de texto (SMS), entre el 16/01/2017 y el 06/06/2017 (el SMS remitido el 09/11/2016 estaría prescrito), sin considerar la oposición manifestada por la misma, podrían suponer la comisión por parte de la entidad EVOFINANCE de una infracción a lo dispuesto en el artículo 21 de la vigente LSSI, que dispone lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” Añade el artículo 22.1 de la LSSI, también en la redacción dada por la mencionada Ley de Telecomunicaciones, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. De acuerdo con lo establecido en los apartados 3.
  35. c)y 4.
  36. d)del artículo 38 de la LSSI actualmente en vigor, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  37. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
  38. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción de carácter grave a los efectos de la LSSI. A partir del conjunto de hechos y circunstancias constatadas en el procedimiento sancionador y con arreglo a lo dispuesto en los citados preceptos, la conclusión que se desprende es que la conculcación del artículo 21 de la LSSI que se imputa a EVOFINANCE se ajusta al tipo de infracción calificada como leve en el artículo 38.4.
  39. d)de la vigente LSSI, ya que el envío en un plazo cinco meses de un total de seis correos electrónicos promocionales sin contar con su consentimiento previo y expreso para ello, no puede ser calificado como “envío insistente o sistemático” de comunicaciones comerciales no solicitadas por medios electrónicos por parte de la referida entidad. V A tenor de lo establecido en el artículo 39.1.
  40. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 €, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma, cuyo tenor literal es el siguiente: “Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  41. a)La existencia de intencionalidad.
  42. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  43. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  44. d)La naturaleza y cuantía de los perjuicios causados.
  45. e)Los beneficios obtenidos por la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13
  46. f)Volumen de facturación a que afecte la infracción cometida.
  47. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En relación con los criterios de graduación de las sanciones recogidos en el transcrito artículo 40 de la LSSI, se considera que en este supuesto actúa como agravante el criterio
  48. a)del mencionado artículo, por cuanto se ha producido una falta de diligencia por parte de EVOFINANCE al remitir los SMSs sin considerar la oposición manifestada por la denunciante, siendo exigible a la citada entidad una mayor diligencia debido a su volumen de negocio y el continuo tratamiento de datos personales que conlleva su actividad. Paralelamente, se valora el número de envíos y el período durante el que se llevan a cabo. Asimismo, conforme a lo alegado por EVOFINANCE, se considera que la infracción no ha provocado perjuicios distintos a los derivados de su comisión, ni dicha entidad ha obtenido beneficio alguno por tales hechos. Por lo tanto, se estima adecuado a la gravedad de los hechos analizados imponer a la entidad EVOFINANCE una sanción de 3.500 €. VI El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción reglamentariamente”. previsto en este apartado podrá ser incrementado De acuerdo con lo establecido en este artículo, en el acuerdo de apertura del procedimiento se advirtió a EVOFINANCE lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 “También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de las sanciones que proceda imponer en el presente procedimiento… En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción”. En este caso, conocida la apertura del procedimiento, EVOFINANCE presenta escrito en el que manifiesta que reconoce su responsabilidad en relación con los hechos denunciados, pero no renuncia a la formulación de alegaciones, que le sirven de base para solicitar la imposición de una multa inferior a la determinada en el citado acuerdo de apertura, por el importe mínimo establecido para las infracciones leves. Por tanto, no procede hacer uso de la reducción prevista en el citado artículo 85 de la LPACAP, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción. Por otra parte, conocida la propuesta de resolución formulada por el instructor del procedimiento, la entidad EVOFINANCE ha procedido al pago de las sanciones en la cuantía de 6.800 euros (4.000 euros por la infracción del artículo 6 de la LOPD y 2.800 euros por la infracción del artículo 21.1 de la LSSI) haciendo uso de la reducción prevista en el citado artículo 85.2 de la LPACAP, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra las mismas. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00417/2017, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a EVOFINANCE ESTABLECIMIENTO FINANCIERO DE CREDITO, S.A.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada al interesado. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.