← España

PS-00420-2016

1/17 Procedimiento Nº PS/00420/2016 RESOLUCIÓN: R/00160/2017 En el procedimiento sancionador PS/00420/2016, instruido por la Agencia Española de Protección de Datos a la entidad BANCO SANTANDER, S.A., vista la denuncia presentada por Don A.A.A, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 11 de abril de 2016 tiene entrada en esta Agencia un escrito remitido por Don A.A.A, (en lo sucesivo el denunciante), en el que declara que desde hace más de un año viene recibiendo publicidad de BANCO DE SANTANDER, S.A., (en lo sucesivo la denunciada), en su cuenta de correo electrónico de la Universidad de Granada (...@...), de la que es empleado. Con fecha 10 de junio de 2016, el denunciante aporta copia de los correos electrónicos recibidos y las cabeceras de Internet de los mismos. También presenta copia impresa de una pantalla de la Lista Robinson de Adigital en la que consta que no desea recibir publicidad en la mencionada dirección de correo electrónico, no figurando en la misma la fecha de alta en cuestión. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia han tenido de los siguientes extremos: 1. El denunciante aporta copia de 3 correos electrónicos dirigidos a B.B.B., con copia a ...@..., con fechas de envío 05/05/2015, 31/03/2016 y 26/06/2016. De las cabeceras de los correos se desprende que están enviados a una lista de distribución con copia oculta y remitidos desde .....@gruposantander.es. Al pie de los correos consta identificada como firmante B.B.B., Directora de la Oficina Universitaria, Universidad de Granada-Facultad de Económicas. 2. El correo electrónico de fecha 05/05/2015 ofertaba una serie de productos y servicios del Banco de Santander, S.A., adaptados “para el PDI/PAS”, los cuales se ponían a disposición del destinatario con motivo de la mejora del Convenio existente entre dicha entidad financiera y la Universidad de Granada. Entre dichos servicios se destacaban: anticipo de nómina, PDI-PAS, nuevas condiciones de hipoteca y traspaso de hipotecas, préstamos al consumo en condiciones excepcionales, descuentos de hasta el 30% en la gama de seguros del Santander, cuenta corriente sin comisiones de servicio, tarjetas de débito y crédito Box Gold, sin cuotas de emisión y renovación y descuentos en grandes marcas. El correo electrónico de fecha 31/03/2016 publicitaba los siguientes productos del Banco Santander; S.A.: la “Cuenta 123”, una nueva gama de hipotecas, préstamos como el de anticipo de nómina, Fondos mixtos y garantizados y un nuevo plan de pensiones flexible. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 El correo electrónico de fecha 26/06/2016 adjuntaba un resumen referido a las novedades del año 2016. Asimismo, promocionaba la mencionada “Cuenta 123” del Banco Santander; S.A. señalando “Calcula tu ahorro con la Cuenta 1/2/3/ pinchando aquí.” 3. Las comunicaciones comerciales denunciadas no ofrecían un mecanismo de oposición para no continuar recibiéndolas. 4. De conformidad con lo dispuesto en el artículo 45 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico en su relación con lo previsto en los apartados 1 y 2 del artículo 132 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, el primero de los envíos citados, de fecha 05/05/2015, se encontraba prescrito en la fecha de la formulación de la denuncia al haber transcurrido más de seis meses desde su remisión al denunciante. 5. El dominio gruposantander.es está registrado a nombre de BANCO DE SANTANDER, S.A. 6. Se ha requerido a BANCO DE SANTANDER, S.A. información sobre los hechos denunciados y documentación que acredite el consentimiento dado por el denunciante para la remisión de correos publicitarios, teniendo entrada en esta Agencia con fecha 10 de agosto de 2016 un escrito de dicha entidad en el que ponen de manifiesto lo siguiente; 1. Manifiestan que la entidad ha considerado que el tratamiento de dichos datos, de acuerdo con lo que dispone el art.6.2 de la LOPD, no precisaba del consentimiento del interesado. 2. El banco ha entendido que los datos utilizados en relación con el denunciante, para informarle del Convenio que la propia Universidad de Granada tiene celebrado con el banco, al estar incluidos en una lista de profesionales pertenecientes a la Universidad de Granada, que esta Universidad hace pública través de su página web, son datos contenidos en una fuente accesible al público, de acuerdo con el artículo 3 de la LOPD y el artículo 7.1 de su Reglamento que incluyen entre las mismas "las listas de personas pertenecientes a grupos profesionales", y tratarse los datos utilizados de los contemplados en tales preceptos. La entidad no adjunta copia del mencionado Convenio. 3. El denunciante no tiene relación contractual con el banco. 4. En ningún momento el denunciante ejerce oposición ante esta entidad para recibir comunicaciones comerciales. 7. Se ha verificado por la inspección de datos que la página web de la Universidad de Granada dispone de un directorio accesible públicamente en el que constan los datos del denunciante correspondientes a su nombre y apellidos, condición de Catedrático, teléfono y dirección de correo electrónico utilizada para la remisión de los envíos objeto de denuncia. TERCERO: Con fecha 26 de septiembre de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANCO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 SANTANDER, S.A., por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 38.4.

  1. d)de dicha norma, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1.
  2. c)de la LSSI. CUARTO: Notificado el citado Acuerdo de inicio, BANCO SANTANDER, S.A., solicitó copia de la documentación que forma parte del expediente, y presentó alegaciones en las que señaló que los correos denunciados los envió la Directora de la Oficina Universitaria del Banco sita en el Campus de la Universidad de Granada, con la que tienen un Convenio, en relación, entre otros extremos, con productos bancarios que se ofrecen a profesores, empleados y alumnos de la misma en condiciones ventajosas. La dirección del correo electrónico utilizada se corresponde con la cuenta del denunciante que aparece publicada en un directorio de la página web de la Universidad de Granada junto con su nombre y apellidos y condición de catedrático, teléfono, datos accesibles sin restricción. No forma parte de los estándares y prácticas del Banco efectuar promociones comerciales a partir de datos publicados en páginas web. Se trata de una actuación puntual de la Directora de la oficina abierta en la Universidad de Granada. La persona que remitió el correo ha entendido que al mediar el convenio de colaboración estaba legitimada dicha actuación, sin tener en cuenta que aunque el denunciante puede beneficiarse del Convenio al formar parte de la Universidad, sin embargo no mantiene una relación comercial con el Banco. Con independencia de lo anterior, dado que el dato procedía de un directorio profesional dicha persona pudo entender que era una fuente accesible al público conteniendo datos de profesionales que prestaban sus servicios en la Universidad (artículo 3 LOPD y 7.1.
  3. c)de su Reglamento de desarrollo). Desde esta perspectiva, cabe sostener que es posible hablar de datos obtenidos de una fuente accesible al público cuya utilización no requiere el consentimiento de su titular al ser de aplicación lo dispuesto en el artículo 19.2 de la LSSI, y resultar aplicable la LOPD en lo que se refiere a la obtención de datos personales. Añaden que puede accederse a los datos del directorio sin llegar a conocer el contenido del pie de la página web que recoge las finalidades perseguidas por la Universidad al publicitar dichos datos. Por todo lo cual se afirma que no existe una conducta culposa ni ha habido intencionalidad infractora. QUINTO: En fecha 20 de octubre de 2016, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, acordándose: 1. Dar por reproducidos a efectos probatorios la denuncia interpuesta por Don A.A.A. y su documentación; los documentos obtenidos y generados por los Servicios de Inspección ante BANCO SANTANDER, S.A. y el Informe de actuaciones previas de Inspección que forman parte del expediente E/02785/2016; las alegaciones al acuerdo de inicio PS/00420/2016 presentadas por BANCO SANTANDER, S.A. y la documentación que a ellas acompaña. 2. Incorporar al procedimiento a los mismos efectos impresión del resultado de la consulta realizada al acceder a las páginas web http://directorio.ugr.es/ y http://secretariageneral.ugr.es/...., en concreto: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 - http://directorio.ugr.es, que incluye impresión de la captura de la presentación de dicho directorio, resultado de la búsqueda efectuada al incluir los datos del nombre y apellidos del denunciante, y los documentos “Preguntas frecuentes sobre el uso de la aplicación del directorio.” , “Aviso legal sobre protección de datos” y “Condiciones de uso y privacidad del portal de la Universidad de Granada” - http://secretariageneral.ugr.es/...., incluyendo el enlace de acceso al Directorio Telefónico 3. Incorporar al procedimiento, también a efectos probatorios, el Informe Jurídico 0164/2008 del Gabinete Jurídico de la AEPD. 4. Solicitar a BANCO SANTANDER, S.A.: Remisión de copia íntegra del Convenio suscrito por esa entidad con la Universidad de Granada, con acreditación de que se encontraba en vigor en la fecha de los hechos denunciados; Acreditación, mediante cualquier medio de prueba válido en derecho, de que las manifestaciones relativas a que los envíos responden a una iniciativa exclusiva de la Directora de la Oficina ubicada en la Universidad de Granada. SEXTO: Con fecha 27 de octubre de 2016 se registra de entrada escrito del Banco Santander, S.A., enviando copia del Convenio suscrito por esa entidad con la Universidad de Granada el 15 de julio de 2013, vigente hasta 4 años después de la fecha señalada según su cláusula quinta. Igualmente, remite correo electrónico remitido el 28 de julio de 2016 por la directora de la citada Oficina Universitaria a BCE Seguridad Informática del Banco señalando los motivos del envío. . SÉPTIMO: Con fecha 13 de enero de 2017 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 8.000 € (Ocho mil euros) al BANCO SANTANDER, S.A., por la comisión de una infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4.
  4. d)de dicha Ley, que consta como notificada a la reseñada entidad con fecha 18 de enero de 2017. OCTAVO: Con fecha 6 de febrero de 2017 se registra de entrada escrito de la entidad financiera inculpada manifestando que frente a la falta de diligencia en su conducta reseñada en la propuesta de resolución deben tenerse en cuenta las siguientes circunstancias, gran parte ya citadas en su anterior escrito de alegaciones: Que la falta de diligencia es una circunstancia únicamente apreciable de la Universidad que ha diseñado la página web de la que se obtuvo el email utilizado, puesto que el Aviso Legal que informa sobre las finalidades perseguidas por la Universidad al publicar los datos del Directorio y advierte que éstos no pueden utilizarse para el envío de comunicaciones comerciales está situado al pie de página, debiendo bajar el scroll para su visualización, acción no es necesaria para acceder a los datos. Se señala que conforme al artículo 7.1 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en adelante RLOPD, son datos profesionales susceptibles de ser usados por otros medios que no sean el correo electrónico para fines comerciales (artículo 45.1.
  5. a)del RLOPD. En cuanto a que la diligencia hubiera exigido ponderar la falta de relación contractual con el interesado, reiteran que una de las razones que determinó su forma de operar fue la existencia del Convenio firmado con la Universidad ofreciendo servicios y productos financieros en condiciones ventajosas tanto a la propia institución como al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 personal y alumnos de la misma. Perspectiva desde la cual resulta razonable pensar tanto que el interesado no pueda considerarse “realmente” ajeno al Convenio como integrante de un colectivo de la Universidad, como que el empleado que envió los correos pudiera pensar que su actuación respondía a lo exigido en el Convenio, confundiendo las personas que son parte en un convenio con los beneficiarios del mismo. Todo lo cual revela, a lo sumo, una confusión al calificar la posición del destinatario como posible parte del Convenio. HECHOS PROBADOS PRIMERO: Banco Santander, S.A. y la Universidad de Granada firmaron un Convenio para facilitar a los miembros de la comunidad universitaria que así lo deseen, la posibilidad de acceder a sus servicios bancarios en condiciones preferentes, a través de una oficina bancaria dentro del Campus de la Universidad. (folios 66, 100 al 106) SEGUNDO: La cláusula tercera de dicho Convenio o “Acuerdo para la Prestación de Servicios Financieros entre la Universidad de Granada y Banco Santander” recoge que: “El Santander divulgará la existencia de tales ofertas bajo su exclusiva responsabilidad, por los medios que estime convenientes y previo el cumplimiento por su parte de todas las normativas vigentes en la materia, entre ellas, la obtención de todas al autorizaciones precisas y, en especial, las que se refieren a consentimientos para el uso de bases de datos de carácter personal. La Universidad colaborara con el Santander en la difusión de las ofertas, facilitando que la información referida a las mismas llegue al colectivo de estudiantes, así como a los colectivos de personal docente e investigador, y el personal de administración y servicios, a través de los mecanismos y con la periodicidad más convenientes en cada caso, destacando algunos medios, tales como inserción en la web, e-mails, inserciones en revistas y comunicaciones internas, mailings, sobres de matrícula, documentación de cursos y seminarios, etc… En todos los casos, la responsabilidad acerca del contenido de las ofertas, así como sobre la confección material de los correspondientes soportes de difusión será, exclusivamente , del Santander.” (folios 100 al 106) TERCERO: El denunciante, que es catedrático en la Universidad de Granada, no tiene relación contractual con el Banco Santander, S.A. (folios 1, 51, 68 ) CUARTO: El denunciante está inscrito desde el 1 d julio de 2009 en la Lista Robinson de Adigital, fichero en el que consta que no desea recibir publicidad en la dirección de correo electrónico ...@.... (folios 29 y 30 ) El denunciante aporta copia de 2 correos electrónicos dirigidos a B.B.B., con copia a ...@..., con fechas de envío 31/03/2016 y 26/06/2016. De las cabeceras de los correos se desprende que están enviados a una lista de distribución con copia oculta y remitidos desde .....@gruposantander.es. (folios 6 al 8, 14 al 28) Al pie de los correos consta identificada como firmante B.B.B., Directora de la Oficina Universitaria, Universidad de Granada-Facultad de Económicas. QUINTO: El correo electrónico de fecha 31/03/2016 publicitaba los siguientes productos del Banco Santander; S.A.: la “Cuenta 123”, una nueva gama de hipotecas, préstamos como el de anticipo de nómina, Fondos mixtos y garantizados y un nuevo plan de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 pensiones flexible. El correo electrónico de fecha 26/06/2016 adjuntaba un resumen referido a las novedades del año 2016. Asimismo, promocionaba la mencionada “Cuenta 123” del Banco Santander; S.A. señalando “Calcula tu ahorro con la Cuenta 1/2/3/ pinchando aquí.” SEXTO: Las comunicaciones comerciales denunciadas no ofrecían un mecanismo de oposición para no continuar recibiéndolas. SÉPTIMO: La Universidad de Granada es titular de la página web http://directorio.ugr.es/, en la que figura un directorio profesional en el aparecen los datos del denunciante correspondientes a su nombre y apellidos, condición de Catedrático, teléfono y dirección de correo electrónico utilizada para la remisión de los envíos objeto de denuncia. (folios 51, 71 al 86) OCTAVO: En el Aviso Legal sobre protección de datos de la página web http://directorio.ugr.es/ se informa que: (folios 79 y 80) “Los datos de las personas físicas que presten sus servicios en esta Universidad, consistentes únicamente en nombre y apellidos, las funciones o puestos desempeñados, así como los datos de la dirección postal o electrónica, teléfono y número de fax profesionales son fuentes accesibles al público, según lo establecido en el artículo 3, párrafo
  6. j)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y artículo 7.1.
  7. c)del Real Decreto 1720/2007, de 21 de diciembre , que desarrolla la Ley Orgánica 15/1999. Esto supone que sus datos profesionales de contacto estará accesibles al público desde la página web de la Universidad. (…) Los datos objeto de publicación en el Directorio telefónico sirven a finalidades exclusivamente académicas y administrativas, y su empleo para cualquier uso distinto de los señalados, y en particular para fines comerciales o envío de spam, es contrario a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y será puesto en conocimiento de las autoridades competentes en materia de protección de datos.” NOVENO: Con fecha 28 de julio de 2016 la Directora de la Oficina Universitaria del Banco Santander envío correo electrónico al BCE Seguridad Informatica de la entidad financiera señalando que: (folio 98) “(…) el motivo de envío del email a este profesor de la Universidad de Granada, es exclusivamente facilitar información del Convenio existente entre la Universidad de Granada y Banco Santander, así como las ventajas pro ser personal de la Universidad. La dirección de email ha sido obtenida de la página web de la UGR que como se puede comprobar es pública. http://directorio.ugr.es/” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
  8. d)e
  9. i)y 38.4 d),
  10. g)y
  11. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II A los efectos de dilucidar si Banco Santander, S.A., resulta responsable de la comisión de una infracción a lo previsto en el artículo 21 de la LSSI, conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. La LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
  12. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
  13. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
  14. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. El concepto de comunicación comercial, de acuerdo con la definición recogida en el Anexo f), párrafo primero de la LSSI, engloba todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. Por otro lado, la LSSI en su Anexo
  15. a)define “Servicio de la Sociedad de la Información” como “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios”. Añade el referido apartado que el envío de comunicaciones comerciales es un servicio de la sociedad de la información, siempre que represente una actividad económica. Según el apartado
  16. d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
  17. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV En el presente caso de las actuaciones practicadas y de la documentación obrante en el procedimiento, se evidencia que, con fechas 31 de marzo y 26 de junio de 2016, se remitieron desde la dirección de correo electrónico .....@gruposantander.es a la cuenta de correo electrónico ...@... del denunciante dos comunicaciones comerciales promocionando productos y servicios financieros comercializados por el mencionado Banco que incumplían las exigencias recogidas en el artículo 21.1 de la LSSI. Téngase en cuenta que la propia entidad remitente de los envíos comerciales ha reconocido en su escrito de alegaciones al acuerdo de inicio que la dirección de correo electrónico utilizada se obtuvo por la Directora de la Oficina del Banco Santander, S.A. sita en el Campus La Cartuja de la Universidad de Granada del directorio de la página web de dicha Universidad, manifestación que por sí misma prueba dicho incumplimiento por las razones que a continuación se indicarán y, con arreglo a la cual, tampoco resulta de aplicación la excepción al consentimiento contenida en el primer párrafo del artículo 21.2 de dicha norma por evidenciar que no existe una relación contractual previa entre la entidad remitente y el destinatario de los envíos en cuestión, circunstancia esta última que, además ha sido reconocida por la entidad financiera remitente de las comunicaciones comerciales denunciadas. El hecho de que Banco Santander, S.A., obtuviera la cuenta de correo electrónico del denunciante de un directorio profesional incluido en una página web titularidad de la Universidad de Granada prueba que la comunicación comercial objeto de análisis no había sido solicitada previamente por su destinatario y pone de manifiesto, también, la inexistencia de autorización expresa del mismo para poder usar con fines publicitarios las señas electrónicas profesionales de su titularidad en las que recibió las dos comunicaciones comerciales analizadas. No debe olvidarse que C/ Jorge Juan, 6 28001 – Madrid la LSSI, que es la norma específica aplicable al www.agpd.es sedeagpd.gob.es 10/17 supuesto estudiado, establece que la remisión de comunicaciones comerciales por correo electrónico precisa del consentimiento previo y expreso de sus destinatarios, circunstancia que, evidentemente no se produce cuando el dato proviene de una fuente de las definidas en los artículos 3.j ) de la LOPD y 7.1.
  18. c)del RLOPD como accesibles al público, como son los datos profesionales publicados en el directorio de la página web de la Universidad de Granada. De tal modo que, a los efectos que ahora nos ocupan no resulta de aplicación lo previsto en el artículo 45.1.
  19. a)del citado RLOPD respecto de la utilización con fines publicitarios de datos que figuren en alguna de las fuentes accesibles al público detalladas en los artículos 3.
  20. j)de la LOPD y 7.1.
  21. c)del RLOPD, ya que la LSSI prohíbe de forma expresa la remisión de comunicaciones comerciales a través de medios electrónicos que previamente no hayan sido solicitadas o expresamente autorizadas por su destinatario, circunstancia que, además, reconoce en sus alegaciones a la propuesta de resolución la propia entidad remitente de los dos envíos comerciales denunciados, motivo por el cual la invocación del reseñado artículo 45.1.
  22. a)del RLOPD en nada enerva lo razonado hasta ahora al referirse a supuestos que son contrarios a las normas recogidas en la legislación sectorial. A mayor abundamiento, en el “Aviso Legal sobre Protección de Datos” asociado a dicho directorio (Hecho Probado 8), que al igual que la dirección de correo electrónico del denunciante resulta de acceso público a los usuarios del portal web http://directorio.ugr.es/, se establece claramente que los datos objeto de publicación en dicho directorio sirven a finalidades exclusivamente académicas y administrativas, estando prohibido su uso para fines comerciales o envío de spam. Así las cosas, el uso de la dirección de correo electrónica del denunciante con finalidad comercial también estaría prohibido por la Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que en su artículo 28.2 establece que: “Los interesados tendrán derecho a que la entidad responsable del mantenimiento de los listados de los Colegios profesionales indique gratuitamente que sus datos personales no pueden utilizarse para fines de publicidad o prospección comercial. Los interesados tendrán derecho a exigir gratuitamente la exclusión de la totalidad de sus datos personales que consten en el censo promocional por las entidades encargadas del mantenimiento de dichas fuentes. La atención a la solicitud de exclusión de la información innecesaria o de inclusión de la objeción al uso de los datos para fines de publicidad o venta a distancia deberá realizarse en el plazo de diez días respecto de las informaciones que se realicen mediante consulta o comunicación telemática y en la siguiente edición del listado cualquiera que sea el soporte en que se edite. “ Dicho lo cual, la remisión de las comunicaciones comerciales denunciadas constituye una acción que ha respondido únicamente a la voluntad del Banco Santander, S.A., de dar un uso publicitario a dicha información sin mediar para ello el consentimiento previo y expreso del denunciante, no estando tampoco amparada legalmente dicha conducta en la existencia de una relación contractual entre ambas partes en los términos del artículo 21.2 de la LSSI. En relación con esta cuestión, es importante señalar que esta Agencia se ha pronunciado en innumerables ocasiones en que cuando se trata de comunicaciones comerciales a las que le resulta de aplicación lo previsto en el artículos 21.1 de la LSSI no opera la dispensa de la obtención del consentimiento recogida en el artículo 6.2 de la LOPD respecto de los datos personales que procedan de fuentes accesibles al público, por ser contrario a lo dispuesto en la referida LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 De esta forma, en supuestos como el analizado, la posesión o conocimiento de una dirección de correo electrónico de un tercero no implica, incluso cuando aparezca difundida en páginas web de Internet o figure incluida en bases de datos empresariales o tenga su origen en fuentes accesibles al público, considerando como tales exclusivamente las contempladas en los artículos 3.
  23. j)de la LOPD y 7 del RLOPD ya transcritos, una autorización del titular de la dirección de correo electrónico en cuestión para recibir publicidad a través de medios de comunicación electrónica o similares, pues precisamente ese derecho a no recibir comunicaciones comerciales por esa vía que no hayan sido previamente solicitadas o expresamente autorizadas es el que protege el artículo 21 LSSI. En este sentido conviene traer a colación la SAN 371/2012 de 23/07/2013, que al referirse a datos obtenidos de una página web, resulta plenamente aplicable al caso ahora analizado: “Agregaba por otra parte la resolución recurrida que la constancia de las direcciones electrónicas de las empresas en la red Internet no habilita para utilizarlas para el envío de comunicaciones comerciales, salvo que se den los supuestos del artículo 21 de la Ley de Servicios de la Sociedad de la Información. Es decir, que una entidad puede tener su dirección de correo electrónico en una web a los efectos de “contacto” y fundamentalmente para ofrecer sus productos y actuar en el tráfico jurídico, pero que «ello no implica una autorización ad limitum para ser receptora de publicidad, pues precisamente ese derecho a no recibir comunicaciones comerciales por medios electrónicos es el que protege el artículo 21 de la Ley de Servicios de la Sociedad de la Información». Pues bien, procede desestimar el recurso por esta primera razón impugnatoria, dado que, en efecto, la legitimidad de la posesión de los datos por parte de una concreta empresa no obsta a la posterior necesidad del recabado de un consentimiento específico para la remisión de comunicaciones comerciales. Así se obtiene del art. 21.1 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico: «Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas». La desestimación del recurso por el fundamento que se acaba de analizar debe llevarnos también a la misma consecuencia con respecto a la afirmación de la obtención de aquella información (los datos de la empresa) de una fuente accesible al público (la página web de la denunciante). Y es que, con independencia de que se trate o no en efecto de una fuente accesible al público en los términos del art. 6.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, lo cierto es que aquella obtención pudiera legitimar, sin expreso consentimiento, el tratamiento de los datos de que se trate, pero no hacerlo con la remisión de comunicaciones comerciales. Esto entraña una actividad singular y diferente, que es requerida de consentimiento autónomo por el art. 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico.” Consecuentemente, resulta irrelevante que la dirección de correo electrónico del denunciante estuviera accesible en un directorio profesional incluido en una página C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 web de Internet, toda vez que el tratamiento con fines publicitarios de las señas electrónicas de los destinatarios de este tipo de envíos requiere solicitud previa del destinatario o autorización expresa de los mismos. Y además debe añadirse que el denunciante, que no es cliente de la entidad financiera remitente de los envíos comerciales estudiados, había registrado su dirección electrónica ...@... en un fichero común de exclusión de comunicaciones comerciales (Lista Robinson), al que la entidad financiera, evidentemente, no acudió con anterioridad a la remisión de los envíos objeto de estudio a fin de constatar si el correo electrónico del denunciante figuraba incluido en dicha Lista Robinson. En línea con lo cual, tampoco puede considerarse que el Convenio de colaboración suscrito entre la entidad bancaria y la Universidad de Granada habilitase al Banco Santander a enviar publicidad de forma directa a los profesores de dicho Centro docente. En definitiva, a la luz de los elementos fácticos obrantes en el procedimiento cabe concluir que la denunciada incumplió la prohibición recogida en el artículo 21.1 de la LSSI al enviar dos correos electrónicos de tipo comercial al denunciante sin contar con la autorización expresa o solicitud previa del mismo para ello, y sin que quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 de dicha norma al no existir una relación contractual previa entre remitente y destinatario del envío en cuestión. V El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos) La definición de prestador del servicio se contiene en el apartado
  24. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. En concreto, el artículo 37 de la LSSI especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos), considerándose como tal, según definición contenida en el apartado
  25. c)del Anexo de la citada norma a la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  26. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
  27. d)El envío de comunicaciones comerciales por correo electrónico u otro medio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b), se producirá una infracción de carácter grave a los efectos de la LSSI. A la vista de los preceptos citados y de los hechos que han resultado acreditados en la tramitación del procedimiento sancionador, la remisión de dos correos electrónicos comerciales no consentidos por parte del Banco Santander al denunciante sin ofrecer al mismo, además, un correo electrónico o dirección electrónica válida al destinatario para oponerse a la recepción de nuevos envíos, supone la comisión por parte de dicha entidad financiera, a título de culpa, de una infracción leve a lo previsto en el artículo 38.4.
  28. d)de la vigente LSSI. VI No cabe duda que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, se considera que la entidad denunciada, en razón de la diligencia que le resulta exigible por su profesionalidad, debió comprobar con anterioridad a la realización de los envíos que contaba con el consentimiento expreso y previo del destinatario de las comunicaciones comerciales para su envío como exige el artículo 21.1 de la LSSI, y constatar que los envíos incluían alguno de los mecanismos de oposición a los que se refiere el tercer párrafo del artículo 21.2 de la LSSI, todo ello a los efectos de garantizar los derechos de los destinatarios de los servicios de la sociedad de información. Esta falta de diligencia mostrada por Banco Santander no deviene de la confusión de una empleada del Banco al considerar al denunciante como como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 posible parte del Convenio, tal y como se desprende de las alegaciones realizadas por esa entidad a la propuesta de resolución discrepando del modo en que se había ponderado dicha circunstancia, sino que se origina en la falta de cautelas y controles de la entidad para constatar, previamente a la realización de los envíos, si los correos electrónicos comerciales cumplían las exigencias recogidas en el artículo 21 de la LSSI. Esta falta de rigor también se muestra en la desatención por el Banco Santander de lo estipulado en la cláusula tercera del citado Convenio al determinar que la divulgación de ofertas por la entidad financiera requiere el cumplimiento de las normativas que resulten de aplicación, haciéndose especial hincapié en las referidas a la obtención de las autorizaciones necesarias y a los consentimientos para el uso de bases de datos de carácter personal (Hecho Probado Segundo). Por lo tanto, la entidad remitente de las comunicaciones comerciales denunciadas tampoco puede escudarse en que el acceso a los datos del Directorio de la página web de la Universidad de Granada no estaba condicionado al acceso previo al citado Aviso Legal. Además, la ubicación de dicho documento legal en la página web citada por debajo de la información ofrecida por el Directorio en nada modifica la responsabilidad de la entidad inculpada, puesto que Banco Santander, S.A. estaba obligado a tomar en consideración lo dispuesto en la cláusula tercera del Convenio antes citada con anterioridad a la remisión de los envíos denunciados, amén de respetar que con arreglo al mencionado artículo 21.1 de la LSSI no podía utilizar el correo electrónico de los profesionales incluidos en el Directorio web para enviarles comunicaciones comerciales sin mediar autorización previa y expresa de los destinatarios para ello. Igualmente, se considera que la ubicación del Aviso Legal no tiene ninguna incidencia en la seguridad de los datos recogidos en una fuente accesible al público como es el Directorio Profesional del que se obtuvo el dato, ni desde luego dicha circunstancia puede asociarse al uso dado por esa entidad financiera a la información recogida de esa base de datos, ya que el tratamiento realizado con las señas electrónicas recae exclusivamente bajo su órbita de responsabilidad, máxime cuando el Aviso Legal resultaba fácil y perfectamente localizable en la página web http://directorio.ugr.es/. VII Según establece el art. 39.1, apartados
  29. b)y c), de la LSSI, las infracciones graves podrán ser sancionadas con multa de 30.001 hasta 150.000 € y las leves, con multa de hasta 30.000 €, fijando los criterios para su graduación los artículos 39 bis y 40 de la misma norma, que disponen lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  30. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
  31. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17
  32. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  33. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  34. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  35. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  36. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador, por dicho incumplimiento.” “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  37. a)La existencia de intencionalidad.
  38. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  39. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  40. d)La naturaleza y cuantía de los perjuicios causados.
  41. e)Los beneficios obtenidos por la infracción.
  42. f)Volumen de facturación a que afecte la infracción cometida.
  43. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. En aplicación los criterios de graduación de las sanciones recogidos en el citado artículo 40 de la LSSI, se estima que en este supuesto operan como agravantes las circunstancias comprendidas en los criterios a),
  44. b)y
  45. c)de dicho precepto. En concreto, si bien no puede hablase de intencionalidad en la conducta descrita, sin embargo, tal y como se ha desarrollado en el Fundamento de Derecho anterior, si se ha producido una evidente falta de diligencia para asegurarse, como empresa habituada a la remisión de comunicaciones comerciales por medios de comunicación electrónica a la que le resulta exigible un especial conocimiento de la normativa que resulta de aplicación, que mediaba el consentimiento expreso y previo del denunciante para remitir las dos comunicaciones comerciales reseñadas, cuyo envío, en un plazo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 aproximado de tres meses entre ambas comunicaciones, ninguna de las cuales ofrecía un mecanismo de oposición, tampoco estaba amparado por la excepción contemplada en el artículo 21.2 al no existir relación contractual entre remitente y destinatario de los citados envíos, circunstancia ésta, por otra parte, perfectamente conocida por la entidad inculpada, a lo que hay que sumar que el Aviso Legal del que se obtuvo el correo electrónico profesional del denunciante indicaba claramente que los datos obrantes en el reseñado Directorio no podían tratarse para el envío de comunicaciones comerciales electrónicas. A su vez, la circunstancia de reincidencia deriva de la comisión de sendas infracciones de la misma naturaleza que dieron lugar a las resoluciones R/02457/2015 y R/01322/2016 acordadas por esta Agencia en los procedimientos sancionadores PS/00281/2015 y PS/00001/2016, ambas firmes en vía administrativa. Paralelamente, se valoran como circunstancias atenuantes en la comisión de la infracción, los criterios de graduación de las sanciones recogidos en los apartados
  46. d)y
  47. e)del citado artículo 40, teniendo en cuenta la falta de constancia de que el denunciante haya sufrido perjuicios a causa de la recepción de los correos comerciales de fechas 31 de marzo y 26 de junio de 2016 o que la denunciada haya obtenido beneficios con motivo de la comisión de la infracción imputada.. Por lo tanto, al haber quedado acreditado el elemento subjetivo de culpabilidad por parte del BANCO DE SANTANDER en la comisión de una infracción a lo previsto en el artículo 21 de la LSSI, con arreglo a lo previsto en el artículo 40 de la LSSI se estima adecuado a la gravedad de los hechos analizados imponer una sanción de 8.000 €. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANCO SANTANDER, S.A., por una infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4.
  48. d)de la LSSI, una multa de 8.000 € (Ocho mil euros), de conformidad con lo establecido en los artículos 39.1.
  49. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a BANCO SANTANDER, S.A. y a Don A.A.A. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.