← España

PS-00436-2024

1/17  Expediente Nº: EXP202407813 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 16 de octubre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a INSTITUTO RAIMON GAJA, S.L. (en adelante, IRG). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 11 de diciembre de 2024 se emitió la propuesta de resolución que a continuación se transcribe: << Procedimiento Nº: EXP202407813 (PS/00436/2024) PROPUESTA DE RESOLUCIÓN DEL PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 06/05/24, Dª. A.A.A., (la parte reclamante), presenta escrito de reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad, INSTITUTO RAIMON GAJA, S.L. con NIF.: B56488687, (la parte reclamada), por la presunta vulneración de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). La parte reclamante manifiesta, en su escrito de reclamación, lo siguiente: “Tras una filtración de mis datos personales (la denuncia se puso en septiembre del año 2022 en el ***DIRECCIÓN.1) empecé a recibir publicidad de numerosos sitios. A este instituto, que además se dedica a la enseñanza de temas psicológicos, ya le había solicitado anteriormente que eliminase mis datos personales, pues ni siquiera sé de dónde los obtuvieron; dejaron de enviar spam, por lo que los correos del año pasado los acabé eliminando. No hace mucho volvieron a empezar a enviar publicidad, así que solicité de nuevo la eliminación de mis datos y su respuesta fue enviarme 3 veces el mismo email con publicidad (20 de abril), al que les respondí que si me volvían a escribir notificaría el incumplimiento de la LOPD (publicitan cursos de psicología, considero necesario remarcar esto por lo crucial que es el tema C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 "privacidad de datos" en este ámbito); hoy me han enviado publicidad de nuevo. En el apartado "fecha en la que ejerció el derecho ante el responsable del tratamiento" pongo marzo de este año, pero me gustaría recalcar que empezaron el año pasado. No sé la fecha exacta en la que empezaron, fue tras la filtración de datos ya mencionada; realmente pensaba que sí los habían eliminado cuando lo solicité, por lo que preferí olvidarme del tema y borrar todo. No contaba con que meses más tarde volverían a hacerlo, y menos que me responderían reenviándome 3 veces el mismo email (además era spam, ni me respondieron) tras la petición de eliminación de mis datos. Solicito, por favor, que ese centro y cualquier asociado que tenga eliminen mis datos personales de su base de datos. Muchas gracias de antemano.”. Junto al escrito de reclamación, se acompaña la siguiente documentación: a).- Copia de la cadena de correos intercambiados entre la dirección de correo, “Dirección General.- ***EMAIL.1 y la dirección de correo de la reclamante, ***EMAIL.2, con el Título “Optimiza tu consultorio sin esfuerzo con Psícobox” donde se puede comprobar la cadena de correos recibidos y la respuesta dada por la destinataria, así como la fecha en que se produjeron: - Fechados el 20/04/24, (horas: 16:31; 16:31 y 16:33) copia de tres correos electrónicos enviados desde la dirección, ***EMAIL.1, a la dirección de correo ***EMAIL.2 firmados por “Institutoraimongaja.com”, con el Asunto: “Optimiza tu consultorio sin esfuerzo con Psícobox” y conteniendo el siguiente mensaje: o - ¡Hola! Sabemos que quieres conocer más de Psicobox: para Psicólogos, pues bien, hoy, queremos profundizar contigo cómo este recurso gratuito puede transformar tu día a día. ¡Descárgala GRATIS ahora! ...”. Fechado el 21/04/24, copia del correo electrónico enviado desde la dirección de correo ***EMAIL.2 a la dirección de correo electrónico, “***EMAIL.1” con el siguiente mensaje: o “Sigo guardando los correos que envían -a pesar de mi negativa a que usen mis datos personales, no he dado mi consentimiento- para ponerla denuncia, ya he solicitado expresamente que eliminen mis de los de su base de datos en numerosas ocasiones... eliminen mis datos o notifico dicho incumplimiento Igual ni espero el mes, pues llevan mandando esta basura contra mi voluntad MESES”. b).- Fechado el 06/05/24 copia del correo electrónico enviado desde la dirección de correo electrónico, “IRG Instituto Raimon Gala”, ***EMAIL.3, a la dirección de correo electrónico, ***EMAIL.2 y firmado por: “Institutoraimongaja.com”, con el Asunto: “¡Inscríbete! IMC: Importancia del ejercicio para tu bienestar emocional” y conteniendo el siguiente mensaje: o C/ Jorge Juan, 6 28001 – Madrid “IRG “Instituto Raimon Gaja: www.aepd.es sedeagpd.gob.es 3/17 Actividad Física y el impacto en tus emociones B.B.B.. LICENCIADO EN CULTURA FÍSICA Y DEPORTE CON MAESTRÍA EN ALTA DIRECCIÓN” Inscríbete en nuestra International Masterclass: Actividad física y el impacto en tus emociones. Aprende cómo el bienestar emocional necesita de un estilo de vida saludable por medio del deporte…”. SEGUNDO: Con fecha 28/05/24, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, (LOPDGDD), por parte de esta Agencia, se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que se exponía en el escrito de reclamación. El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), mediante notificación electrónica, con el siguiente resultado: “expirada por caducidad, al superarse el plazo establecido para la comparecencia, a fecha de 08/06/24 00:00”, según consta en el certificado existente en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, conforme a lo dispuesto en el artículo 41.5 de la LPACAP, se volvió a enviar dicha reclamación a la parte reclamada, mediante notificación postal el día 18/06/24, resultado “Entregado en Destino”, el 26/06/24. No consta que se haya recibido en esta Agencia ninguna contestación a dicho traslado. TERCERO: Con fecha 06/08/24, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 16/10/24, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta vulneración del artículo 21.1 de la LSSI, tipificada como leve en el art. 38.4.d), de la citada norma, por el envío de comunicaciones comerciales no solicitadas o expresamente autorizadas. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, atendidas las evidencias existentes en ese momento y sin perjuicio de lo que resultase de la instrucción ascendería a un total de 2.000 (dos mil euros). QUINTO: Con fecha 28/11/24, se recibe en esta Agencia escrito de alegaciones a la incoación del expediente donde se indica lo siguiente: “I. Competencia de la AEPD La Agencia Española de Protección de Datos tiene competencia para la instrucción y resolución de los procedimientos sancionadores en materia de protección de datos personales, conforme al artículo 47 de la LOPDGDD y el artículo 57 del RGPD. Sin embargo, esta parte plantea que la actuación de la AEPD debe observar escrupulosamente los principios de objetividad, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 proporcionalidad y presunción de inocencia consagrados en los artículos 9.3. y 24.2 de la Constitución Española. II. Inexistencia de infracción La reclamante alega que solicitó la eliminación de sus datos personales en 2022. Sin embargo, cabe destacar que la mercantil Instituto Raimon Gaja, S.L. fue constituida en fecha 4 de octubre de 2023, conforme al Protocolo 3.632 del Notario C.C.C., e inscrita en el Registro Mercantil de Barcelona bajo número 43127191. Por tanto, es materialmente imposible que en 2022 la reclamante pudiera haber solicitado la eliminación de datos a una entidad inexistente en aquel momento. III: Solicitud de información sobre nuestros programas formativos La solicitud de información fue captada y registrado en el sistema de una organización a través de un embudo de ventas o marketing. Esto implica que la persona mostró interés por un producto o servicio específico (en este caso, el Máster en Psicología Clínica y de la Salud) y solicitó información al respecto. IV. Sobre el envío de publicidad y solicitud de baja Respecto al envío de comunicaciones publicitarias, esta parte señala que la reclamante no presentó solicitud de baja formal a través de los mecanismos establecidos por esta entidad. Cada correo electrónico enviado incluye un enlace al pie del mensaje que permite al destinatario darse de baja de manera inmediata de futuras comunicaciones. No consta en nuestro sistema registro alguno de que la reclamante haya ejercido esta opción ni enviado una solicitud formal conforme al procedimiento descrito en el artículo 21 del RGPD. V. Medidas adoptadas para evitar futuras reclamaciones Con el objetivo de prevenir reclamaciones de esta naturaleza y garantizar el respeto de los derechos de los interesados, se procedió a dar de baja a la reclamante de nuestra base de datos. En consecuencia, no volverá a recibir comunicaciones de nuestra entidad. VI. Falta de pruebas suficientes De acuerdo con el principio de presunción de inocencia recogido en el artículo 24 de la Constitución Española y el artículo 23.2 de la LPACAP, corresponde a la AEPD aportar pruebas suficientes que acrediten de manera indubitada la comisión de la infracción imputada. En este caso, los hechos descritos en el Acuerdo de inicio no han sido suficientemente probados debido a su falta de relevancia e inconsistencia. VII. Principio de proporcionalidad En el caso de que se considerara la existencia de una infracción, esta parte solicita que se aplique el principio de proporcionalidad consagrado en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 artículo 83.1 del RGPD, considerando la naturaleza y la gravedad de la infracción, la inexistencia de intencionalidad por parte de esta entidad/persona, y las medidas implementadas para minimizar el posible daño. PRUEBAS: Se solicita la admisión de las siguientes pruebas: 1. Certificación de constitución de la mercantil Instituto Raimon Gaja, S.L., que acredita que la empresa no existía en el año 2022. 2. Registro interno que demuestra la inexistencia de solicitud de baja formal por parte de la reclamante. 3. Capturas de los correos electrónicos enviados, incluyendo el enlace para darse de baja, como prueba de cumplimiento del artículo 21 del RGPD. 4. Poder notarial PETICIÓN: Por todo lo expuesto, se solicita a la Agencia Española de Protección de Datos que: 1. Tenga por presentadas estas alegaciones y pruebas en tiempo y forma. 2. Archive el procedimiento sancionador, al no haberse cometido infracción alguna por parte de esta entidad. 3. Subsidiariamente, en caso de considerar la existencia de infracción, se aplique la mínima sanción posible, atendiendo al principio de proporcionalidad consagrado en el art 83.1 del RGPD. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes HECHOS PROBADOS Primero: La entidad responsable de los hechos investigados es Instituto Raimon Gaja, S.L., con NIF.: B56488687, identificada como responsable del envío de las comunicaciones comerciales objeto de esta reclamación. Segundo: De la documentación presentada junto con la reclamación se constata que, con fecha 20/04/24, desde la dirección de correo electrónico “Dirección General ***EMAIL.1, se enviaron tres correos electrónicos a la dirección de correo electrónico de la reclamante, ***EMAIL.2, con el asunto: “Optimiza tu consultorio sin esfuerzo con Psícobox” y firmados por “Institutoraimongaja.com”. En el cuerpo de los correos se incluyó el siguiente contenido: “¡Hola! Sabemos que quieres conocer más de Psicobox: para Psicólogos, pues bien, hoy, queremos profundizar contigo cómo este recurso gratuito puede transformar tu día a día. ¡Descárgala GRATIS ahora! ...” En el pie de cada uno de estos correos electrónicos se incluyó la leyenda: “Si desea cancelar su suscripción, por favor, haga <<clic aquí>>”. Tercero: Se constata que, con fecha 21/04/24, la reclamante respondió a la dirección de correo electrónico ***EMAIL.1, manifestando expresamente su oposición a recibir más correos electrónicos publicitarios y solicitando la eliminación de los mismos de la base de datos. El contenido del mensaje es el siguiente: “Sigo guardando los correos que envían -a pesar de mi negativa a que usen mis datos personales, no he dado mi consentimiento- para poner la denuncia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 Ya he solicitado expresamente que eliminen mis datos de su base de datos en numerosas ocasiones... eliminen mis datos o notifico dicho incumplimiento.” Cuarto: Se constata que, con fecha 06/05/24, desde la dirección de correo electrónico ***EMAIL.3, se envió un nuevo correo electrónico a la dirección de la reclamante, ***EMAIL.2, con el asunto “¡Inscríbete! IMC: Importancia del ejercicio para tu bienestar emocional” y firmado por “institutoraimongaja.com”. En el cuerpo del correo se incluyó el siguiente contenido: “IRG Instituto Raimon Gaja: Actividad Física y el impacto en tus emociones. B.B.B.. LICENCIADO EN CULTURA FÍSICA Y DEPORTE CON MAESTRÍA EN ALTA DIRECCIÓN. Inscríbete en nuestra International Masterclass: Actividad física y el impacto en tus emociones. Aprende cómo el bienestar emocional necesita de un estilo de vida saludable …” Este correo también contenía, en su pie, la leyenda: “Si desea cancelar su suscripción, por favor, haga <<clic aquí>>”. FUNDAMENTOS DE DERECHO I Competencia. De acuerdo con lo establecido en el artículo 43.1 de la LSSI y lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." La Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Contestación a las alegaciones presentadas: Antes de proceder a examinar las alegaciones presentadas por la reclamada a la incoación del expediente, recordemos que la reclamación se basa esencialmente en que la reclamante había recibido comunicaciones comerciales de la reclamada vía correo electrónico sin consentimiento expreso a partir de una filtración inconsentida de sus datos y que tras solicitar en su día que eliminaran sus datos personales de sus sistemas, recientemente esta empresa ha vuelto a enviarle publicidad vía correo electrónico (hasta tres veces en un mismo día), el día 20/04/24. Tras solicitar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 nuevamente que no volvieran a enviarla comunicaciones comerciales y la eliminación de sus datos el 21/04/24, ha vuelto a recibir publicidad de esta empresa el 06/05/24. Junto con el escrito de reclamación, la parte reclamante ha aportado documentación que fundamenta su reclamación y que acredita la persistencia en el envío de la comunicación comercial no consentida y la omisión a la solicitud de que no volvieran a enviarla más comunicaciones comerciales y la baja de sus sistemas. Primero: En el apartado “II. Inexistencia de infracción” del escrito de alegaciones, la reclamada afirma que no podía haber recibido una solicitud de eliminación de datos personales del reclamante en el año 2022 por su inexistencia jurídica en aquel momento, Pues bien, de la literalidad del escrito presentado por la reclamante, no se desprende en momento alguno que ésta haya alegado haber recibido comunicaciones comerciales específicamente de Instituto Raimon Gaja, S.L. en el año 2022. La reclamante únicamente menciona que tras una supuesta filtración de sus datos personales en septiembre de 2022, comenzó a recibir publicidad de numerosos sitios, sin concretar en este punto que tales comunicaciones provinieran de la mercantil reclamada, ni que la solicitud de eliminación de datos en ese año fuera dirigida a dicha entidad. La reclamante precisa que volvió a recibir comunicaciones comerciales y ejerció nuevamente su derecho de supresión en marzo de 2024, indicando además que fue en este contexto cuando recibió una respuesta de la entidad que consistió en el envío reiterado de correos electrónicos con contenido publicitario el 20/04/24. Estos hechos sí son atribuibles temporalmente a la entidad reclamada, en tanto ya constituida, como se desprende de su propia documentación el 04/10/23. El hecho de que la reclamante mencione un contexto previo en 2022 no vincula directamente a la entidad reclamada con los hechos ocurridos en dicho año. La mención de comunicaciones comerciales anteriores simplemente establece el marco narrativo de la reclamación, pero en ningún caso configura imputación alguna de actividad ilícita atribuible a Instituto Raimon Gaja, S.L. en dicho periodo, ni se solicita responsabilidad alguna sobre hechos ocurridos antes de su constitución. La parte reclamada no niega expresamente la realización de las comunicaciones comerciales alegadas por la reclamante en 2024, limitándose a argumentar la imposibilidad de haber recibido solicitudes de supresión en 2022. Dicha estrategia de defensa no afecta a la existencia ni a la legitimidad de la reclamación, que se sustenta en hechos posteriores a la constitución de la mercantil y a los que sí le resulta exigible el cumplimiento de la normativa. A la vista de lo expuesto, se concluye que las alegaciones de la parte reclamada carecen de sustento, ya que no tienen incidencia en los hechos que motivan la reclamación. La reclamante no atribuye comunicaciones comerciales en 2022 a la entidad reclamada, limitándose a contextualizar su reclamación. Por tanto, los hechos objeto de análisis deben centrarse en los acontecimientos de 2024, periodo en el cual la mercantil ya se encontraba constituida y sujeta al cumplimiento de la normativa por lo que, la afirmación de la reclamada relativa a su inexistencia jurídica en año 2022 no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 desvirtúa las pruebas aportadas por la reclamante que acreditan el envío de comunicaciones comerciales no consentidas en mayo de 2024, después de haber solicitado que no volvieran a enviarla más comunicaciones comerciales y que eliminases sus datos personales de los sistemas de la reclamada. Segundo: En el punto “III.- Solicitud de información sobre nuestros programas formativos”, la reclamada manifiesta que “La solicitud de información fue captada y registrada en el sistema de una organización a través de un embudo de ventas o marketing y que esto demuestra que mostró interés y solicitó información al respecto”. Pues bien, debemos indicar que, sobre la autorización o el consentimiento que el usuario presta al responsable del tratamiento de sus datos para el envío de comunicaciones comerciales, la Directriz 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), establece, en los puntos 105 a 108, lo siguiente: 105. El considerando 42 establece que: «Cuando el tratamiento se lleva a cabo con el consentimiento del adoptadas 22 interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento». 106. Los responsables del tratamiento tienen libertad para desarrollar métodos que permitan cumplir esta disposición adaptados a sus operaciones diarias. Al mismo tiempo, la obligación de demostrar que un responsable del tratamiento ha obtenido un consentimiento válido, no debe en sí misma provocar un tratamiento adicional de datos excesivo. Esto significa que los responsables deberían tener datos suficientes para mostrar un enlace al tratamiento (para mostrar que se obtuvo el consentimiento), pero no deberían recopilar más información de la necesaria. 107. Corresponde al responsable demostrar que obtuvo el consentimiento válido del interesado. El RGPD no prescribe cómo debe hacerse esto exactamente. No obstante, el responsable debe poder demostrar que, en un caso concreto, un interesado ha dado su consentimiento. La obligación de demostrar el consentimiento existirá mientras dure la actividad de tratamiento de los datos en cuestión. Una vez finalizada dicha actividad, la prueba del consentimiento no deberá conservarse más allá de lo estrictamente necesario para cumplir una obligación legal o para la formulación, el ejercicio o la defensa de reclamaciones, de conformidad con el artículo 17, apartado 3, letras

  1. b)y e). 108. Por ejemplo, el responsable debe mantener un registro de las declaraciones de consentimiento recibidas, de manera que pueda demostrar cómo se obtuvo el consentimiento y cuándo se obtuvo dicho consentimiento, y también deberá demostrarse la información que se facilitó al interesado en su momento. El responsable también deberá poder demostrar que se informó al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 interesado y que el flujo de trabajo del responsable cumplió todos los criterios pertinentes para un consentimiento válido. La lógica subyacente de lo anterior es que el responsable de las comunicaciones comerciales debe rendir cuentas con respecto a la obtención de la autorización del interesado para el envío de comunicaciones comerciales y con respecto a los mecanismos utilizados para conseguirlo. Por ejemplo, en un contexto en línea, como es el caso, el responsable debería conservar información sobre la sesión en la que el usuario autoriza el envío de comunicaciones comerciales, junto con la documentación sobre el flujo de trabajo realizado cuando dicha sesión tuvo lugar, y una copia de la información que se presentó en ese momento al interesado para su aceptación. No sería suficiente referirse únicamente a una configuración o página-formulario del sitio web. La norma no establece un mecanismo en concreto sobre cómo el responsable debe ser capaz de probar que el usuario ha solicitado o expresamente autorizado las comunicaciones comerciales, teniendo libertad para implementar la forma y registro que más se adapte a los procesos de la organización, pero al menos, debe poder acreditar quién, cuándo y cómo se autorizó las comunicaciones comerciales, así como la información que se le suministró al usuario en el momento de obtenerlo. Esa obligación subsiste en tanto que se siga realizando el tratamiento de los datos personales bajo las condiciones iniciales en que los datos fueron recabados y debe ser verificable en caso de auditoría o inspección. Por tanto, para valorar si las comunicaciones comerciales fueron realizadas habiendo sido previamente solicitadas o expresamente autorizadas, el responsable de las comunicaciones debe mantener un registro (log) de las actuaciones llevadas a cabo para poder probarlo. En el presente caso, la reclamada presenta copia del certificado de constitución de la mercantil Instituto Raimon Gaja, S.L., un registro interno del perfil de la reclamante y la captura de un correo electrónico incluyendo el enlace para darse de baja. Pues bien, más allá de indicar que la reclamante se “…registrado en el sistema de una organización a través de un embudo de ventas o marketing…” y que “…esto implica que la persona mostró interés por un producto o servicio específico (en este caso, el Máster en Psicología Clínica y de la Salud) y solicitó información al respecto…”, de la documentación que aporta no se desprende en ningún caso que la reclamante otorgase el consentimiento expreso para recibir comunicaciones comerciales, pues no se aporta ningún modelo de formulario, ni la manera de cómo se obtuvo dicho consentimiento, ni fecha y hora de obtención. Tampoco consta ninguna petición de información de datos en un hipotético formulario, ya que la reclamada parece más bien alegar que se solicitó información, no tanto que se obtuvo el hipotético consentimiento para recibir publicidad. Esto es, no se aporta el log del presunto registro con el consentimiento. Tampoco acredita haberse establecido un mecanismo en la web que garantice que no se introducen direcciones de correo electrónico inexactas, que pudieran haberse introducido por error o por dolo. Tercero: En el punto “IV. Sobre el envío de publicidad y solicitud de baja” de su escrito de alegaciones, la reclamada manifiesta que, en ningún momento la reclamante utilizó los mecanismos establecidos para darse de baja de las comunicaciones publicitarias, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 como el enlace proporcionado en cada correo electrónico o una solicitud formal conforme al artículo 21 del RGPD, según consta en el sistema de la entidad, sin embargo, de los hechos acreditados se desprende que, la reclamante, con fecha 21/04/24, envió un correo electrónico a la misma dirección desde la cual se remitían las comunicaciones publicitarias, manifestando su clara voluntad de no recibir más mensajes promocionales. En este sentido, el artículo 21.2 de la LSSI dispone que el procedimiento para ejercer el derecho de oposición debe ser sencillo y gratuito, y no limita el ejercicio de este derecho a un único mecanismo, como podría ser, el enlace de baja incluido en los correos. En este caso, el correo electrónico enviado por la reclamante constituye un ejercicio válido de su derecho de oposición a recibir comunicaciones electrónicas comerciales: “… el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho…” Por tanto, no cabe duda de que la reclamante cumplió con los requisitos establecidos en la LSSI para manifestar su oposición al envío de comunicaciones publicitarias con el envío de su solicitud a la dirección de correo electrónico desde donde la estaban enviado a ella las comunicaciones comerciales el día 21/04/24 y pese a ello, la entidad reclamada persistió en el envío de comunicaciones publicitarias enviando un nuevo correo electrónico publicitario el día 06/05/24, lo que supone una clara infracción del precepto establecido en el artículo 21 de la LSSI. No obstante, pese a ello, el núcleo de la cuestión en este caso no radica tanto en el hecho de que después de solicitar que no la enviasen más correos electrónicos publicitarios, la reclamada hiciera caso omiso a su solicitud si no que la entidad reclamada no ha acreditado, en ningún momento, que la reclamante manifestase un consentimiento previo y expreso a recibir dichas comunicaciones comerciales, según se establece en la Directriz 5/2020, antes vista. Cuarto: En relación con las alegaciones presentadas por la entidad reclamada en el punto “VI. Falta de prueba suficiente”, en las que invoca el principio de presunción de inocencia recogido en el artículo 24 de la Constitución Española y el artículo 23.2 de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), cabe señalar que, aunque el principio de presunción de inocencia, reconocido en el artículo 24.2 CE y extendido al ámbito del procedimiento administrativo sancionador, exige que toda sanción se fundamente en pruebas de cargo suficientes y legítimamente obtenidas, no exime al responsable del tratamiento de cumplir con las obligaciones establecidas en la Directriz 5/2020, expuestas anteriormente, ya que, según se establece en ella, corresponde al responsable, en este caso, del envío de comunicaciones comerciales, la carga de demostrar que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 cumplió con los requisitos para obtener el consentimiento válido del interesado, para el envío de dichas comunicaciones comerciales, y que se adoptaron los mecanismos necesarios para garantizar que dicho consentimiento fue otorgado verdaderamente por el interesado y no por un tercero. Por lo tanto, en este caso, el principio de presunción de inocencia no puede invocarse para eximir al responsable de esta obligación. Recordemos que, según establece el punto 105 de la Directriz 5/2020, se requiere que el responsable del tratamiento mantenga registros verificables que acrediten, quién otorgó el consentimiento, cómo y cuándo fue otorgado y la ausencia de tales registros supone un incumplimiento claro de las obligaciones impuestas por la normativa, en este caso, la LSSI. La reclamada no ha acreditado la existencia de logs o registros que documenten el momento, la forma y las condiciones de obtención del consentimiento para el envío de comunicaciones comerciales y los documentos aportados, al no incluir evidencias verificables, carecen de valor probatorio suficiente para acreditar la legitimidad del tratamiento de los datos personales de la reclamante para el envío de comunicaciones comerciales. Quinto: En relación con las alegaciones formuladas por la entidad reclamada en el punto “VII. Principio de Proporcionalidad”, en las que solicita la aplicación del principio de proporcionalidad establecido en el artículo 83.1 del RGPD, procede que este artículo (el artículo 83.1 del RGPD) establece el principio de proporcionalidad en relación con las sanciones impuestas bajo dicho Reglamento. Sin embargo, en el presente procedimiento, la infracción en cuestión se refiere específicamente al artículo 21.1 de la LSSI, que regula el envío de comunicaciones comerciales electrónicas sin el consentimiento del destinatario o ignorando su oposición expresa. Por tanto, no resulta aplicable en nuestro caso, el art. 83.1 del RGPD para la graduación de la sanción, ya que este caso se encuentra íntegramente regulado por la normativa sectorial de la LSSI. La cuantía de la sanción ha sido graduada atendiendo a los criterios específicos establecidos en el artículo 40 de la LSSI, que son los que rigen para este tipo de infracciones. Dicho artículo dispone que las sanciones se graduarán teniendo en cuenta, entre otros, la existencia de intencionalidad (apartado a), y esta intencionalidad ha quedado acreditada en el presente caso, ya que la entidad reclamada continuó enviando comunicaciones comerciales a pesar de haber recibido un correo electrónico de la reclamante el 21/04/24, solicitando expresamente no recibir más mensajes publicitarios. Este comportamiento demuestra un incumplimiento consciente de las obligaciones legales previstas en el artículo 21.1 de la LSSI, lo que constituye un factor agravante en la graduación de la sanción y la cuantía de 2.000 euros propuesta en este caso no solo se ajusta a los criterios de graduación establecidos en el artículo 40 de la LSSI, sino que también resulta a los principios de proporcionalidad, necesidad y adecuación previstos en el ordenamiento jurídico y esto es así pues, la infracción que se ha cometido se encuentra tipificada como leve en el artículo 38.4.
  2. d)de la LSSI, que dispone que este tipo de infracciones podrán sancionarse con una multa de hasta 30.000 euros, situándose la sanción propuesta de 2.000 euros en la franja inferior del tramo sancionador previsto, lo que refleja una graduación adecuada a las circunstancias concurrentes y una clara moderación en su cuantía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 Por tanto, la cuantía propuesta cumple con los principios de proporcionalidad, adecuación y necesidad previstos en el ordenamiento jurídico y debe ser confirmada en la resolución del procedimiento sancionador. III Tipificación de la posible infracción cometida por el envío de comunicaciones comerciales sin que previamente se hubieran solicitado o expresamente autorizado. En base a lo anterior, el hecho de que se envíen comunicaciones comerciales sin que previamente se hubieran solicitados o expresamente autorizadas constituye una vulneración, por parte de la reclamada, de lo establecido en el art. 21 de la LSSI, pues establece lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” IV Propuesta y Graduación de Sanción La citada infracción se encuentra tipificada como “leve” en el art. 38.4.
  3. d)de dicha norma, que califica como tal, “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. A tenor de lo establecido en el artículo 39.1.
  4. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 €. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 Por otra parte, el artículo 40 de la LSSI establece los criterios para la graduación de la cuantía de las sanciones: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  5. a)La existencia de intencionalidad.
  6. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  7. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  8. d)La naturaleza y cuantía de los perjuicios causados.
  9. e)Los beneficios obtenidos por la infracción.
  10. f)Volumen de facturación a que afecte la infracción cometida.
  11. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. Tras las evidencias obtenidas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las siguientes circunstancias, que establece el art. 40 de la LSSI indicado: - La existencia de intencionalidad.- (apartado a), pues la reclamada, pese a recibir el correo electrónico con la petición de no volver a enviar más comunicaciones comerciales, sigue enviando comunicaciones comerciales a la reclamante. Con arreglo a dichos criterios, se estima adecuado imponer una sanción de 2.000 euros (dos mil euros), por la infracción del artículo 21.1 de la LSSI. A la vista de lo expuesto se procede a emitir la siguiente, PROPUESTA DE RESOLUCIÓN PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad, INSTITUTO RAIMON GAJA, S.L. con NIF.: B56488687 por la infracción del artículo 21 de la LSSI, tipificada como leve en el art. 38.4.d). artículo 21 de la LSSI, tipificada como “leve” en el art. 38.4.
  12. d)de la misma norma con una sanción de 2.000 euros (dos mil euros). SEGUNDO: Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de esta. Con la aplicación de esta reducción, la sanción quedaría establecida en 1.600 euros (mil seiscientos euros) y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. D.D.D. EL INSTRUCTOR DEL PROCEDIMIENTO. (…) >> SEGUNDO: En fecha 31 de diciembre de 2024, IRG ha procedido al pago de la sanción en la cuantía de 1.600,00 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 1.600,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte de esta autoridad, IRG, en fecha 31 de diciembre de 2024, procedió a realizar el pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva de la propuesta de resolución transcrita en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 2.000,00 euros. Tras haber procedido INSTITUTO RAIMON GAJA, S.L. al pago voluntario, aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 1.600,00 euros. La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202407813, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a INSTITUTO RAIMON GAJA, S.L.. CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  13. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3
  14. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 968-200325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.