1/17 Procedimiento Nº PS/00438/2015 RESOLUCIÓN: R/00353/2016 En el procedimiento sancionador PS/00438/2015, instruido por la Agencia Española de Protección de Datos a la entidad Dña. B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 06/04/2015 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por Dña. A.A.A. (en adelante la denunciante), en la que manifiesta lo siguiente: 1. Desde noviembre de 2013 recibe en su correo electrónico C.C.C. con una asiduidad casi semanal boletines publicitarios referentes a la web www.cursos............. Ni los correos electrónicos ni su sitio web incluyen algún enlace mediante el que pueda solicitar la baja para dejar de recibir notificaciones de ellos y cuando les ha escrito para solicitar la baja no sólo han continuado realizando los envíos sino que han incrementado la frecuencia. 2. En el apartado de información legal del sitio web1 no se indica CIF ni sede en España. Junto con la denuncia se aporta copia de:
- a)Correos electrónicos intercambiados el 11 de noviembre de 2013 en relación con la solicitud de baja de la denunciante.
- b)Correos electrónicos recibidos el 2 y 12 de enero y el 18 y 24 de marzo de 2015. Como respuesta a la solicitud de subsanación remitida por esta Agencia, con fecha de 2 de junio de 2015 tiene entrada en esta Agencia un escrito del denunciante en el que aporta las cabeceras completas de los correos electrónicos aportados en su anterior escrito y de otros correos recibidos con posterioridad. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a las entidades HAPPY SOCIAL MEDIA LTD, SOMOS LA WEB S.L., y Dña. B.B.B. teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones previas de inspección E/02880/2015 que se transcribe: “HECHOS CONSTATADOS Respecto del envío de los correos electrónicos 1. El 11 de noviembre de 2013 la denunciante solicita la baja de su cuenta de la lista de destinatarios mediante un correo electrónico dirigido a hola@cursos............. Ese mismo día, en respuesta al correo anterior se recibe un correo con origen en la cuenta curso....gratis@gmail.com en el que se indica que para darse de baja siga las instrucciones 1 www.cursos............/quienes-somos/informacion-legal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 de Política de Privacidad cuyo enlace está al pie de la página web. Este correo es contestado el mismo día por la denunciante reiterando que, tal y como la normativa establece, para revocar el consentimiento prestado para el envío de notificaciones comerciales, la simple notificación de la voluntad es suficiente. 2. La denunciante recibió en su cuenta de correo C.C.C. al menos 9 correos electrónicos con origen en la cuenta boletin@cursos............ y la dirección IP ***IP.1 en las fechas que se listan a continuación. 2/1/2015 18/3/2015 12/5/2015 5/1/2015 24/3/2015 19/5/2015 12/1/2015 5/5/2015 26/5/2015 Los correos electrónicos contenían información publicitaria referente a cursos de formación de “Community manager” y sobre “social media”. Los enlaces de los contenidos de los correos llevan a páginas del dominio cursos............. Los correos electrónicos no disponen de información sobre cómo solicitar la baja de la lista de destinatarios. Respecto de la identidad del responsable 3. La dirección IP ***IP.1, origen de los correos electrónicos recibidos por la denunciante, coincide con la del servidor de correo electrónico asociado al dominio cursos............ La dirección IP ***IP.1 es una de las direcciones que el prestador de servicios de Internet iWeb Technologies Inc, con sede en los Estados Unidos, utiliza para prestar servicios a sus clientes. El servidor identificado con la dirección IP ***IP.1 aloja el sitio web www.cursos............ y además otros sitios web como los vinculados a los dominios: aeprosome.es r.es agenciadesocialmedia.es mariarosadiez.es cursosdecommunitymanage para-adelgazar.es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 4. Consultado el servicio de nombres de dominio el 28 de abril de 2015, se constata que el dominio al que pertenece la cuenta origen, cursos............, está registrado desde el 18 de noviembre de 2012 a nombre de HAPPY SOCIAL MEDIA LTD, en adelante HSML. El 28 de abril de 2015 se accede al sitio web www.cursos............ donde en una de sus páginas2 también se identifica a HSML como la entidad propietaria del sitio. A pesar de que no se han podido localizar páginas web en el dominio en otra lengua que no sea la española, el sitio proporciona como domicilio postal de la entidad (C/........1), en el Reino Unido. Junto a la información de contacto figura la imagen de un certificado del Registro Mercantil del Reino Unido, que informa de que HSML, con número de compañía ****, consta inscrita en dicho registro. 5. Consultado el Registro Mercantil del Reino Unido el 15 de junio de 2015, se constata que HSML, con número de compañía ****, fue inscrita el 25 de marzo de 2013 y disuelta el 4 de noviembre de 2014. D.D.D. figura en el registro como Directora y accionista única de HSML desde la fecha de su inscripción. El motivo de la disolución de la sociedad fue que el Registro Mercantil del Reino Unido consideró que HSML no tenía actividad comercial y la entidad, tras serle requerida, no aportó pruebas de ello. 6. Los dominios aeprosome.es, agenciadesocialmedia.es, cursosdecommunitymanager.es y para-adelgazar.es están registrados a nombre de SOMOS LA WEB SL, mientras que el dominio mariarosadiez.es está registrado a nombre de GRAFICAL NETWORKS SL. B.B.B. es la administradora única de SOMOS LA WEB SL. 7. El 24 de junio de 2015 el Subinspector actuante dirigió un correo electrónico al agente a través del cual se registró el dominio cursos............ y otro al prestador de servicios de alojamiento en cuyos servidores se encuentra el origen de los correos electrónicos denunciados. En ambos casos se informaba a los prestadores del servicio de que, en calidad de autoridad pública, se necesitaba identificar al responsable del dominio cursos............ pero que la sociedad que constaba como titular del mismo estaba disuelta desde noviembre de 2014 por lo que, dado que el dominio era accesible (registrador) y la página web continuaba activa (alojamiento) se solicitaba su colaboración para identificar y contactar con la entidad fuese su cliente desde la disolución de HSML. En ambos casos se recibió respuesta en el sentido de que habían notificado los hechos a su cliente, pero ninguno de los dos prestadores identificó a éste. 8. A partir de ese momento no se vuelve a recibir ningún correo por parte de HSML. En lugar de ello, B.B.B. se pone en contacto telefónico con el Subinspector actuante y manifiesta que: HSML no fue disuelta, sino que ella la vendió a “unos americanos” pero ella continúa siendo la tutora de los cursos. 2 www.cursos............/quienes-somos/informacion-legal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 La sociedad tiene ahora su sede en San Francisco. Recuerda haber respondido ella misma la solicitud de baja de la denunciante. Tras remitir el Subinspector actuante al correo electrónico ..........@gmail.com una solicitud de información dirigida a HSML en la que se solicita información sobre la compraventa y sobre la identidad y ubicación, con indicación de que no consta ninguna sociedad inscrita en el Registro Mercantil de California con dicho nombre, se recibe una nueva llamada de B.B.B. en la que manifiesta que: Ella nunca fue la dueña de la sociedad, únicamente la directora. “Los americanos” dudan de la potestad con la que se les requiere la información y ella misma cree que la Agencia Española de Protección de Datos no es competente en Estados Unidos. 9. Dado que en el Registro Mercantil del Reino Unido B.B.B. figura como única accionista de HSML, se remite solicitud de información a ésta y en respuesta se recibe un escrito fechado el 8 de julio de 2015 en el que manifiesta que: HSML fue creada en 2013. “Nunca he sido la accionista mayoritaria, teniendo sólo un 5% de sus acciones.” Ha sido Directora, pero nunca accionista mayoritaria y mantiene actualmente el puesto de tutora de los cursos. El dominio está nombre de HSML, que continúa existiendo, con otro director y en otra dirección, (C/........2) Reino Unido. A pesar de que el nombre de la sociedad no ha cambiado, el número de compañía en el Registro Mercantil proporcionado en este caso es el *****. 10. Consultados de nuevo la página web www.cursos............, el servicio de nombres de dominios y el Registro Mercantil del Reino Unido el 16 de julio de 2015 se observa que: Además de los datos citados en el punto 5 para la denominación social HAPPY SOCIAL MEDIA LTD, en el Registro Mercantil del Reino Unido consta una nueva inscripción con número *****. La inscripción de la nueva sociedad se realizó el 26 de junio de 2015, justo después de que B.B.B. fuera informada de que esta Agencia conocía la disolución de la anterior sociedad de idéntico nombre. En este caso el Director y único accionista que consta en el registro no es B.B.B. sino un ciudadano canadiense. La página web del dominio que informa sobre el responsable del servicio ha sido actualizada y ahora constan los datos de la nueva sociedad citada en el punto precedente. Los datos de contacto del titular del dominio en el servicio de nombres de domino también han sido actualizados constando ahora una nueva dirección postal y electrónica. 11. A pesar de que las sociedades que figuraban como responsables en las comprobaciones descritas en los untos 4 y 10 fueron inscritas y tienen su sede en el Reino Unido, no se ha localizado ninguna página del sitio web en lengua inglesa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 Todo el contenido hallado se encuentra en lengua española. Cuando se ha accedido a algunas de las páginas que permiten contratar los cursos impartidos desde www.cursos............ se observa que la sociedad a la que se facturan los servicios es SOMOS LA WEB SL, cuya administradora única es B.B.B.. 12. Las dos sociedades constan registradas a través un agente denominado COMPANIES MADE SIMPLE LTD, una división de MADE SIMPLE GROUP LIMITED. La sede del agente es (C/........1) Londres, la misma que tenía HSML. El sitio web www.companiesmadesimple.com del que es responsable MADE SIMPLE GROUP LIMITED proporciona, entre otros, servicios de creación, registro, domiciliación y gestión de correo de empresas para sociedades que no teniendo oficina física en Londres, desean poder proporcionar un domicilio postal o un teléfono allí. Al menos hasta el 24 de septiembre de 2014 de la dirección del prestador del servicio, así como la que podían utilizar sus clientes era (C/........1) Londres, la de la primera HSML. La dirección actual del prestador del servicio es (C/........2) Londres, la de la segunda HSML. De hecho, y a pesar de estar inscritas y tener domicilio social en el Reino Unido, los servicios de la página web están claramente orientados a España y son facturados por SOMOS LA WEB SL, una sociedad de la que B.B.B. es administradora única.” TERCERO: Con fecha 25 de agosto de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a Dña. B.B.B. por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 38.4.
- d)de dicha norma, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1.
- c)de la LSSI. CUARTO: Notificado el citado Acuerdo de inicio, Dña. B.B.B. formuló las siguientes alegaciones: 1ª.Dña. B.B.B. no es responsable de la infracción imputada, responsabilidad que recaería sola y exclusivamente en la entidad HAPPY SOCIAL MEDIA, LTD como prestador de servicios de la sociedad de la información (art. 37 LSSI), propietaria y gestora del dominio cursos............, origen de los correos electrónicos comerciales objeto de denuncia. No se produce en ningún caso la translación y/o desviación de responsabilidad a Dña. B.B.B. en virtud de un análisis de la IP (***IP.1) del supuesto dominio titularidad de HAPPY SOCIAL MEDIA, LTD (cursosdecommunitymanagersgratis.com) y la coexistencia bajo la misma IP del servidor que alberga a otros dominios (aeprosome.es, agenciadesocialmedia.es, cursosdecommunitymanagersgratis.es, mariarosadiez.es, y para-adelgaza.es). Actualmente los prestadores de servicios de alojamientos web utilizan la compartición de la misma IP para múltiples nombre de dominios a través de la implantación de los denominados virtual hosting, lo que conlleva poder albergar bajo una misma dirección IP múltiples nombres de dominio con titularidades y/o registros muy diferentes, tanto en contenidos como en el gestor de aquellos. En este sentido el Tribual Supremo, en su sentencia número 987/2012 de 3 de diciembre de 2012 y como exención de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 responsabilidad declaró que una IP de conexión no vincula ésta al propietario de la línea como responsable de un acto. En base a ello la compartición de una IP de servidor de alojamiento de múltiples dominios no debe ser base racional y objetiva para aseverar la responsabilidad de los registros asociados a ese dominio, teniendo en cuenta la compartición de tres titulares diferentes: HAPPY SOCIAL MEDIA, LTD, GRAFICAL NETWORKS, S.L y SOMOS LA WEB, S.L. La traslación de responsabilidad a Dña. B.B.B. en base únicamente a hechos indiciarios como son: la facturación de los cursos a favor de SOMOS LA WEB, S.L.; la presencia der término “fundadora”; y en cuanto a la oficina virtual, el servicio prestado por parte y/o a través de la web www.companiesmadesimple.com, por cuanto se trata de una libre prestación de servicios, sin que por ello sea base, en virtud de opiniones o calificaciones jurídicas, establecer causa-efecto respecto a la responsabilidad por la prestación de servicios, dado que cualquier entidad puede o se encuentra en su pleno derecho de entablar las relaciones mercantiles que estime oportunas. Dña. B.B.B. solamente es tutora o “fundadora” de la impartición y/o configuración de los cursos que imparte, en ningún caso responsable de la página web y dominio a través del cual se ofertan los cursos, indistintamente, que aquella de encuentre en idioma castellano o en cualquier otro, por lo que acordar y/o relacionar la responsabilidad en base a la impartición y, consecuentemente la facturación acorde a aquella a través de una plataforma de pago – PAYPAL – anexa a aquella, carece de fundamentación fáctico-jurídica. En el presente caso el titular y gestor del dominio cursos............ es el responsable de la plataforma albergada y de la actividad que, dentro de la misma se efectúa, impartiendo Dña. B.B.B., sólo y exclusivamente, la formación, la cual es publicitada bajo los parámetros que interesa o mejor considera HAPPY SOCIAL MEDIA, LTD. En cuanto a la constitución de sociedades, existen múltiples formas y variedades, incluso lo que se conoce y refleja en actuaciones previas, la denominada oficina virtual que actúa, en múltiples ocasiones, como domicilio fiscal, siendo habitual que múltiples empresas compartan aquel, sin que por ello sea relevante para determinar la responsabilidad de Dña. B.B.B., dado que la misma no figura en aquella desde el 25/10/2014, con fecha de publicación a efectos publicitarios en el registro mercantil del Reino Unido el 04/11/2014. Establecer una vinculación y/o relación causa –efecto entre la sociedad HAPPY SOCIAL MEDIA, LTD y Dña. B.B.B. a partir de los documentos obrantes en el expediente y que establezcan su presunta responsabilidad en los hechos denunciados carece de fundamento dado que: - - Ha quedado acreditada la titularidad del dominio a favor de HAPPY SOCIAL MEDIA, LTD, tanto por el Registro Mercantil del Reino Unido, como por los propios prestadores de servicios que alberga el dominio. Que los dominios compartidos bajo una misma IP de servidor son práctica habitual de los prestadores de servicios de alojamiento, no pudiéndose relacionar la responsabilidad de dicha IP de servidor en relación a los múltiples registrantes de los dominios que bajo esa misma dirección son albergados. Que las entidades disueltas o creadas pueden convivir perfectamente dentro de la norma mercantil de aplicación bajo el mismo domicilio fiscal bajo los mismos estatutos. Que la prestación de servicio por parte de terceros ajenos a una plataforma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 - gestionada, y titularidad, albergada bajo un dominio titularidad de una entidad diferentes a aquellos, es libre, y no por ello se determina la responsabilidad en base a una prestación de servicios amparada en las normas que regulan dicha libertad empresarial. La falta de comunicación o averiguación o instrucción por parte del subinspector para concretar de manera objetiva y razonada la única responsabilidad que pudiere imputarse a la entidad HAPPY SOCIAL MEDIA LTD, siendo ésta la presunta, , en su caso, única responsable de los correos electrónicos que sirven de base a la denuncia, dado que no hay constancia de ningún tipo de comunicación al respecto, ni tan siquiera cuando los administradores de dicha entidad y del dominio, tras puesta en comunicación con el prestador de servicios, se puso en contacto con dicho subinspector. 2ª.Presunción de inocencia. El Tribunal Supremo en sentencia de fecha 03/12/2012 declaró que una IP de conexión no vincula ésta al propietario de la línea como responsable de un acto, como así se pretende inferir en las actuaciones de inspección llevadas a cabo en el expediente por cuanto: - - No existe prueba incriminatoria clara e indubitada respecto a los hechos que, supuestamente adquieren la condición de prueba, permita enervar la presunción de inocencia de Dña. B.B.B.. El estudio y análisis de las actuaciones llevadas a cabo en la fase de instrucción traen como resultado que la prueba no lleva aparejada en su realización, un mínimo de criterios lógicos, coherentes y discrecionales, y en consecuencia, es arbitraria. Especialmente, la prueba – hechos contemplados en el acuerdo de inicio del procedimiento sancionador – es claramente indiciaria. 3ª.Prescripción de la infracción, y en todo caso de los correos electrónicos hasta fecha 31/02/2015, dado que la notificación del acuerdo de inicio se produjo en fecha 31/08/2015. No se aporta prueba documental respecto a la supuesta baja en relación a la cuenta boletín@cursos............. 4ª.La denunciante afirma haberse dado de alta en la web curos............ y haber solicitado información, así como haber remitido dicha solicitud de información desde la cuenta de correo en la cual recibió mensaje publicitario. En base a ello y a los correos electrónicos aportados por la denunciante se destaca lo siguiente: - Aporta dos direcciones de correo electrónico emisores, ambos distintos: curso....gratis@gmail.com y boletín@cursos............. - Respecto a la dirección de correo electrónico emisor curso....gratis@gmail.com consta la fecha de envío y solicitud de baja – 11/11/2013 – alegándose la prescripción de la presunta infracción, al margen de no haberse aportado en el expediente prueba de la remisión de mails comerciales a través de dicha cuenta. - El correo electrónico que aporta como base de la denuncia la propia denunciante es el recepcionado desde la cuenta boletín@cursos............ con fecha 02/01/2015, más de dos meses posteriores a la disolución de HAPPY SOCIAL C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 MEDIA, LTD y de la publicidad efectuada por el registro mercantil del Reino Unido, y por ende, de la asunción de la presunta responsabilidad de Dña. B.B.B.. - La relación entre la denunciante y la actual titular del dominio cursosdecommunitymangergratis.com no tiene relación alguna con Dña. B.B.B., sino con la actual titular de dicho dominio HAPPY SOCIAL MEDIA, LTD y su representante de nacionalidad canadiense E.E.E.. - Los correos electrónicos remitidos desde la cuenta boletín@cursos............ se encuentran prescritos hasta fecha 28/02/2015. - No existe en el expediente prueba de cargo alguna respecto a la relación que ha podido entablar la denunciante – cliente, alumna, solicitud de información, etc. – en relación con la recepción y envío a través de la cuenta de correo electrónico boletín@cursos............, no habiendo aportado, ni tampoco consta en el expediente solicitud de baja a la cuenta de origen de los correos que se denuncian. QUINTO: En fecha 27/01/2016 se emitió propuesta de resolución en el sentido de archivar el procedimiento sancionador, propuesta que fue notificada a la imputada en fecha 29/02/2015. HECHOS PROBADOS PRIMERO: En fecha 11/11/2013 la denunciante solicita la baja de su cuenta ( C.C.C.) de la lista de destinatarios de comunicaciones comerciales de la web www.cursos............ (en la cual con anterioridad se había dado de alta,), mediante un correo dirigido a hola@cursos............. Ese mismo día, en respuesta al correo anterior se recibe un correo con origen en la cuenta curso....gratis@gmail.com en el que se indica que para darse de baja siga las instrucciones de Política de Privacidad cuyo enlace está al pie de la página web. Este correo es contestado el mismo día por la denunciante reiterando que, tal y como la normativa establece, para revocar el consentimiento prestado para el envío de notificaciones comerciales, la simple notificación de la voluntad es suficiente. SEGUNDO: En fechas 02/01/2015, 05/01/2015, 12/01/2015, 18/03/2015, 24/03/2015, 05/05/2015, 12/05/2015, 19/05/2015 y 26/05/2015, la denunciante recibió en su cuenta de correo C.C.C. un total de 9 correos electrónicos con origen en la cuenta boletin@cursos............ y la dirección IP ***IP.1. Los correos electrónicos contenían información publicitaria referente a cursos de formación, los enlaces de los contenidos de los correos llevaban a páginas del dominio cursos............, y los correos electrónicos no disponían de información sobre cómo solicitar la baja de la lista de destinatarios. TERCERO: La dirección IP ***IP.1, origen de los 9 correos electrónicos recibidos por la denunciante, coincide con la del servidor de correo electrónico asociado al dominio cursos............. La dirección IP ***IP.1 es una de las direcciones que el prestador de servicios de Internet iWeb Technologies Inc, con sede en los Estados Unidos, utiliza para prestar servicios a sus clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 El servidor identificado con la dirección IP ***IP.1 aloja el sitio web www.cursos............ y además otros sitios web como los vinculados a los siguientes dominios: - aeprosome.es - agenciadesocialmedia.es - cursosdecommunitymanager.es - mariarosadiez.es - para-adelgazar.es CUARTO: El dominio cursos............, origen de los correos comerciales objeto de denuncia, está registrado desde fecha 18/11/2012 a nombre de HAPPY SOCIAL MEDIA LTD. En fecha 28/04/2015, en la web www.cursos............ se identifica a HAPPY SOCIAL MEDIA LTD como compañía propietaria del sitio, inscrita en el Registro Mercantil del Reino Unido con número de compañía ****, figurando como domicilio postal de la entidad (C/........1), Reino Unido. En fecha 16/07/2015 la citada web se verifica un cambio de número de compañía (compañía *****), y de domicilio a (C/........2) Londres, Reino Unido. QUINTO: En el Registro Mercantil del Reino Unido figuran los siguientes datos referidos a HAPPY SOCIAL MEDIA LTD: - número de compañía ****, inscrita en fecha 25/03/2013 y disuelta en fecha 04/11/2014, director B.B.B., y domicilio postal en (C/........1), en el Reino Unido - número de compañía *****, inscrita en fecha 25/06/2015, director domicilio postal en (C/........2) Londres. E.E.E., y Las dos sociedades constan registradas a través un agente denominado COMPANIES MADE SIMPLE LTD,, una división de MADE SIMPLE GROUP LIMITED, cuya sede es (C/........1) Londres, la misma que tenía HAPPY SOCIAL MEDIA LTD hasta su disolución en fecha 04/11/2014. El sitio web www.companiesmadesimple.com del que es responsable MADE SIMPLE GROUP LIMITED proporciona, entre otros, servicios de creación, registro, domiciliación y gestión de correo de empresas para sociedades que no teniendo oficina física en Londres, desean poder proporcionar un domicilio postal o un teléfono allí. Al menos hasta el 24 de septiembre de 2014 la dirección del prestador del citado servicio, así como la que podían utilizar sus clientes era (C/........1) Londres, la misma de HAPPY SOCIAL MEDIA LTD (compañía nº ****) hasta su disolución en fecha 04/11/2014. La dirección actual del prestador del servicio es (C/........2) Londres, la misma que de HAPPY SOCIAL MEDIA (compañía nº *****) tras ser inscrita en fecha 25/06/2015 , en fecha posterior a la remisión de los correos. SEXTO: Dña. B.B.B. efectuó, en fecha 08/07/2015, las siguientes manifestaciones: “La empresa HAPPY SOCIAL MEDIA LTDA fue creada en 2013. “Nunca he sido la accionista mayoritaria, teniendo sólo un 5% de sus acciones.” Ha sido Directora de dicha empresa, pero nunca accionista mayoritaria Actualmente sólo mantengo el puesto de tutora de los cursos. El dominio está nombre de Happy Socia Media Ltda. La empresa continúa existiendo, con otro director y en otra dirección que le adjunto. HAPPY SOCIAL MEDIA LTD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 (C/........1) Reino Unido. Company No. ***** Email: ..........@gmail.com” SEPTIMO: Los dominios aeprosome.es, agenciadesocialmedia.es, cursosdecommunitymanager.es y para-adelgazar.es están registrados a nombre de SOMOS LA WEB S.L., cuya administradora única es B.B.B.. El dominio mariarosadiez.es está registrado a nombre de GRAFICAL NETWORKS S.L. OCTAVO: El servicio (curso de HTML) ofertado en el sitio web www.cursos............ es facturado por la entidad SOMOS LA WEB, S.L. de la cual Dña. B.B.B. es administradora única. NOVENO: Bajo la misma IP (***IP.1) del servidor que alberga al dominio cursos............, titularidad de HAPPY SOCIAL MEDIA LTD, coexisten otros dominios como (aeprosome.es, agenciadesocialmedia.es, cursosdecommunitymanager.es y paraadelgazar.es, titularidad de SOMOS LA WEB S.L., cuya administradora única es Dña. B.B.B.. FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
- d)e
- i)y 38.4 d),
- g)y
- h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II Con carácter previo al examen de la cuestión de fondo, procede examinar la excepción alegada por Dña. B.B.B. referida a la falta de legimitación pasiva, esto es, responsabilidad en los hechos imputados. A este respecto ha de tenerse en cuenta lo dispuesto en el artículo 130.1 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) que establece lo siguiente: “Sólo podrán ser sancionadas por hechos constitutuvos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia.” Y lo dispuesto en el artículo 37 de la LSSI que establece que “Los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este título cuando la presente Ley les sea de aplicación.” El anexo de la LSSI contiene por su parte las siguientes definiciones: “
- a)«Servicios de la sociedad de la información» o «servicios»: todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: …. 4.º El envío de comunicaciones comerciales.
- c)«Prestador de servicios» o «prestador»: persona física o jurídica que proporciona un servicio de la sociedad de la información.” III Debe recordarse que los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI para lo cual conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, modificado por el Real Decreto-Ley 13/2012, de 30 de marzo, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 Añade el artículo 22.1 de la LSSI, también en la redacción dada por el citado Real Decreto-Ley 13/2012, de 30 de marzo, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección . Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. A su vez, el apartado
- d)del anexo de la LSSI define al “Destinatario del servicio” o ”destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información.”. De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. La Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), modificada por la Directiva 2009/136/CE del Parlamento Europeo y del Consejo, de 25 de noviembre, introdujo en el conjunto de la Unión Europea el principio de “opt in”, es decir, la necesidad de contar con el consentimiento previo del destinatario para el envío de comunicaciones electrónicas con fines comerciales. De este modo, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
- h)de la Ley Orgánica 15/1999, de 13 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
- b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. IV Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
- f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
- f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
- a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales. ” (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
- f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. V Con carácter previo al examen de la cuestión de fondo, procede examinar la excepción alegada por Dña. B.B.B. referida a la falta de legitimación pasiva, esto es, responsabilidad en los hechos imputados que pudieran constituir infracción del artículo 21 de la LSSI como se ha explicitado en el fundamento de derecho anterior. A este respecto ha de tenerse en cuenta lo dispuesto en el artículo 130.1 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) que establece lo siguiente: “Sólo podrán ser sancionadas por hechos constitutuvos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia.” Y debe reiterarse lo dispuesto en el artículo 37 de la LSSI que establece que “Los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este título cuando la presente Ley les sea de aplicación.” El anexo de la LSSI contiene por su parte las siguientes definiciones: “
- a)«Servicios de la sociedad de la información» o «servicios»: todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: …. 4.º El envío de comunicaciones comerciales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17
- c)«Prestador de servicios» o «prestador»: persona física o jurídica que proporciona un servicio de la sociedad de la información.” En el presente supuesto, ha quedado acreditado que, en fechas 02/01/2015, 05/01/2015, 12/01/2015, 18/03/2015, 24/03/2015, 05/05/2015, 12/05/2015, 19/05/2015 y 26/05/2015, la denunciante recibió en su cuenta de correo C.C.C. un total de 9 correos electrónicos con origen en la cuenta boletin@cursos............ y la dirección IP ***IP.1. Ha quedado acreditado en el expediente que los 9 correos electrónicos comerciales fueron remitidos, entre el 05/01/2015 y el 26/05/2015, desde la dirección de correo boletin@cursos............ y la dirección IP ***IP.1, la cual coincide con la del servidor de correo electrónico asociado al dominio cursos............, dominio que estaba registrado desde fecha 18/11/2012 a nombre de HAPPY SOCIAL MEDIA LTD. En fecha 28/04/2015, en la web www.cursos............ se identifica a HAPPY SOCIAL MEDIA LTD como compañía propietaria del sitio, inscrita en el Registro Mercantil del Reino Unido con número de compañía ****, figurando como domicilio postal de la entidad (C/........1), Reino Unido. En fecha 16/07/2015 la citada web se verifica un cambio de número de compañía (compañía *****), y de domicilio a (C/........2) Londres, Reino Unido. Por su parte en el Registro Mercantil del Reino Unido figuran los siguientes datos referidos a HAPPY SOCIAL MEDIA LTD: - número de compañía ****, inscrita en fecha 25/03/2013 y disuelta en fecha 04/11/2014, director B.B.B., y domicilio postal en (C/........1), en el Reino Unido número de compañía *****, inscrita en fecha 25/06/2015, director E.E.E., y domicilio postal en (C/........2) Londres. Por lo tanto nos encontraríamos con el hecho que los correos electrónicos comerciales fueron remitidos, entre fecha 05/01/2015 y 26/05/2015, desde una dirección de correo y dirección IP asociados al dominio cursos............ titularidad de HAPPY SOCIAL MEDIA LTD, compañía que según la información contenida en el Registro Mercantil del Reino Unido se encontraba disuelta con anterioridad, esto es el 04/11/2014, y no volvió a ser inscrita (con nuevo nº de compañía) hasta fecha 25/06/2015. En cuanto a la presunta responsabilidad de Dña. B.B.B. en los hechos imputados debe analizarse los hechos probados en el expediente y que se concretan en: - - su condición de director de HAPPY SOCIAL MEDIA LTD con anterioridad a la comisión de los hechos denunciados. La coexistencia bajo misma IP (***IP.1) del servidor que alberga al dominio cursos............, titularidad de HAPPY SOCIAL MEDIA LTD, y a otros dominios como (aeprosome.es, agenciadesocialmedia.es, cursosdecommunitymanager.es y para-adelgazar.es, titularidad de SOMOS LA WEB S.L., cuya administradora única es Dña. B.B.B. La facturación por parte de SOMOS LA WEB, S.L. de un curso publicitado en la web www.cursos............ En este punto debemos tener en cuenta que, al Derecho Administrativo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En definitiva, lo visto anteriormente en aplicación del principio de presunción de inocencia, impiden imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. Los hechos y documentos obrantes en el expediente llevan a concluir que en el presente caso no se ha identificado de manera clara e inequívoca que el responsable de los hechos objeto de presunta infracción fuera Dña. B.B.B. y ello por cuanto los indicios anteriormente señalados en modo alguno infieren que se acredite de modo fehaciente la responsabilidad de la misma en la comisión de los hechos denunciados, responsabilidad que, en caso de las personas jurídicas no puede trasladarse a las personas físicas que, bien ostenten la representación de las mismas (administrador, apoderado…), bien forman parte de la estructura empresarial societaria (presidente, director…). Por lo tanto, en el presente caso los elementos probatorios obrantes en el expediente no enervan el principio de presunción de inocencia informador del régimen jurídico sancionador, por lo que no permiten atribuir a Dña. B.B.B. la responsabilidad en la comisión de los hechos objeto de presunta infracción, motivo por el cual se propone el archivo del presente procedimiento sancionador. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 PRIMERO: ARCHIVAR el procedimiento sancionador PS/00438/2015. SEGUNDO: NOTIFICAR la presente resolución a Dña. B.B.B., y a Dña. A.A.A.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es