1/8 Procedimiento PS/00449/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00449/2020, instruido por la Agencia Española de Protección de Datos a la ante la entidad XFERA MÓVILES, S.A., con CIF.: A82528548, (en adelante, “la entidad reclamada”), por presunta infracción de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 29/09/20 tuvo entrada en esta Agencia el escrito de reclamación presentado por el reclamante en el que indicaba, entre otras, lo siguiente: “Yoigo me realiza ofertas comerciales por email estando dicha dirección de email en la lista Robinson. Les he reclamado por dos veces que dejen de hacerlo y me responden que tengo que enviarles unos datos personales que no quiero enviar pues considero suficiente estar en la Lista Robinson”. Al escrito de denuncia se acompañaba copia del correo electrónico enviado el 16/09/20, desde la dirección no-replay@yoigo.com a la dirección de correo electrónico ***Usuario.1@gmail.com, que contenía un mensaje publicitario de la entidad reclamada. SEGUNDO: Con fecha 20/10/20 se dirigió requerimiento informativo a la entidad reclamada para que procediese al análisis de la reclamación y diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD). TERCERO: Con fecha 24/11/20, la entidad reclamada envió a esta Agencia escrito de contestación, en el cual, entre otra, indicaba: “Denuncia el reclamante recibir ofertas comerciales a su correo electrónico pese haber solicitado en dos ocasiones su derecho de oposición, a lo que indica le contestamos solicitándole datos personales que manifiesta no está dispuesto a remitirnos. En primer lugar, informar a esta Agencia que, por protocolo, para el ejercicio de ciertos derechos solicitamos que se nos aporte cierta información, como, por ejemplo, el número de línea o el DNI. El motivo no es otro que puede existir más de un cliente con el mismo nombre y correos electrónicos similares. Por ello, en estos casos, con la finalidad de asegurarnos de que la persona que ejercita el derecho es quien dice ser, solicitamos algún dato adicional, como los indicados. A tal efecto, les informamos que hay coincidencias de nombre y apellido del reclamante, en la base de datos de Yoigo, por lo que la información adicional para identificar al cliente en este caso es necesaria. Hay que manifestar que, no tenemos constancia de que el reclamante haya ejercitado su derecho de acceso ante el DPO de la empresa, ni el canal ni la fecha en los que dice haber ejercitado el derecho de oposición a los efectos de revisar qué información se le ha solicitado, ya que al no aportar ningún dato que nos permita identificarle y abrir ni tan siquiera un ticket que nos permita auditar la atención proporcionada a este señor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Hay que indicar que, en el pie de todas las comunicaciones comerciales que remitimos a nuestros clientes se facilita un procedimiento gratuito en el que darse de baja del envío de comunicaciones comerciales, en el que, por los motivos indicados, solicitamos un mínimo de información para identificar a la persona que ejercita el derecho”. CUARTO: Con fecha 15/02/21, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, al incumplir lo estipulado en el artículo 21 de la LSSI, por seguir enviando correos electrónicos comerciales sin legitimación, después de haber intentado el reclamante darse de baja, imponiendo una sanción inicial de 3.000 euros. QUINTO: Notificado el acuerdo de inicio a la entidad reclamada, ésta mediante escrito de fecha 08/03/21 formuló, en síntesis, las siguientes alegaciones: “Se inicia el procedimiento de referencia contra mi representada por presunta vulneración del artículo 21 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico. Dicho artículo establece que queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas, salvo que: - Exista una relación contractual previa2 - El prestador (en este caso mi representada) hubiera obtenido de forma lícita los datos de contacto del destinatario - Los empleara para el envío de comunicaciones comerciales referentes a productos o servicio de su propia empresa y que sean similares a los que inicialmente fueron objeto de contratación por el cliente. Pues bien, en este caso se cumplen todas las condiciones enumeradas en el caso anterior. Con fecha 7 de agosto de 2020 (relación contractual previa a la comunicación denunciada), el reclamante contrató a través de una de nuestras tiendas Yoigo una línea telefónica en modalidad prepago. Esta persona proporcionó como medio de contacto el correo electrónico. Hágase notar que el correo electrónico no es de obligatoria aportación para llevar a cabo la contratación de una línea de telefonía y que aun así fue aportado voluntariamente por el interesado como medio de contacto. Aportamos como Documento n.º 1 copia del contrato con este cliente. Como ya indicamos a esta Agencia, por protocolo, para el ejercicio de ciertos derechos solicitamos que se nos aporte cierta información, como, por ejemplo, el número de línea o el DNI. El motivo no es otro que puede existir más de un cliente con el mismo nombre y correos electrónicos similares. Por ello, en estos casos de conflicto, con la finalidad de asegurarnos de que la persona que ejercita el derecho es quien dice ser, solicitamos algún dato adicional, como los indicados. Con carácter general, el protocolo de atención del derecho de oposición implementado no requiere de la aportación de DNI, ni información adicional, no obstante, en este caso, atendiendo a las específicas circunstancias que ya explicamos, se entendió oportuno solicitar el DNI del interesado, atendiendo a que contamos con 3 clientes llamados como el reclamante en la marca Yoigo. En un escenario en el que tenemos identificado un cliente legítimo con un correo electrónico, a nuestros ojos, correcto, en el que una persona diciendo llamarse como el reclamante pretende ejercitar un derecho sobre un dato perteneciente a este cliente, se procedió a solicitar información adicional para asegurarnos si se trataba del cliente o si había algún error en la información aportada en la contratación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 La finalidad de esta solicitud es descartar un ejercicio de derechos improcedente y usurpaciones de identidad, por lo que la solicitud del DNI a una persona que dice ser titular de un dato que nos constaba, pertenecía a otra persona, nos parece un requisito proporcionado para asegurarnos que se trata de una petición legítima. Respecto de: “de la información aportada por el reclamante en el presente procedimiento, y de la contestación realizada por la entidad reclamada, se desprende que, en el correo electrónico enviado por la entidad reclamada al interesado no existe la posibilidad de oponerse al envío de correos electrónicos con fines promocionales, pues no incluye una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho”. Esta afirmación es completamente errónea. En este sentido, hágase notar que el pantallazo aportado por el reclamante en el marco del requerimiento E/08647/2020, está cortado, no aparece el final del mensaje en el que debería encontrarse la leyenda “Si no quieres recibir más correos electrónicos de Yoigo escríbenos a clientes@yoigo.com”, prueba de ello es que hay un botón que está incompleto, solo se ve su parte superior y no el footer del mensaje con el texto indicado y que el reclamante se dirigió a esta dirección. En segundo lugar, en el último párrafo de nuestra contestación al requerimiento E/08647/2020 indicamos expresamente “Asimismo, indicar que en el pie de todas las comunicaciones comerciales que remitimos a nuestros clientes se facilita un procedimiento gratuito en el que darse de baja del envío de comunicaciones comerciales”. Esta circunstancia se obvia en el acuerdo de inicio completamente y se da por buena una prueba manipulada por el reclamante. A mayor abundamiento, aportamos creatividad de los meses de septiembre de 2020, noviembre de 2020 y febrero 2021 de la campaña de Yoigo DAZN, en las que puede 4 comprobarse en todas ellas la existencia de un procedimiento gratuito de baja para el envío de comunicaciones comerciales mediante el envío de un correo electrónico a clientes@yoigo.com. Por lo expuesto, SOLICITO A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, que tenga a bien admitir el presente escrito junto con sus anexos, por presentadas alegaciones ante el procedimiento sancionador de referencia y tenga a bien proceder al archivo de actuaciones seguidas contra mi representada”. SEXTO: Con fecha 25/03/21, se inició el período de práctica de pruebas, acordándose en el mismo: a) - dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados que forman parte del expediente E/08647/2020 y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/00449/2020, presentadas por la entidad reclamada. SÉPTIMO: Con fecha 27/04/21, se notifica a la entidad reclamada la propuesta de resolución en la que se proponía que, por la Directora de la Agencia Española de Protección de Datos se sancionase a la entidad reclamada, por infracción del artículo 21 de la LSSI, con una multa de 2.000 euros (dos mil euros), respecto del envío de correos electrónicos comerciales o publicitarios sin el consentimiento del interesado al haberse comprobado que sí existe un mecanismo gratuito y sencillo de darse de baja, en las comunicaciones comerciales que envía a través del correo electrónico. OCTAVO: Tras la notificación de la propuesta de resolución, con fecha 10/05/21, la entidad reclamada presentó escrito de alegaciones a la propuesta de resolución, en el cual se indicaba lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 “El correo electrónico respecto del que se ejercita el derecho, a nuestros efectos, pertenece a nuestro cliente A.A.A., con DNI ***DNI.1, no al interesado que ha denunciado, B.B.B... Este cliente no se encuentra en Lista Robinson y en ningún momento ha manifestado su oposición a recibir información comercial propia conforme al art. 21 de la LSSI. Más bien al contrario, puesto que contamos con sus consentimientos para remitirle información comercial propia y de empresas del Grupo y de terceros (consentimientos codificados como c01 y c02), que se proporcionaron con fecha 1 de julio de 2019, se actualizaron con fecha 7 de octubre de 2019 y 15 de octubre de
- Aportamos a tal efecto pantallazos de nuestra herramienta, “MASconsents” a través de la que se gestionan los consentimientos proporcionados por nuestros clientes. Una vez acreditado el consentimiento del cliente para ser impactado comercialmente no es necesario consultar lista Robinson para enviar comunicaciones comerciales a esta persona, tal como se desprende del apartado 4 del artículo 23 la Ley Orgánica 3/2018, de 5 de diciembre, De Protección de Datos y garantía de los derechos digitales
- Quienes pretendan realizar comunicaciones de mercadotecnia directa, deberán previamente consultar los sistemas de exclusión publicitaria que pudieran afectar a su actuación, excluyendo del tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa al mismo. A estos efectos, para considerar cumplida la obligación anterior será suficiente la consulta de los sistemas de exclusión incluidos en la relación publicada por la autoridad de control competente. No será necesario realizar la consulta a la que se refiere el párrafo anterior cuando el afectado hubiera prestado, conforme a lo dispuesto en esta ley orgánica, su consentimiento para recibir la comunicación a quien pretenda realizarla.” Hay que matizar que, no se tiene ningún contrato con el reclamante, D. B.B.B. (el reclamante), sino con A.A.A., con DNI ***DNI.1, con quien tenemos relación contractual desde 2019, que es a quien tenemos correctamente identificado y nos proporcionó como medio de contacto el correo electrónico ***Usuario.1@gmail.com y su consentimiento para remitirle información comercial. Al reclamante no le tenemos identificado, puesto que no es cliente y ha rehusado a identificarse, pese a haber justificado esta parte reiteradamente la necesidad en este caso en concreto por las particulares circunstancias que coinciden en él. En conclusión, contamos con el consentimiento de A.A.A., como acreditamos a través de los pantallazos de nuestros sistemas, para remitirle comunicaciones comerciales del grupo y de terceros y que esta persona nos proporcionó como correo electrónico de contacto, como ya acreditamos en nuestro anterior escrito, el correo electrónico ***Usuario.1@gmail.com. SOLICITO, que tenga a bien admitir el presente escrito, por presentadas alegaciones ante el procedimiento sancionador de referencia y tenga a bien proceder al archivo de actuaciones seguidas contra mi representada”. Con arreglo a la información y documentación presentada por las partes a lo largo del presente procedimiento sancionador se ha podido constatar los siguientes: HECHOS PROBADOS 1º.- El día 29/09/20, se recibió en esta Agencia escrito de reclamación presentado por, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 B.B.B.; ***DNI.2; Correo: ***Usuario.2@gmail.com, denunciando que recibe correos electrónicos publicitarios de Yoigo sin su consentimiento y que ha intentado ejercer su derecho de oposición pero que la entidad le pone “demasiadas trabas”. Al escrito de denuncia se acompañaba copia del correo electrónico enviado desde Yoigo a la ***Usuario.1@gmail.com. Se puede constatar, en este primer punto, que los dos correos electrónicos indicados por el reclamante no coinciden faltando un (.) de separación entre el nombre y el apellido en uno de los correos electrónicos. 2º.- En el primer requerimiento de información, la entidad informó a esta Agencia, entre otras, lo siguiente: - Que, por protocolo, para el ejercicio de ciertos derechos solicitan que se aporte a la solicitud cierta información, como, por ejemplo, el número de línea o el DNI. - Que hay coincidencias de nombre y primer apellido del reclamante en la base de datos de Yoigo, por lo que le solicitaron información adicional para identificarle. - En el pie de todas las comunicaciones comerciales que remiten a sus clientes se facilita un procedimiento gratuito en el que darse de baja del envío de comunicaciones comerciales, en el que también, por los motivos indicados, solicitan un mínimo de información para identificar a la persona que ejercita el derecho. 3º.- Iniciado el presente procedimiento sancionador, la entidad reclamada informó a esta Agencia, en el periodo de alegaciones, que: - Con carácter general el protocolo de atención del derecho de oposición no requiere de la aportación de DNI ni información adicional. No obstante, en este caso particular, atendiendo a que la entidad cuenta con 3 clientes con el mismo nombre y primer apellido, entendió oportuno solicitar el DNI del interesado para tramitar su solicitud de oposición. - Se aporta el contrato realizado entre Yoigo y A.A.A.; ***DNI.1; Correo: ***Usuario.1@gmail.com. 4º.- Notificado la Propuesta de Resolución a la entidad reclamada, ésta, en escrito de alegaciones, informó a esta Agencia que: - No existe ningún contrato entre la entidad y el reclamante, D. B.B.B. sino con A.A.A., ***Usuario.1@gmail.com - Al reclamante no le tenemos identificado, puesto que no es cliente y ha rehusado a identificarse, pese a haber justificado esta parte reiteradamente la necesidad en este caso en concreto por las particulares circunstancias que coinciden en él. 5º.- Esta Agencia ha podido constatar los siguientes puntos para tener en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 a).- Por parte del reclamante: - Se identifica ante esta Agencia como D. B.B.B., con correo electrónico: ***Usuario.2@gmail.com. - Denuncia haber recibido correos electrónicos publicitarios de Yoigo sin su consentimiento y presenta copia de un correo recibido en la dirección ***Usuario.1@gmail.com con un mensaje publicitario de Yoigo. - Se puede comprobar que la dirección de correo electrónico al que Yoigo envía el mensaje publicitario, esto es, a la dirección, ***Usuario.1@gmail.com, no coincide con la dirección de correo electrónico aportada por el reclamante en la reclamación, ***Usuario.2@gmail.com, faltando un “.” entre el nombre y el apellido en una de las direcciones. - Denuncia también que ha intentado ejercer sus derechos de oposición ante la entidad, pero ésta le pide que presente el DNI para comprobar sus datos, a lo que él se niega alegando que ese trámite no es necesario, pues considera suficiente estar incluido en la lista Robinson. - Además, denuncia que en el correo electrónico recibió de Yoigo no existe ningún mecanismo que posibilite darse de baja en las bases de datos de la entidad. b).- Por parte de la entidad Yoigo: - Aportan evidencia de que, en el pie de todas las comunicaciones comerciales que remiten vía correo electrónico, se facilita un procedimiento gratuito en el que se puede dar de baja del envío de comunicaciones comerciales. - Que, en este caso particular, atendiendo a que la entidad cuenta con 3 clientes con el mismo nombre y primer apellido, (…), entendió oportuno solicitarle copia del DNI para poder identificarle con todas las garantías. - Se aporta el contrato realizado entre Yoigo y D. A.A.A.; cuyo correo electrónico es: ***Usuario.1@gmail.com, y donde se especifica el consentimiento prestado por esta persona para enviarle comunicaciones comerciales al correo electrónico. Así se especifica en la cláusula 12.2 del contrato: o C/ Jorge Juan, 6 28001 – Madrid “Finalidad: Envío de publicidad sobre nuevas tarifas, promociones y mejoras de YOIGO o del resto de marcas de XFERA MÓVILES aplicables al servicio contratado o que resulten similares. Dentro de esta finalidad se engloba el uso de sus datos personales para enviarle comunicaciones relacionadas con la prestación, mejora y actualización de servicios, así como información publicitaria sobre promociones aplicables a su Servicio, nuevas tarifas u otros servicios –incluyendo servicios de valor añadido- que puedan resultar de su interés. Esta información publicitaria será remitida por cualquier canal (mensajes de texto, correos electrónicos, llamadas telefónicas, correo postal…) y podrá ser genérica o www.aepd.es sedeagpd.gob.es 7/8 personalizada, por lo que, en este último caso, se basará en el tratamiento previo de sus datos con el objetivo de poder proceder a su perfilado y caracterización, determinar gustos, preferencias y necesidades y, en base a éste, identificar las ofertas que puedan resultar más interesantes. En cualquier momento se permitirá al Cliente oponerse al envío de nuevas comunicaciones comerciales pudiendo hacer uso, asimismo, de este derecho por correo postal a la dirección arriba expuesta, por correo electrónico a la dirección datospersonales@yoigo.com o a través de nuestro Servicio de Atención al Cliente - La entidad afirma que “NO” existe ningún contrato entre ellos y el reclamante, D. B.B.B. ***Usuario.2@gmail.com, sino con A.A.A., ***Usuario.1@gmail.com a quién envió el correo electrónico publicitario, acogiéndose a lo estipulado en la cláusula 12.2 del contrato firmado. - En el escrito de reclamación, el reclamante, en ningún momento indica que sea cliente de la entidad, lo único que alega es estar incluido en la “Lista Robinsón”. NDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 43.1, párrafo segundo, de la de la LSSI. II En el presente caso, el reclamante indica que ha intentado en varias ocasiones darse de baja en la recepción de publicidad de la entidad Yoigo y que no lo ha conseguido porque le empresa le requiere que presente el DNI para tramitar su baja del servicio de publicidad, a lo que el reclamante se niega al considerar excesiva dicha medida alegando que, cómo está incluido en la Lista Robinson, esto debe ser suficiente. Este desacuerdo entre el reclamante y la entidad hace que siga recibiendo correos electrónicos publicitarios de la entidad. Además, el reclamante indica que, en los correos electrónicos que recibe no existe ningún mecanismo que posibilite darse de baja de esta opción. Se ha podido constatar, a lo largo del presente procedimiento que, en los correos electrónicos publicitarios enviados por la entidad sí existe, en el pie de todas las comunicaciones un procedimiento gratuito para darse de baja del envío de comunicaciones comerciales. Se aporta el contrato realizado entre Yoigo y D. A.A.A.; Correo: ***Usuario.1@gmail.com, donde se especifica el consentimiento para enviar comunicaciones comerciales al correo electrónico indicado Afirman que “NO” existe ningún contrato entre ellos y el reclamante, D. B.B.B.: ***Usuario.2@gmail.com, sino con A.A.A., ***Usuario.1@gmail.com a quién envió el correo electrónico publicitario atendiendo al contrato celebrado entre ambas partes. Por tanto, a la vista de los hechos expuesto, la Directoria de la Agencia Española de Protección de Datos, RESUELVE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 ARCHIVAR: a la entidad XFERA MÓVILES, S.A., con CIF.: A82528548, el presente procedimiento por la presunta infracción del artículo 21 de la LSSI, en lo que respecta al envío de comunicaciones comerciales. NOTIFICAR: la presente resolución a la entidad, XFERA MÓVILES, S.A., De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es