← España

PS-00471-2014

1/20 Procedimiento Nº PS/00471/2014 RESOLUCIÓN: R/00380/2015 En el procedimiento sancionador PS/00471/2014, instruido por la Agencia Española de Protección de Datos a la entidad SYNERTEC GROUP S.L., vista la denuncia presentada por D. B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 23 de septiembre de 2013 tiene entrada en esta Agencia una denuncia interpuesta por D. B.B.B. (en adelante el denunciante) manifestando que desde que realizó una portabilidad de su número de teléfono fijo y conexión a Internet en agosto de 2013 comenzó a sufrir el acoso a través de mensajes de correo electrónico en su cuenta C.C.C.. Los correos electrónicos tienen como origen el dominio promociones.tumejoroferta.es y continúan remitiéndoles mensajes publicitarios a pesar de haber solicitado la oposición al uso con fines publicitario de sus datos. El 23 de septiembre de 2013, a las 03:24 horas recibió un SMS desde la línea ***TEL.1 promocionando el sitio web www.perfumaniacos.com, del que es responsable INTERNATIONAL PERFUMES MANAGEMENT Ltd, con sede en Hong Kong. El denunciante no aporta evidencias de ninguno de los mensajes recibidos. Como respuesta a la solicitud de subsanación remitida por esta Agencia, con fecha de 7 de noviembre de 2013 tiene entrada en esta Agencia un escrito de subsanación del denunciante en el que aporta los cuerpos y las cabeceras completas de los correos electrónicos recibidos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se realiza visita de Inspección a la entidad SYNERTEC GROUP SL (en lo sucesivo SYNERTEC) y se realizan diversas actuaciones, teniendo conocimiento de los siguientes extremos: 1. El denunciante aporta copia de un correo electrónico recibido el 29 de agosto de 2013 remitido desde ....@promociones...... en el que se confirma la baja de ....@promociones1....... 2. El denunciante recibió en su cuenta de correo C.C.C. los 18 correos electrónicos cuyas características se listan a continuación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20 Cuenta origen Fecha Hora ....@ofertasplus.es 24/09/2013 23:21 ....@ofertaorange..... 25/09/2013 08:10 ....@promociones2...... 26/09/2013 08:46 ...@tumejoroferta.... 30/09/2013 09:55 ....@..jazztel.... 03/10/2013 16:38 ...1@tumejoroferta.... 03/10/2013 22:06 ....@yahoo.... 04/10/2013 17:54 ...2@tumejoroferta.... 06/10/2013 16:47 ...@tumejoroferta.... 09/10/2013 13:26 ...3@tumejoroferta.... 10/10/2013 14:48 ...4@tumejoroferta.... 12/10/2013 14:49 ...5@tumejoroferta.... 16/10/2013 14:42 ...6@tumejoroferta.... 17/10/2013 14:50 ....@ofertasplus.es 17/10/2013 17:20 ...7@tumejoroferta.... 18/10/2013 15:05 ...8@tumejoroferta.... 21/10/2013 01:46 ...9@tumejoroferta.... 23/10/2013 15:52 ...10@tumejoroferta.... 26/10/2013 14:45 A pesar de proceder de distintas direcciones de correo electrónico, todos los correos tienen como origen la dirección IP ***IP.1. Los correos electrónicos contenían información comercial referente a servicios y productos de distintos tipos: telefonía, seguros, televisión de pago, productos financieros, etc. Los correos electrónicos disponen de información sobre el cómo solicitar la baja de la lista de destinatarios en forma de enlace. 3. La dirección IP ***IP.1 está asignada a la sociedad ECIRCLE GmbH, con sede en Alemania. ECIRCLE GmbH es una sociedad cuyo principal servicio es el envío masivo de correos electrónicos y gestión de campañas de marketing digital. 4. El dominio tumejoroferta.es está registrado a nombre de D. A.A.A., que ostenta varios cargos en el consejo de administración de SINERTEC, y es administrador único de ADSL HOUSE, SL. 5. Durante la inspección realizada en la sede de SYNERTEC en base a las manifestaciones realizadas por sus representantes, a las pruebas realizadas y a la documentación aportada, se constataron los siguientes hechos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 5.1. SYNERTEC pertenece a un grupo de empresas que está compuesto, aparte de por la propia SYNERTEC, por las siguientes empresas:  AGORA CONTROL Y GESTION EMPRESARIAL, SL  ASESORIA DE MARKETING LA MODERNA, SL  ENTONA, SL. 5.2. La actividad principal de SYNERTEC consiste en la captación de nuevos clientes para los mercados residencial, autónomos y PYME, para TELEFONICA. Los datos de las personas a las que van dirigidas las campañas publicitarias realizadas por SYNERTEC se obtiene de los propios interesados a través de consultas realizadas telefónicamente y de los sitios web www.altas-movistar.es (mercado residencial y autónomos) y www.centralitas-movistar.es (mercado de PYMES). 5.3. SYNERTEC ejecuta campañas publicitarias para otras entidades utilizando los datos del fichero “POTENCIALES CLIENTES” en base a contratos de prestación de servicios. El objeto de dichos contratos no es la cesión de los datos de SYNERTEC a otras entidades sino el envío de la publicidad diseñada por un tercero a los potenciales clientes de SYNERTEC. AGORA CONTROL Y GESTION EMPRESARIAL SL, en adelante AGORA, y ADSL HOUSE SL son dos de los clientes para los que se realizan este tipo de servicios. El fichero de potenciales clientes tiene 220.992 registros. 5.4. AGORA, que comparte sede con SINERTEC, es una empresa totalmente separada de ésta última así como lo están sus bases de datos y ficheros. Mientras SYNERTEC trabaja con TELEFONICA, AGORA lo hace con las operadoras JAZZTEL, ONO, ORANGE y VODAFONE. Es por ello que en ocasiones AGORA está interesada en hacer campañas cuyos destinatarios sean los potenciales clientes de SINERTEC. 5.5. El servicio a través del cual SYNERTEC remitía los correos es una plataforma tecnológica denominada ECIRCLE contratada a ECIRCLE SPAIN SLU, que después fue adquirido por TERADATA IBERIA SLU, en adelante ECIRCLE. El contrato de prestación de servicios fue firmado por AGORA el 2 de julio de 2013 pero en su primera página consta como propuesta de servicios realiza a SYNERTEC por lo que es posible que el servicio fuera utilizado por todas las empresas del grupo. Debido a que el servicio prestado no satisfacía las necesidades de SYNERTEC, ésta solicitó el 18 de febrero de 2014 la rescisión del contrato que tuvo efecto el 4 de marzo de 2014 5.6. El correo electrónico del denunciante consta en los sistemas de la entidad como registrado a través del sitio web www.altas-movistar.es.el 20 de agosto de 2013. La política de privacidad de la página que debe aceptarse para solicitar información informa de que el responsable del fichero es SINERTEC y de que “La finalidad del tratamiento es la realización de ofertas, promociones, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 comercialización y contratación de productos de ocio, cultura, deporte, enseñanza, artes gráficas, alimentación, bebidas, banca, actividad financiera, construcción, obras públicas, inmobiliario, nuevas tecnologías, automoción, caza, pesca, sanidad, seguros, transportes, vigilancia, seguridad, comercio, oficinas, despachos, hostelería, restauración, turismo, medios de comunicación, publicidad, salud, belleza, textil, calzado, complementos, minería, metalurgia, energía, química, farmacia, administración local, autonómica y del estado gestionados por la marca, utilizando cualquier medio de comunicación ya sea postal, electrónico o de cualquier otro tipo, incluyendo la emisión de llamadas automatizadas.” 5.7. La plataforma tecnológica de ECIRCLE tenía limitaciones que impedían la ejecución concurrente sobre una misma base de datos de varias campañas o grupos de envíos. Para soslayar dicha limitación ECIRCLE ofreció, y SINERTEC admitió, como solución la replicación de las bases de datos de la entidad. De esa forma SYNERTEC podría hacer envíos sobre cada una de las copias. A tal fin se crearon 5 copias de la base de datos del mercado residencial y de autónomos denominadas agora, agora II, agora III, agora IV y agora V, y otras tantas copias de la base de datos del mercado de PYMES. Las bajas solicitadas sobre una base de datos a través del enlace incluido en los correos remitidos debían de replicarse en el resto de bases de datos pero el 3 de julio de 2013 uno de los potenciales clientes se quejó de que las bajas no estaban funcionando correctamente. SYNERTEC se puso en contacto con ECIRCLE para que revisase la actualización de las bases de datos y parece que la entidad, tras realizar algunas actualizaciones en las bases de datos, consideró la incidencia solucionada. 5.8. En un listado proporcionado por ECIRCLE a SINERTEC en respuesta al requerimiento realizado en la inspección, consta el envío por parte de SINRTEC desde la plataforma de un total de 75 correos electrónicos a la dirección del denunciante después de la fecha de confirmación de la baja citada en el punto 1. TERCERO: De todo ello se puede concluir que: El correo del denunciante fue proporcionado a SYNERTEC a través del sitio web www.altas-movistar.es donde se indica que uno de la finalidad para la que se proporcionan los datos es la remisión de publicidad por medios electrónicos. SYNERTEC remitió un total de 75 correos electrónicos después de la fecha de confirmación de la baja debido a que para soslayar las limitaciones de la plataforma que contrató, replicó la base de datos de destinatarios y el programa que debía de replicar la baja en todas las copias de la lista de destinatarios no funcionó adecuadamente. En julio de 2013, antes de la baja del denunciante, recibieron quejas de al menos un usuario en relación con la inefectividad de las bajas. SYNERTEC puso en conocimiento de ECIRCLE la incidencia y ésta tras realizar algunas actualizaciones consideró la incidencia solucionada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 CUARTO: Con fecha 8 de septiembre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SYNERTEC por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como grave en el artículo 38.3.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 30.001 hasta 150.000 euros, de acuerdo con el artículo 39.1.
  2. b)de la citada ley. QUINTO: Notificado el citado Acuerdo de inicio, SYNERTEC presentó alegaciones en las que señaló que: <<…SYNERTEC GROUP S.L facilita a los interesados dos sistemas gratuitos para darse de baja de este servicio: - Mediante el envío de un email a una de las direcciones de correo que nuestra entidad pone a disposición del interesado en nuestras páginas web y en las políticas de privacidad del email. Estas bajas son gestionadas directamente por SYNERTEC GROUP S.L. - Mediante un link que se encuentra en los correos electrónicos publicitarios que se envían. Se trata de un proceso de baja automática dónde el interesado puede darse de baja haciendo click en este enlace. Estas bajas se tramitan de forma automática a través de la plataforma ECIRCLE y en la cual es el prestador de servicios el encargado de gestionarlas, no interviniendo SYNERTEC GRQUP S.L en este proceso, tal y como se especifica en el contrato entregado durante la fase de actuaciones previas practicada por los inspectores. El denunciante procedió a darse de baja a través de la segunda opción. En consecuencia, el responsable de tramitar la baja del interesado correspondió a ECIRCLE, siendo dicha entidad la única con acceso y posibilidad de realizar este trámite (…) No obstante, el denunciante, con cuenta de correo C.C.C., procedió a darse de baja el 29 de Agosto de 2013, utilizando el método del LINK o proceso automático de ECIRCLE, recibiendo este mismo día un correo electrónico de confirmación de dicha baja a través de nuestro dominio de cliente de ECIRCLE (....@promociones......), cuya gestión estaba delegada a ECIRCLE, no pudiendo intervenir SYNERTEC GROUP S.L en este proceso (…) En consecuencia, cuando el interesado procedió a darse de baja, si se hubieran seguido las instrucciones que SYNERTEC GROUP S.L facilitó durante el mes de Julio de 2013 a ECIRCLE, el cese de envío de mailing se hubiera producido en las tres copias de la BBDD, no habiendo recibido ningún otro email. Por lo tanto, tal y como se establece en el Art. 20.3 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, “En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato al que se refiere el apartado 2 del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, será considerado, también, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. Según lo expuesto en el párrafo anterior, y tal como se estipula en el pacto séptimo del contrato de prestación de servicios adjuntado como Prueba Documental número 1, ECIRCLE en calidad de Encargado de Tratamiento, se convertiría en Responsable del Fichero al tratar los datos de carácter personal incumpliendo las estipulaciones dadas por SYNERTEC GROUP S.L, tal y como se estipula. En tal caso, SYNERTEC GROUP S.L considera que sería ECIRCLE quien debería responder de cualquier infracción en que se hubiera incurrido…>> SEXTO: En fecha 21/11/2014, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas. SÉPTIMO: Con fecha 20/01/2015 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 52.000 € (cincuenta y dos mil euros) a la SYNERTEC GROUP S.L., por la comisión de una infracción del artículo 21 de la LSSI, tipificada como grave en el artículo 38.3.
  3. c)de dicha norma. OCTAVO: Con fecha de puesta en el Servicio de Correos de 19/02/2015, con entrada en la Agencia el 23/02/2015 SYNERTEC realizó alegaciones frente a la citada propuesta de resolución en la que comunica: <<…Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario. En el caso presente la administración no ha probado ninguna actuación de mi representada que vulnere la ley, sino más bien al contrario lo que ha sucedido es que se ha acreditado que se han cumplido todos los procesos y el único hecho objetivo constatado por la administración es el envío de correos tras la baja del denunciante, que está acreditado ha sucedido por error informático sin que en tal resultado se haya probado una actitud negligente ni culpable de mi representada. Ningún otro hecho ha quedado probado que vulnere la Ley y se tipifique como infracción incurriendo la resolución en una grave falta de motivación por inconcreción de los hechos que produce una absoluta falta de motivación que conlleva la nulidad de pleno derecho de la resolución sancionadora de acuerdo con el artículo 62, 1 e de la Ley 30/1992…>> HECHOS PROBADOS PRIMERO: Con fecha de 23 de septiembre de 2013 tiene entrada en esta Agencia escrito del denunciante, manifestando que desde que realizó una portabilidad de su número de teléfono fijo y conexión a Internet en agosto de 2013 comenzó a sufrir el acoso a través de mensajes de correo electrónico en su cuenta C.C.C.. Los correos electrónicos tienen como origen el dominio promociones.tumejoroferta.es y continúan remitiéndoles mensajes publicitarios a pesar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 de haber solicitado la oposición al uso con fines publicitario de sus datos. Como respuesta a la solicitud de subsanación remitida por esta Agencia, con fecha de 7 de noviembre de 2013 tiene entrada en esta Agencia un escrito de subsanación del denunciante en el que aporta los cuerpos y las cabeceras completas de los correos electrónicos recibidos (folios 1 a 76). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se realiza visita de Inspección a la entidad SYNERTEC y se realizan diversas actuaciones, teniendo conocimiento de los siguientes extremos:  El denunciante aporta copia de un correo electrónico recibido el 29 de agosto de 2013 remitido desde ....@promociones...... en el que se confirma la baja de ....@promociones1....... (folios 12 a 15).  El denunciante recibió en su cuenta de correo C.C.C. los 18 correos electrónicos cuyas características se listan a continuación. Cuenta origen Fecha Hora ....@ofertasplus.es 24/09/2013 23:21 ....@ofertaorange..... 25/09/2013 08:10 ....@promociones2...... 26/09/2013 08:46 ...@tumejoroferta.... 30/09/2013 09:55 ....@..jazztel.... 03/10/2013 16:38 ...1@tumejoroferta.... 03/10/2013 22:06 ....@yahoo.... 04/10/2013 17:54 ...2@tumejoroferta.... 06/10/2013 16:47 ...@tumejoroferta.... 09/10/2013 13:26 ...3@tumejoroferta.... 10/10/2013 14:48 ...4@tumejoroferta.... 12/10/2013 14:49 ...5@tumejoroferta.... 16/10/2013 14:42 ...6@tumejoroferta.... 17/10/2013 14:50 ....@ofertasplus.es 17/10/2013 17:20 ...7@tumejoroferta.... 18/10/2013 15:05 ...8@tumejoroferta.... 21/10/2013 01:46 ...9@tumejoroferta.... 23/10/2013 15:52 ...10@tumejoroferta.... 26/10/2013 14:45 A pesar de proceder de distintas direcciones de correo electrónico, todos los correos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 tienen como origen la dirección IP ***IP.1. Los correos electrónicos contenían información comercial referente a servicios y productos de distintos tipos: telefonía, seguros, televisión de pago, productos financieros, etc. Los correos electrónicos disponen de información sobre el cómo solicitar la baja de la lista de destinatarios en forma de enlace (folios 12 a 76). .  La dirección IP ***IP.1 está asignada a la sociedad ECIRCLE GmbH, con sede en Alemania. ECIRCLE GmbH es una sociedad cuyo principal servicio es el envío masivo de correos electrónicos y gestión de campañas de marketing digital (folios 89 a 91).  El dominio tumejoroferta.es está registrado a nombre de D. A.A.A., que ostenta varios cargos en el consejo de administración de SINERTEC, y es administrador único de ADSL HOUSE, S.L. (folios 78 y 79; 83 a 88) TERCERO: Durante la inspección realizada en la sede de SYNERTEC en base a las manifestaciones realizadas por sus representantes, a las pruebas realizadas y a la documentación aportada, se constataron los siguientes hechos:  SYNERTEC pertenece a un grupo de empresas que está compuesto, aparte de por la propia SYNERTEC, por las siguientes empresas:  AGORA CONTROL Y GESTION EMPRESARIAL, SL  ASESORIA DE MARKETING LA MODERNA, SL  ENTONA, SL.  La actividad principal de SYNERTEC consiste en la captación de nuevos clientes para los mercados residencial, autónomos y PYME, para TELEFONICA. Los datos de las personas a las que van dirigidas las campañas publicitarias realizadas por SYNERTEC se obtiene de los propios interesados a través de consultas realizadas telefónicamente y de los sitios web www.altas-movistar.es (mercado residencial y autónomos) y www.centralitas-movistar.es (mercado de PYMES).  SYNERTEC ejecuta campañas publicitarias para otras entidades utilizando los datos del fichero “POTENCIALES CLIENTES” en base a contratos de prestación de servicios. El objeto de dichos contratos no es la cesión de los datos de SYNERTEC a otras entidades sino el envío de la publicidad diseñada por un tercero a los potenciales clientes de SYNERTEC. AGORA CONTROL Y GESTION EMPRESARIAL SL, en adelante AGORA, y ADSL HOUSE SL son dos de los clientes para los que se realizan este tipo de servicios. El fichero de potenciales clientes tiene 220.992 registros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20  AGORA, que comparte sede con SYNERTEC, es una empresa totalmente separada de ésta última así como lo están sus bases de datos y ficheros. Mientras SYNERTEC trabaja con TELEFONICA, AGORA lo hace con las operadoras JAZZTEL, ONO, ORANGE y VODAFONE. Es por ello que en ocasiones AGORA está interesada en hacer campañas cuyos destinatarios sean los potenciales clientes de SYNERTEC.  El servicio a través del cual SYNERTEC remitía los correos es una plataforma tecnológica denominada ECIRCLE contratada a ECIRCLE SPAIN SLU, que después fue adquirido por TERADATA IBERIA SLU, en adelante ECIRCLE. El contrato de prestación de servicios fue firmado por AGORA el 2 de julio de 2013 pero en su primera página consta como propuesta de servicios realiza a SINERTEC por lo que es posible que el servicio fuera utilizado por todas las empresas del grupo. Debido a que el servicio prestado no satisfacía las necesidades de SYNERTEC, ésta solicitó el 18 de febrero de 2014 la rescisión del contrato que tuvo efecto el 4 de marzo de 2014  El correo electrónico del denunciante consta en los sistemas de la entidad como registrado a través del sitio web www.altas-movistar.es.el 20 de agosto de 2013. La política de privacidad de la página que debe aceptarse para solicitar información informa de que el responsable del fichero es SYNERTEC y de que “La finalidad del tratamiento es la realización de ofertas, promociones, comercialización y contratación de productos de ocio, cultura, deporte, enseñanza, artes gráficas, alimentación, bebidas, banca, actividad financiera, construcción, obras públicas, inmobiliario, nuevas tecnologías, automoción, caza, pesca, sanidad, seguros, transportes, vigilancia, seguridad, comercio, oficinas, despachos, hostelería, restauración, turismo, medios de comunicación, publicidad, salud, belleza, textil, calzado, complementos, minería, metalurgia, energía, química, farmacia, administración local, autonómica y del estado gestionados por la marca, utilizando cualquier medio de comunicación ya sea postal, electrónico o de cualquier otro tipo, incluyendo la emisión de llamadas automatizadas.” (folios 157 a 158)  La plataforma tecnológica de ECIRCLE tenía limitaciones que impedían la ejecución concurrente sobre una misma base de datos de varias campañas o grupos de envíos. Para soslayar dicha limitación ECIRCLE ofreció, y SYNERTEC admitió, como solución la replicación de las bases de datos de la entidad. De esa forma SYNERTEC podría hacer envíos sobre cada una de las copias. A tal fin se crearon 5 copias de la base de datos del mercado residencial y de autónomos denominadas agora, agora II, agora III, agora IV y agora V, y otras tantas copias de la base de datos del mercado de PYMES. Las bajas solicitadas sobre una base de datos a través del enlace incluido en los correos remitidos debían de replicarse en el resto de bases de datos pero el 3 de julio de 2013 uno de los potenciales clientes se quejó de que las bajas no estaban, funcionando correctamente. SYNERTEC se puso en contacto con ECIRCLE para que revisase la actualización de las bases de datos y parece que la entidad, tras realizar algunas actualizaciones en las bases de datos, consideró la incidencia solucionada (folios 92 a 111). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 CUARTO: En un listado proporcionado por ECIRCLE a SYNERTEC en respuesta al requerimiento realizado en la inspección, consta el envío por parte de SYNERTEC desde la plataforma de un total de 75 correos electrónicos a la dirección del denunciante después de la fecha de confirmación de la baja citada en el punto 1 (folios 133 a 156). QUINTO: De todo ello se puede concluir que: El correo del denunciante fue proporcionado a SYNERTEC a través del sitio web www.altas-movistar.es donde se indica que uno de la finalidad para la que se proporcionan los datos es la remisión de publicidad por medios electrónicos. SYNERTEC remitió un total de 75 correos electrónicos después de la fecha de confirmación de la baja debido a que para soslayar las limitaciones de la plataforma que contrató, replicó la base de datos de destinatarios y el programa que debía de replicar la baja en todas las copias de la lista de destinatarios no funcionó adecuadamente. En julio de 2013, antes de la baja del denunciante, recibieron quejas de al menos un usuario en relación con la inefectividad de las bajas. SYNERTEC puso en conocimiento de ECIRCLE la incidencia y ésta tras realizar algunas actualizaciones consideró la incidencia solucionada. FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
  4. d)e
  5. i)y 38.4 d),
  6. g)y
  7. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II La Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), –que, al decir de su Exposición de Motivos (punto 14) recoge “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- sanciona el principio de aplicación retroactiva de la norma más favorable estableciendo en el artículo 128.2 que “Las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor.” Por ello, resulta aplicable al presente caso la modificación efectuada a la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), por la Ley 9/2014, de 9 de mayo, de Telecomunicaciones, (BOE nº 114 de fecha 10 de mayo de 2014), en lo que se refiere a la tipificación de las infracciones y la moderación y graduación de las sanciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 III Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. La LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
  8. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
  9. b)del Reglamento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. IV Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
  10. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. El concepto de comunicación comercial, de acuerdo con la definición recogida en el Anexo f), párrafo primero de la LSSI, engloba todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. Por otro lado, la LSSI en su Anexo
  11. a)define “Servicio de la Sociedad de la Información” como “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios”. Añade el referido apartado que el envío de comunicaciones comerciales es un servicio de la sociedad de la información, siempre que represente una actividad económica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 Según el apartado
  12. d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
  13. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. V Descrito el marco normativo aplicable a las comunicaciones comerciales remitidas a través de medios electrónicos, se debe destacar que la LSSI dispone en sus artículos 21 y 22 lo siguiente: Art. 21 “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” Art. 22.1 “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos” En el presente supuesto, ha quedado acreditado que SINERTEC remitió un total de 75 correos electrónicos después de la fecha de confirmación de la baja debido a que para soslayar las limitaciones de la plataforma que contrató, replicó la base de datos de destinatarios y el programa que debía de replicar la baja en todas las copias de la lista de destinatarios no funcionó adecuadamente. VI El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos) La definición de prestador del servicio se contiene en el apartado
  14. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
  15. a)entiende “ todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. No tendrán la consideración de servicios de la sociedad de la información los que no reúnan las características señaladas en el primer párrafo de este apartado y, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/20 particular, los siguientes: (….) En el presente caso ha de considerarse Prestador de Servicios de la Sociedad de la Información a la entidad SYNERTEC y por tanto situarla bajo las obligaciones y el régimen sancionador de la LSSI. VII No pueden ser tenidas en cuenta la alegación de la entidad SYNERTEC, frente al Acuerdo de Inicio: “…Según lo expuesto en el párrafo anterior, y tal como se estipula en el pacto séptimo del contrato de prestación de servicios adjuntado como Prueba Documental número 1, ECIRCLE en calidad de Encargado de Tratamiento, se convertiría en Responsable del Fichero al tratar los datos de carácter personal incumpliendo las estipulaciones dadas por SYNERTEC GROUP S.L, tal y como se estipula. En tal caso, SYNERTEC GROUP S.L considera que sería ECIRCLE quien debería responder de cualquier infracción en que se hubiera incurrido…>> El art. 3 apartados
  16. d)y
  17. g)de la LOPD definen: “Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” “Encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.” Dispone el art. 5.1.
  18. i)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (RDLOPD en adelante), que el encargado del tratamiento es La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio. Por su parte el art. 5.1.
  19. q)del citado RDLOPD establece que el responsable del fichero o del tratamiento es Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados del tratamiento (art. 43), “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley” concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.
  20. d)y 3.g). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/20 En cuanto a las relaciones entre el responsable del fichero o tratamiento y el encargado del tratamiento, habrá que estar a lo dispuesto en el art. 12 de la LOPD: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” En el presente caso la entidad SYNERTEC es responsable del envío de las comunicaciones comerciales, ya que decidió realizar las campañas (finalidad) y delimitó el colectivo de personas a las que debían de remitirse, es decir decidió sobre el contenido y uso de las comunicaciones comerciales por correo electrónico. Por otro lado cabe señalar que tal como ha señalado la Audiencia Nacional en Sentencia 28/01/2004, la externalización de servicios no puede abonar zonas de impunidad para la inaplicación del régimen sancionador, es decir, SYNERTEC a través de su representante legal, a través del departamento de marketing, o a través de quien sea, tiene que desplegar la diligencia que exige la norma para su cumplimiento. Sobre este particular decir que interpreta el art. 12.4 de la LOPD la sentencia de 14/03/2007 Recurso 280/2005, que haciéndose eco de la anterior Sentencia de 13/04/2005 Rec.241/2003, establece que lo que determina la LOPD en el mismo, es que si el encargado del tratamiento destina los datos a una finalidad distinta a la indicada, los comunica o los utiliza incumplido las estipulaciones del contrato <<…será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente…>>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/20 Por lo que el término “también” que utiliza el precepto deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del tratamiento no pierde su condición de tal, ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento, que incumpla lo estipulado, se le atribuya “también” la consideración de responsable del tratamiento, para ello es necesario analizar elementos que acrediten la ausencia total de culpabilidad. Este criterio ha sido reiterado recientemente en SAN de 17/05/2013. A lo anterior añadir que en este caso SYNERTEC no ha acreditado que haya realizado periódicas comprobaciones a fin de constatar si ECIRCLE (a quien atribuye el papel de encargado del tratamiento) cumplía las instrucciones que ella debería haber indicado en orden a la exclusión de datos de personas que han ejercido el derecho de oposición. Ha de tenerse en cuenta que SYNERTEC pertenece a un grupo de empresas que está compuesto, aparte de por la propia SYNERTEC, por las siguientes empresas:  AGORA CONTROL Y GESTION EMPRESARIAL, SL  ASESORIA DE MARKETING LA MODERNA, SL  ENTONA, SL. Así mismo ha de tenerse en cuenta que SYNERTEC no ha remitido copia del contrato suscrito con ECIRCLE sino una propuesta de Servicio. Remitiendo sin embargo el contrato suscrito entre ECIRCLE y la entidad AGORA CONTROL Y GESTION EMPRESARIAL, SL. VIII De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  21. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
  22. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/20 destinatario, en los términos que se indican en el también citado artículo 38.3.C), se producirá una infracción de carácter grave a los efectos de la LSSI. El presente supuesto se ajusta al tipo de infracción establecido en el artículo 38.3.
  23. c)de la LSSI, calificado como infracción grave, al tratarse de una remisión de 75 correos electrónicos después de la fecha de confirmación de la baja, desde la dirección de ....@promociones1....... IX Según establece el art. 39.1, apartados
  24. b)y c), de la LSSI, las infracciones graves podrán ser sancionadas con multa de 30.001 hasta 150.000 € y las leves, con multa de hasta 30.000 €, fijando los criterios para su graduación los artículos 39 bis y 40 de la misma norma, que disponen lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  25. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
  26. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  27. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  28. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  29. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  30. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  31. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/20 sancionador, por dicho incumplimiento.” “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  32. a)La existencia de intencionalidad.
  33. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  34. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  35. d)La naturaleza y cuantía de los perjuicios causados.
  36. e)Los beneficios obtenidos por la infracción.
  37. f)Volumen de facturación a que afecte la infracción cometida.
  38. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. En relación con los criterios de graduación de las sanciones recogidos en los transcritos artículos 39 bis y 40 y, en especial, teniendo en cuenta el número de correos comerciales recibidos por el denunciante, así como el periodo durante el cual los recibió, por todo ello procede imponer a SYNERTEC una sanción de 52.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SYNERTEC GROUP S.L., por una infracción del artículo 21 de la LSSI, tipificada como grave en el artículo 38.3.
  39. c)de la LSSI, una multa de 52.000 € (cincuenta y dos mil euros), de conformidad con lo establecido en los artículos 39.1.
  40. b)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a SYNERTEC GROUP S.L., y a D. B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/20 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.