PS-00487-2015 | Europaius

1/24 Procedimiento Nº PS/00487/2015 RESOLUCIÓN: R/00207/2016 En el procedimiento sancionador PS/00487/2015, instruido por la Agencia Española de Protección de Datos a AXA GLOBAL DIRECT SEGUROS Y REASEGUROS, S.A.U., D. B.B.B. y a ROCK INTERNET S.L., vista la denuncia presentada por D. C.C.C., por presuntas infracciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y a la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 23 de abril de 2015 tiene entrada en esta Agencia denuncia interpuesta por D. C.C.C., (en adelante el denunciante) manifestando que:

El 4 de febrero de 2015 envió un correo electrónico que adjuntaba copia de su DNI a DIRECT SEGUROS (nombre comercial de AXA GLOBAL DIRECT SEGUROS Y REASEGUROS, S.A.U.) solicitando que le dieran de baja en sus bases de datos.
En repuesta a su solicitud le respondieron asignándole el número de referencia ******.
El 13 de febrero de 2015 recibe un correo electrónico en el que le confirman que se ha procedido al borrado de sus datos.
A pesar de lo relatado le siguen enviando publicidad. El escrito de denuncia aporta copia de la respuesta citada en el punto 3 y de 3 correos electrónicos recibidos con posterioridad, todos ellos dirigidos a la cuenta D.D.D.. Como respuesta a la solicitud de subsanación remitida por esta Agencia, con fecha de 10 de junio de 2015 tiene entrada en esta Agencia un escrito del denunciante en el que aporta las cabeceras completas algunos de los correos electrónicos aportados en su anterior escrito. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a diversas entidades, teniendo conocimiento de que: En cuanto a los datos del denunciante tratados por DIRECT SEGUROS
El denunciante figura en los sistemas de información como cliente de DIRECT SEGUROS ya que entre el 28 de noviembre de 2006 y el 1 de diciembre de 2014 mantuvo contratadas un total de 5 pólizas de seguros con la compañía. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/24
DIRECT SEGUROS recibió el 19 de enero de 2015 un correo electrónico del denunciante desde su dirección D.D.D. solicitando la baja de la base de datos y no recibir más información de sus ofertas. Tras serle solicitada al denunciante copia de su DNI, la solicitud de cancelación fue resuelta mediante notificación fechada el 5 de febrero de 2015 enviada al denunciante.
El denunciante figura marcado en los sistemas de información con una marca que indica que no se le deben de remitir comunicaciones comerciales desde la fecha 13 de febrero de
DIRECT SEGUROS contrató el 5 de noviembre de 2014 con ROCK INTERNET SL, en adelante ROCK, la realización de una campaña publicitaria por correo electrónico en la que el origen de los datos de los destinatarios es ROCK.
La entidad aporta copia del contrato firmado. En el contrato no consta ninguna cláusula que establezca la comunicación de una copia del fichero de exclusión de DIRECT SEGUROS a ROCK. ROCK manifiesta que no ha recibido ningún fichero de exclusión de DIRECT SEGUROS. Respecto de los correos electrónicos publicitarios enviados
El denunciante recibió en su cuenta de correo D.D.D. los correos electrónicos cuyas características se listan a continuación. Cuenta origen Fecha 03/03/2015 ....@mark.bgrent.eu ....@quatcast.com 17/03/2015 ....@permissionmac.com 18/03/2015 ....@permissionmac.com 17/04/2015 Los correos electrónicos contenían información comercial referente a servicios y productos de DIRECT SEGUROS. Durante la inspección realizada a ROCK se pudo constatar que:  ROCK no guarda un registro de todos los correos electrónicos remitidos, pero si conserva un registro de todos los correos electrónicos abiertos por los destinatarios. En dicho registro consta la apertura, entre el 3 de marzo y el 17 de julio de 2015, de al menos 8 correos electrónicos dirigidos a D.D.D. con publicidad de DIRECT SEGUROS. A continuación se muestra una tabla con las fechas y el número de correos abiertos. Fecha 03/03/2015 C/ Jorge Juan, 6 28001 – Madrid Correos abiertos 2 www.agpd.es sedeagpd.gob.es 3/24 25/03/2015 1 18/04/2015 3 08/06/2015 1 17/07/2015 1  Todos los envíos realizados incluyen un enlace mediante el cual puede solicitarse la baja de la lista de destinatarios.  La mayor parte de los envíos, aunque no todos, incluyen en su pie un texto que identifica la fuente de los datos. Los dominios origen son propiedad de ROCK o de sociedades que ROCK ha adquirido o subcontratado y las fechas de apertura de los correos electrónicos son consistentes con las fechas de recepción de los correos aportados por el denunciante.
Entre los activos adquiridos por ROCK a ARKEERO MEDIA se encuentran las bases de datos de ARKEERO. Para el desarrollo de su actividad ROCK firma contratos con proveedores de datos cuyas bases de datos integra con la propia. Cuando los datos de una persona que van a ser incluidos en la base de datos de ROCK ya se encuentran en ésta, son actualizados y se marca al último proveedor de datos como origen de los datos. Los proveedores de datos de ROCK reciben una copia de cada comunicación publicitaria que ésta envía y disponen de una herramienta web a través de la cual ROCK facilita la consulta de, entre otros datos, las campañas en las que se están utilizando sus datos y los rendimientos (número de conversiones, ingresos obtenidos, etc.) obtenidos del uso de los datos.
Durante la inspección realizada a ROCK se constató que en la base de datos de ROCK los datos del denunciante tienen como origen el proveedor denominado “clubcocinafacil” y que están marcados de baja desde el 24 de julio de
El 25 de agosto de 2014 ROCK firmó un contrato con CARIBENET, una sociedad constituida en la Republica Dominicana, y que es la que aportaba los datos obtenidos a partir del sitio web www.clubcocinafacil.com. La persona que firma el contrato como representante de la sociedad es D. B.B.B., en adelante EL PROVEEDOR. El objeto del contrato era la cesión de una base de datos de usuarios registrados en CARIBENET a ROCK para que esta hallase anunciantes a los que poner en contacto con los clientes de su base de datos. El contrato no está acompañado de documentación que acredite que EL PROVEEDOR era representante de CARIBENET o de la existencia de dicha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/24 sociedad pero confiaron en las referencias aportadas por su amigo, que había trabajado durante años en el sector de la publicidad. Los representante de ROCK manifiestan que el motivo de que aparezcan envíos a la dirección D.D.D. previos a la firma del contrato con CARIBENET es que dicha dirección estaba incluida en la base de datos de ARKEERO MEDIA que adquirieron y al integrar los datos de CARIBENET en la base de datos de ROCK se marcó el registro como originario de CARIBENET.
Durante la inspección realizada a ROCK se pudo comprobar que actualmente la base de datos proporcionada por CARIBENET está compuesta por un total de 95.961 registros. Un número que incluye, como en el caso que nos ocupa, los registros marcados de baja que no se utilizan en los envíos publicitarios. Respecto del origen de los datos y el consentimiento
El sitio web www.clubcocinafacil.com tiene un formulario de registro de usuarios. Al final de dicho formulario se informa a los usuarios de que los servicios de mejora, mantenimiento y atención personalizada son pagados por los sponsors del sitio web sin que represente un coste para los usuarios y que por ello solicitan que completen los datos que solicita su patrocinador. Para completar el alta de usuario es necesario aceptar la política de privacidad del sitio web.
Al acceder el 6 de agosto de 2015 se comprueba que la política de privacidad se informa de que el sitio web está editado y mantenido por P.O. Caribenet. En relación al uso que se dará a los datos de los usuarios registrados se informa de que: “Nuestro sistema de registro e usuarios podrá ceder dichos datos de los usuarios registrados a terceros para su explotación comercial a empresas dedicadas al marketing, telemarketing y otros servicios de internet como Mail Marketing. Se podrán dar a terceras partes datos globales y estadísticas anónimas sobre el registro de usuarios pero en ningún caso estos datos podrán identificar personalmente al usuario registrado por terceras partes...” En la política de privacidad se informa asimismo de que “Clubcocinafacil.com está inscrita en la Agencia Española de Protección de Datos por B.B.B., A.A.A., España Teléfono móvil E.E.E..” No consta información sobre los derechos de acceso, rectificación, cancelación y oposición que asisten a los titulares de los datos ni sobre como ejercerlos.
El 6 de agosto de 2015 se constata que en el Registro General de Protección de Datos (RGPD) no figura ningún fichero inscrito a nombre de EL PROVEEDOR (D. B.B.B.). A instancias del Subinspector actuante EL PROVEEDOR proporciona lo que él C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/24 entiende que es prueba de la inscripción del fichero en el RGPD pero que es una notificación de subsanación de defectos de la solicitud de inscripción. La inscripción del fichero fue archivada sin llevarse a cabo debido a que EL PROVEEDOR no subsano los defectos indicados.
El 13 de agosto de 2015 EL PROVEEDOR manifiesta haber solicitado nuevamente la inscripción del fichero, esta vez a su nombre, y haber modificado la política de privacidad del sitio web en dicho sentido. Ese mismo día se constata que EL PROVEEDOR se identifica como editor del sitio web www.clubcocinafacil.com e informa de que está esperando la confirmación de inscripción en el RGPD habiendo actualizado su dirección postal. Sigue sin constar información sobre los derechos de acceso, rectificación, cancelación y oposición que asisten a los titulares de los datos ni sobre como ejercerlos.
De las comprobaciones realizadas por el Subinspector actuante, las comunicaciones mantenidas con EL PROVEEDOR y ROCK y los documentos proporcionados por éstos se constata que:  EL PROVEEDOR es el responsable del sitio web www.clubcocinafacil.com.  CARIBENET no es una sociedad legalmente constituida, sino un nombre comercial con el que EL PROVEEDOR constaba registrado en el año 2010 en la Dirección General de Impuestos Internos de la República Dominicana. El registro corresponde a EL PROVEEDOR como persona física, bajo la actividad de diseñador gráfico y es válido únicamente para el año
 Las transferencias bancarias realizadas por ROCK derivadas del cumplimiento del contrato firmado con CARIBENET se realizaron a una cuenta de la que es titular EL PROVEEDOR.  Los datos del denunciante que constan en la base datos del RESPONSABLE y que fueron comunicados a ROCK incluyen, entre otros:  correo electrónico  nombre y primer apellido  fecha de registro  dirección IP de registro TERCERO: Con fecha 27 de agosto de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a D. B.B.B. con arreglo a lo dispuesto en el artículo 127 del Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) aprobado por Real Decreto 1720/2007, de 21 de diciembre, por la presunta infracción del artículo 11.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.k) de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/24 Así mismo, se acordó iniciar procedimiento sancionador a DIRECT SEGUROS con arreglo a lo dispuesto en el artículo 127 del citado Reglamento, por la presunta infracción del artículo 30.4 de la LOPD, tipificada como infracción grave en el artículo 44.3.e) de la citada Ley Orgánica. Igualmente, se acordó iniciar procedimiento sancionador a a ROCK con arreglo a lo dispuesto en el artículo 127 del citado Reglamento, por la presunta infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.d) de la citada Ley. CUARTO: Notificado el acuerdo de inicio D. B.B.B. formuló alegaciones, significando que: <<…he recibido por correo el Procedimiento Sancionador PS/00487/2015 como administrador y propietario del sitio web clubcocinafacil.com, le escribo este correo para hacerle saber de las modificaciones que he realizado en el sitio web acerca de los Derechos de Acceso, Rectificación, Cancelación y Oposición que hay en la nota legal y que por falta de información y conocimiento no tenía especificado en el sitio web. Ahora los puede ver detallados en la nota legal del sitio, además de que en ella pongo a los usuarios en conocimiento de mi dirección, teléfono y correo electrónico para atender de forma rápida y directa cualquier consulta como llevo haciendo desde hace unos años. http://www.clubcocinafacil.com/legal.php Quiero comentarle que estos años todas las personas que me han solicitado ayuda para actualizar, cancelar o cualquier tipo de incidencia del sitio web clubcocinafacil.com las he atendido yo personalmente y que se han resuelto todas las incidencias recibidas (…) En lo referente al registro en la AGPD de clubcocinafacil.com tengo solicitado un nuevo registro del que estoy pendiente recibir notificación. Aquí le adjunto el acuse de recibo de esta solicitud…>> (el subrayado es de la AEPD). QUINTO: Notificado el acuerdo de inicio, ROCK formuló alegaciones, significando que: <<…
El Artículo 21 establece una prohibición, una excepción a ésta y una obligación. 1.
De la prohibición de enviar comunicaciones publicitarias sin autorización expresa y de la concurrencia en el presente caso de un consentimiento expreso.
La prohibición se refiere a la necesidad de contar con una solicitud o una autorización expresa por el destinatario de comunicaciones publicitarias. La exclusión no es aplicable al presente caso dado que no existe relación contractual entre el titular de la dirección D.D.D. (en adelante, el “Titular”) y Rock Internet. Por lo tanto, es necesario examinar si constaba una solicitud o una autorización expresa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/24
En el expediente núm. E/02901/2015 previo a la iniciación del Procedimiento, Rock Internet acreditó la existencia de un consentimiento por parte del Titular. Su dirección de correo electrónico proviene de la base de datos obtenidos a partir de la página web http://www.clubcocinafacil.com, cuya política de privacidad establecía expresamente: “La recogida y tratamiento automatizado de los datos personales tiene como finalidad la correcta prestación de los servicios que el usuario suscribe, los datos de los usuarios registrados serán utilizados para generar estadísticas internas envíos de boletines personalizados y consultas de visitantes de nuestra web clubcocinafacil.com. Además el usuario registrado si podrá recibir por correo electrónico notificaciones sobre noticias, promociones, premios, ofertas, etc. gestionadas siempre por clubcocinafacil.com y los sponsors del sitio [el subrayado es nuestro]”.
Dicha política de privacidad fue aportada por Rock Internet en el expediente núm. E/02901/2015 como documento núm. 4, al que nos remitimos. La aceptación de la misma fue acreditada, mediante la aportación de una impresión de la página web del portal (documento núm. 1 en el mismo expediente) y el formulario de alta (documento 2), junto con la prueba de que el formulario de alta requería la aceptación de la política de privacidad así como los términos y condiciones de Club Cocina Fácil (documento 3).
Por lo tanto, la autorización expresa del Titular para recibir comunicaciones comerciales, en este caso, por parte de un sponsor de Club Cocina Fácil (una página gratuita de recetas y foros en relación con Thermomix). Existe continuidad en la cadena contractual entre Club Cocina Fácil, como propietario de los datos, Rock Internet, como encargado del tratamiento que comparte con Club Cocina Fácil los ingresos de publicidad para apoyar la página web del mismo nombre y Axa Global Direct Seguros y Reaseguros, S.A.U. (en adelante, “Direct Seguros”) como anunciante que encargó el envío de campañas a Rock Internet.
Así pues, la existencia de consentimiento expreso (mediante un opt-in de aceptación de la política de privacidad) descarta la comisión de una infracción a la prohibición establecida en el Artículo 21…>> (el subrayado es de la AEPD). SEXTO: Notificado el acuerdo de inicio, DIRECT SEGUROS formuló alegaciones, significando que: <<…a) En el asunto que nos ocupa, el Sr. C.C.C. (en adelante, también el Denunciante) se dirige a AXA GLOBAL DIRECT y solícita “darse de baja de la base de datos y no recibir más información de las ofertas de AXA GLOBAL DIRECT”. b) Ante dicha petición, AXA GLOBAL DIRECT pone en marcha su operativa para peticiones de este tipo. Una vez analizada la solicitud, la primera de las cuestiones que AXA GLOBAL DIRRCT resuelve frente al interesado es la de acreditar la identidad del sujeto previa petición de la copia del DNI debido a que no la había aportado inicialmente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/24 c) Una vez confirmada la identidad del reclamante, y ante la doble petición de la misma, AXA GLOBAL DIRECT procede por un lado, a cancelar y consecuentemente bloquear los datos del interesado; y por otro, a señalar y marcar en sus sistemas internos la petición de oposición a la recepción de comunicaciones comerciales, tal y como ha quedado acreditado en el presente expediente (…)

(5)De la interpretación de las previsiones de la LOPD en relación con el derecho de oposición a la recepción de publicidad se puede distinguir dos formas distintas: por un lado, la remisión de una solicitud a la persona física o jurídica que utiliza los datos con fines publicitarios; y por otro, registrando los datos que no se desea que sean utilizados con dicha finalidad en un fichero de exclusión de publicidad. La primera de las modalidades es la que a criterio de esta parte se encuentra recogida en el cuestionado artículo 30.4 de la LOPD. En cuanto a la segunda, el artículo 49 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, es el que prevé la creación de ficheros comunes, de carácter general o sectorial, en los que se podrán registrar las personas que no deseen recibir comunicaciones comerciales. De lo anteriormente expuesto se infiere que el Denunciante optó por la primera de las vías señaladas y manifestó de forma concreta a AXA GLOBAL DIRECT su negativa u oposición al tratamiento de sus datos con fines de publicidad o prospección comercial, solicitud que, como se ha probado, fue debidamente atendida. Para esta parte el artículo cuya infracción se le atribuye viene a reconocer el denominado derecho de “opt-out’, o derecho a no recibir información con fines de publicidad o prospección comercial, derecho que AXA GLOBAL DIRECT entiende haber satisfecho, en todo momento, frente al Denunciante en tiempo y forma y a través de la marcación en los sistemas internos como “robinson”. Nótese que dicha referencia es a efectos de saber que no se le puede enviar información comercial pero no se trata de que dicho sujeto esté incluido en la Lista Robinson oficial (…) Prueba de ello, tal y como se ha aportado al expediente, es que AXA GLOBAL DIRECT ha insistido y solicitado a ROCK INTERNET la adopción de medidas tendentes a que las acciones llevadas a cabo por éste identificaran debidamente el origen o fuente de los datos y, en su caso, articulara los mecanismos necesarios para que el receptor de la comunicación fuera informado en relación a cómo y ante qué entidad ejercer los correspondientes derechos toda vez que se trataba de destinatarios con los que AXA GLOBAL DIRECT no tenía relación alguna (…)

f)y
h)del mismo al tratarse de un supuesto aislado…>> (el subrayado es de la AEPD). SÉPTIMO: Con fecha 2 de noviembre de 2015 se inició el período de práctica de pruebas. OCTAVO: Con fecha 18/12/2015 se formuló propuesta de resolución, en el sentido siguiente: • Que por la Directora de la Agencia Española de Protección de Datos se sancione a DIRECT SEGUROS con multa de 40.001 € (cuarenta mil un euros) por la infracción del artículo 30.4 de la LOPD, tipificada como grave en el artículo 44.3.
e)de dicha norma, de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. • Que por la Directora de la Agencia Española de Protección de Datos se sancione a D. B.B.B. con multa de 1.800 € (mil ochocientos euros) por la infracción del artículo 11 de la LOPD, tipificada como grave en el artículo 44.3.
k)de dicha norma, de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada LOPD. • Que por la Directora de la Agencia Española de Protección de Datos se sancione a ROCK con multa de 1.200 € (mil doscientos euros) por la infracción de los artículos 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
d)de dicha norma, de conformidad con lo establecido en el artículo 39 y 40 de la citada ley. NOVENO: Con fecha 18/01/2016 tiene entrada en esta Agencia escrito de alegaciones de DIRECT SEGUROS frente a la citada propuesta de resolución en el que comunica: <<…Por tanto, correspondería a ROCK INTERNET, como responsable exclusivo, el cumplimiento de las obligaciones necesarias para garantizar que el envío o envíos que realiza cumplen con la normativa aplicable. Si bien AXA GLOBAL DIRECT, aunque sea considerada como beneficiaria de la prospección comercial, no tiene responsabilidad en lo que respecta a la transmisión, distribución y promoción de las campañas contratadas con ROCK INTERNET y, por tanto entiende que no ha cometido la infracción que se le atribuye en la medida en la que la obligación de consulta de listas de exclusión y, en su caso, el uso de bases de datos adecuadas y conformes a la LOPD correspondería a ROCK INTERNET como responsable de las bases de datos que se emplean y responsable exclusivo de la programación de la campaña. ROCK INTERNET ha señalado que su sistema de información está preparado para incluir y utilizar listas de exclusión proporcionadas por los anunciantes pero no todos los anunciantes lo facilitan. Si eso fuera así, esta parte se cuestiona por qué ROCK C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/24 INTERNET no prevé tal circunstancia en sus contratos. En cualquier caso, cabe entender que dicha previsión afectaría a aquellos casos en los que las bases de datos empleadas por ROCK INTERNET fueran titularidad y responsabilidad de los clientes de ROCK INTERNET para evitar que estos recibieran información no deseada; pero no a aquellos casos en los que la responsabilidad y el tratamiento de la base de datos corresponda a ROCK INTERNET que debería garantizar el uso de base de datos que respeten lo previsto en el LOPD y, en su caso LSSI, en lo que respecta al envío de comunicaciones comerciales (…) AXA GLOBAL DIRECT únicamente se centra en facilitar el contenido publicitario a ROCK INTERNET y, en todo caso, adoptar las cautelas necesarias para asegurarse que la actuación del prestador de servicios sea conforme a derecho y, en concreto, conforme a lo previsto en la normativa de protección de datos. Tal y como se ha aportado al expediente, AXA GLOBAL DIRECT, en cumplimiento de lo previsto en el contrato suscrito entre ambas entidades, ha insistido y solicitado a ROCK INTERNET la adopción de medidas tendentes a que las acciones llevadas a cabo por éste identificaran debidamente el origen o fuente de los datos y, en su caso, articulara los mecanismos necesarios para que el receptor de la comunicación fuera informado en relación a cómo y ante qué entidad ejercer los correspondientes derechos toda vez que se trataba de destinatarios con los que AXA GLOBAL DIRECT no tenía relación alguna (…) En relación a la graduación de la sanción y atendiendo a las circunstancias señaladas, cabe tener en cuenta, la aplicación de los criterios previstos en los artículos 45.4 y 5 de la LOPD, sobre los que AXA GLOBAL DIRECT, a la luz de lo señalado en el presente escrito, quiere realizar las siguientes manifestaciones: Esta parte no desconoce que la imposición de la sanción en su cuantía más baja es de la libre y discrecional aplicación de la Agencia a la vista de las circunstancias concurrentes en cada caso concreto. No obstante, el examen de la praxis de la Agencia a través de sus resoluciones sancionadoras, por una parte, y la consolidación de ciertos criterios jurisprudenciales en la Audiencia Nacional, por otra, permiten entender que, ante casos análogos al que ahora nos ocupa, es muy frecuente que la Agencia haga uso de la facultad que le concede el citado artículo 45 LOPD. No tiene constancia esta parte, y nada se ha fijado al respecto en el procedimiento, acerca de que el Denunciante haya podido sufrir perjuicios derivados de la recepción de los correos electrónicos. De igual modo, AXA GLOBAL DIRECT quiere resaltar aún más si cabe que la señalada y supuesta infracción del artículo 30.4 de la LOPD no le ha supuesto beneficio alguno ni económico ni reputacional y que se trata de un único caso concreto sin que sea reincidente (…) Por todo ello, atendiendo a lo señalado, se entiende que actúan como atenuantes los criterios de las letras a),
b)e),
f)
g)y
h)del artículo 45.4 de la LOPD. La concurrencia de los criterios señalados atenuaría, en todo caso, la posible culpabilidad del imputado o antijuricidad del hecho, lo cual permitiría la aplicación del artículo 45.5 de la LOPD. Los argumentos expuestos justifican a tenor de esta parte la aplicación de los criterios de los referidos apartados 4 y 5 del artículo 45 de la LOPD, especialmente en relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/24 con el último precepto cuya motivación precisamente radica en evitar que se impongan sanciones de elevados importes por la comisión de infracciones que no guardan proporcionalidad ninguna con la sanción. De ahí que se inste a que la cuantía de la multa que se imponga se debería graduar atendiendo a la concurrencia de los referidos criterios y lo señalado en el presente escrito a favor de AXA GLOBAL DIRECT con una sanción inferior a la prevista dado de ahí que se inste a la Agencia para que valore la diligencia seguida y adoptada por AXA GLOBAL DIRECT frente a su proveedor, y frente al propio Denunciante, y cuantifique la sanción final en una cifra que se gradúe de forma proporcional atendiendo a lo previsto en el presente escrito. Al respecto quiere esta parte resaltar la desproporcionalidad que ha apreciado en la fijación de las cuantías de las sanciones propuestas para cada una de las partes intervinientes en el caso que nos ocupa, toda vez que, como ha quedado probado, la actuación de dichas entidades no ha sido conforme a la normativa aplicable y su responsabilidad no es menor que la de AXA GLOBLA DIRECT. En este sentido cabe señalar las Resoluciones de la Agencia (R/01644/2011 y R/00542/2011) en las que la vulneración del artículo 30.4 de la LOPD tipificada como grave fue sancionada con cantidades inferiores, tales como 5.000€ y 3.000€ respectivamente…>> DECIMO: Con fecha 25/01/2016 tiene entrada en esta Agencia escrito de ROCK de alegaciones frente a la citada propuesta de resolución en la que comunica, entre otros:<<…No obstante, en aras de economía procesal y en atención a la moderación aplicada en la Propuesta de Resolución, Rock Internet no considera conveniente oponerse a la imposición propuesta…>> HECHOS PROBADOS PRIMERO: Con fecha de 23 de abril de 2015 tiene entrada en esta Agencia escrito del denunciante, manifestando que el 4 de febrero de 2015 envió un correo electrónico adjuntando copia de su DNI a DIRECT SEGUROS solicitando que le dieran de baja en sus bases de datos y no recibir más información de sus ofertas. El 13 de febrero de 2015 recibe un correo electrónico del denunciado en el que le confirman que se ha procedido al borrado de sus datos. A pesar de lo relatado ha recibido correos electrónicos con posterioridad, todos ellos dirigidos a la cuenta D.D.D. (folios 1 a 8, 13 a 19). SEGUNDO: DIRECT SEGUROS recibió el 19 de enero de 2015 un correo electrónico del denunciante desde su dirección D.D.D. solicitando la baja de la base de datos y no recibir más información de sus ofertas. Tras serle solicitada al denunciante copia de su DNI, la solicitud de cancelación fue resuelta mediante notificación fechada el 5 de febrero de 2015 enviada al denunciante (folio 5, 114 a 119). El denunciante figura marcado en los sistemas de información con una marca C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/24 que indica que no se le deben de remitir comunicaciones comerciales desde la fecha 13 de febrero de 2015 (folio 120). TERCERO: DIRECT SEGUROS contrató el 5 de noviembre de 2014 con ROCK, la realización de una campaña publicitaria por correo electrónico en la que el origen de los datos de los destinatarios es ROCK. ROCK en el Acta de Inspección de 18/08/2015 ha comunicado que: “El sistema de información de ROCK está preparado para incluir y utilizar listas de exclusión proporcionadas por los anunciantes pero no todos los anunciantes las facilitan. En el caso que nos ocupa DIRECT SEGUROS no facilitó ninguna lista de exclusión propia” (folio 180). CUARTO: El denunciante recibió en su cuenta de correo D.D.D. correos electrónicos en fechas 3, 17 y 18 de marzo así como 17 de abril de 2015. Los mismos contenían información comercial referente a servicios y productos de DIRECT SEGUROS. Incluían un enlace mediante el cual puede solicitarse la baja de la lista de destinatarios. La mayor parte de los envíos, aunque no todos, incluyen en su pie un texto que identifica la fuente de los datos (folios 6 a 8). QUINTO: Para el desarrollo de su actividad ROCK firma contratos con proveedores de datos cuyas bases de datos integra con la propia. Durante la inspección realizada a ROCK se constató que en la base de datos de ROCK los datos del denunciante tienen como origen el proveedor denominado “clubcocinafacil” y que están marcados de baja desde el 24 de julio de 2015. El 25 de agosto de 2014 ROCK firmó un contrato con D. B.B.B., en representación de CARIBENET (presunto nombre comercial) para la cesión de una base de datos obtenidos a partir del sitio web www.clubcocinafacil.com. Durante la inspección realizada a ROCK se pudo comprobar que actualmente la base de datos proporcionada por CARIBENET está compuesta por un total de 95.961 registros (folios 180 a 183). SEXTO: El sitio web www.clubcocinafacil.com tiene un formulario de registro de usuarios. Para completar el alta de usuario es necesario aceptar la política de privacidad del sitio web. Al acceder el 6 de agosto de 2015 desde esta Agencia se comprueba que en relación al uso que se dará a los datos de los usuarios registrados se informa de que: “Nuestro sistema de registro e usuarios podrá ceder dichos datos de los usuarios registrados a terceros para su explotación comercial a empresas dedicadas al marketing, telemarketing y otros servicios de internet como Mail Marketing. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/24 Se podrán dar a terceras partes datos globales y estadísticas anónimas sobre el registro de usuarios pero en ningún caso estos datos podrán identificar personalmente al usuario registrado por terceras partes...” (el subrayado es de la AEPD). Así mismo D. B.B.B. www.clubcocinafacil.com (folio 139). se identifica como editor del sitio web Los datos del denunciante que constan en la base datos de D. B.B.B. y que fueron comunicados a ROCK incluyen, entre otros:  correo electrónico  nombre y primer apellido  fecha de registro  dirección IP de registro (folio 221). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.1.
g)en relación con el artículo 36 de la LOPD, así como en el artículo 43.1 de la LSSI. II En primer lugar debe analizarse la presunta infracción del artículo 30.4 de la LOPD que se imputa a DIRECT SEGUROS al no acreditar el traslado de la solicitud de oposición al envío de publicidad efectuada por el denunciante, a la entidad ROCK con las que contrató el envío de publicidad objeto de denuncia. Señala el art. 6 de la LOPD que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo)… “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/24 datos personales y a saber de los mismos. Asimismo hay que tener en cuenta el poder de disposición de revocación del titular de los datos, sin que se pretenda otorgar a tal revocación efectos retroactivos En el presente caso se valora un supuesto de tratamiento de datos personales para fines publicitarios y de prospección comercial, con previa oposición del titular de los mismos para tales fines. Así las cosas, el art. 30.4 de la LOPD relativo a tratamientos con fines de publicidad y de prospección comercial dispone que: “4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.” El artículo 48 del citado Reglamento establece: “Ficheros de exclusión del envío de comunicaciones comerciales. Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlo y adoptar las medidas necesarias que eviten el envío de publicidad. Así mismo el artículo 50.2 del citado Reglamento, establece: “Si el derecho se ejercitase ante una entidad que hubiera encargado a un tercero la realización de una campaña publicitaria, aquélla estará obligada, en el plazo de diez días, desde la recepción de la comunicación de la solicitud de ejercicio de derechos del afectado, a comunicar la solicitud al responsable del fichero a fin de que el mismo otorgue al afectado su derecho en el plazo de diez días desde la recepción de la comunicación, dando cuenta de ello al afectado.” En el presente caso, ha quedado acreditado que el denunciante recibió correos de publicidad de productos de DIRECT SEGUROS, tras haber solicitado la oposición a recibir publicidad de dicha entidad y aun cuando dicha compañía de seguros dejó constancia de dicha solicitud en sus sistemas (listas de exclusión propias), sin embargo no ha probado la adopción de medidas, en concreto el traslado a ROCK de sus listas de exclusión propias, para que ésta no remitiera publicidad al denunciante, tal y como éste solicitó. No pueden ser tenidas en cuenta las alegaciones a la propuesta de resolución, por cuanto el art. 43 de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley…” En el art. 3.
d)de la citada LOPD se define como Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. A la vista del contenido de la publicidad remitida, de captación de clientes o de contratación de nuevos productos por parte de sus clientes “Si contratas tu nuevo seguro de coche en DIRECT te hacemos hasta un 60% de descuento” es claro que DIRECT SEGUROS, como responsable del tratamiento, debería haber trasladado a ROCK su propio fichero de exclusión del envío de comunicaciones comerciales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/24 (regulado por el art. 48 del Reglamento de Desarrollo de la LOPD), con independencia de que ROCK tuviese que filtrar también el fichero de destinatarios de la publicidad con los ficheros comunes de exclusión del envío de comunicaciones comerciales (regulados por el art. 49 del citado Reglamento). III La conducta acreditada de DIRECT SEGUROS se concreta en no atender al deseo del denunciante de que sus datos personales no se utilizaran para el envío de comunicaciones comerciales, esto es, con fines de prospección comercial. Lo que parece escapar al “poder de disposición y de control sobre los datos personales” que señala el Tribunal constitucional como elemento delimitador del derecho fundamental a la protección de datos. (STC 292/2000). El artículo 44.3.
e)de la LOPD dispone: “Son infracciones graves: (…)
e)El impedimento o la obstaculización del ejercicio de los derechos de acceso y oposición y la negativa a facilitar la información que sea solicitada.” IV En cuanto a la cesión resulta aplicable lo previsto en el artículo 45.1.
b)del Real Decreto 1720/2007, que señala: “Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (…)
b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad.” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. En el presente caso y teniendo en cuenta el contenido de la política de privacidad de la cláusula informativa, de D. B.B.B. donde se informaba solamente: “… Nuestro sistema de registro e usuarios podrá ceder dichos datos de los usuarios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/24 registrados a terceros para su explotación comercial a empresas dedicadas al marketing, telemarketing y otros servicios de internet como Mail Marketing…” El art. 11 apartados 1 y 3 de la LOPD disponen: “Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado (…) 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar.” El artículo 44.3.
k)de la citada Ley Orgánica, tipifica como infracción grave “La comunicación o cesión de datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. Por todo ello se considera que D. B.B.B. no tenía consentimiento para el tratamiento de los datos del denunciante con fines comerciales, al no indicar los sectores respecto de los que podrían recibir publicidad, tampoco para su cesión a ROCK, por cuanto la cláusula informativa no informaba los sectores específicos y concretos de actividad de las empresas a las que podían ser cedidos, ni tampoco de la finalidad ya que aunque pudiera deducirse que la finalidad era publicitaria, se trataría de una finalidad genérica no determinada al no indicar los sectores. Teniendo en cuenta la cláusula informativa de recogida de datos, ha quedado acreditado que la cesión de los datos del denunciante por parte de D. B.B.B. a la entidad ROCK constituye una cesión sin consentimiento del titular de los mismos. V En cuanto a la infracción del artículo 21.1 de la LSSI que se imputa a ROCK debe comenzarse por recordar que actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/24 El artículo 21 de la LSSI, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, establece que: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” De esta forma, la LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
h)de la LOPD que define el “consentimiento del interesado” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/24 como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Como se indica en el Fundamento IV la información facilitada en la cláusula informativa no cumple con las exigencias de protección de datos para que pueda considerarse que existe un consentimiento válidamente otorgado. Por lo que la entidad ha incumplido el art. 21 de la LSSI VI El artículo 45 de la LOPD, apartados 1, 2, 4 y 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
a)El carácter continuado de la infracción.
b)El volumen de los tratamientos efectuados.
c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
d)El volumen de negocio o actividad del infractor.
e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
f)El grado de intencionalidad.
g)La reincidencia por comisión de infracciones de la misma naturaleza.
h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/24
d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Teniendo en cuenta la ausencia de intencionalidad y de reincidencia acreditada en el presente procedimiento, así como las alegaciones de DIRECT SEGUROS: <<…DIRECT ha insistido y solicitado a ROCK INTERNET la adopción de medidas tendentes a que las acciones llevadas a cabo por éste identificaran debidamente el origen o fuente de los datos y, en su caso, articulara los mecanismos necesarios para que el receptor de la comunicación fuera informado en relación a cómo y ante qué entidad ejercer los correspondientes derechos toda vez que se trataba de destinatarios con los que AXA GLOBAL DIRECT no tenía relación alguna (…)

(11)En relación con la aplicación del artículo 45.4 de la LOPD, cuya motivación precisamente radica en evitar que se impongan sanciones de elevados importes por la comisión de infracciones que no guardan proporcionalidad ninguna con la sanción. Tal precepto legal debe aplicarse al supuesto que analizamos, ya que ha quedado plenamente acreditado que AXA GLOBAL DIRECT actuó totalmente de buena fe y en la confianza absoluta de que estaba procediendo con estricto cumplimiento de la normativa aplicable, adoptando todas las medidas a su alcance para garantizar y salvaguardar los intereses del Denunciante (…) Al respecto quiere esta parte resaltar la desproporcionalidad que ha apreciado en la fijación de las cuantías de las sanciones propuestas para cada una de las partes intervinientes en el caso que nos ocupa, toda vez que, como ha quedado probado, la actuación de dichas entidades no ha sido conforme a la normativa aplicable y su responsabilidad no es menor que la de AXA GLOBLA DIRECT. En este sentido cabe señalar las Resoluciones de la Agencia (R/01644/2011 y R/00542/2011) en las que la vulneración del artículo 30.4 de la LOPD tipificada como grave fue sancionada con cantidades inferiores, tales como 5.000€ y 3.000€ respectivamente…>> Teniendo en consideración, que todos los envíos realizados incluían un enlace mediante el cual podía solicitarse la baja de la lista de destinatarios y que la mayor parte de los envíos, aunque no todos, incluían en su pie un texto que identifica la fuente de los datos. Y que sin embargo, a pesar de ello, el denunciante solicitó la cancelación al beneficiario de la publicidad, sin hacer referencia o trasladando copia de los correos que estaba recibiendo. Por todo ello procede imponer a DIRECT SEGUROS la sanción en su cuantía de 7.400 €. Así mismo, teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD, en especial la falta de intencionalidad, que es persona física, así como haber reconocido la responsabilidad, por todo ello, procede imponer a D. B.B.B. una sanción de 1.000 euros. VII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/24 Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “

f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. El concepto de comunicación comercial, de acuerdo con la definición recogida en el Anexo f), párrafo primero de la LSSI, engloba todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. Por otro lado, la LSSI en su Anexo
a)define “Servicio de la Sociedad de la Información” como “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios”. Añade el referido apartado que el envío de comunicaciones comerciales es un servicio de la sociedad de la información, siempre que represente una actividad económica. Según el apartado
d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” A su vez, la definición de prestador del servicio se contiene en el apartado
c)del mencionado Anexo, que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/24 por un tercero y sin contraprestación económica. VIII Descrito el marco normativo aplicable a las comunicaciones comerciales remitidas a través de medios electrónicos, hay que dilucidar si los mensajes comerciales recibidos por el denunciante, remitidos por ROCK y conteniendo información comercial referente a servicios y productos de DIRECT SEGUROS, cumplía las exigencias recogidas en el artículo 21.1 de la LSSI. Así, y en lo que se refiere al incumplimiento de la prohibición prevista en el artículo 21.1 de la LSSI, en el presente supuesto ha quedado acreditado que los mencionados envíos publicitarios fueron remitidos sin mediar el consentimiento previo y expreso del destinatario del mismo por cuanto, en la recogida de los datos personales del denunciante y debido al contenido de la cláusula informativa de la web de D. B.B.B., no se habilitaba la cesión de dichos datos. Por lo tanto, cabe concluir que ROCK, a pesar del contrato suscrito con D. B.B.B. ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI al enviar un correo electrónico de tipo comercial al denunciante sin contar con la autorización expresa o solicitud previa del mismo para ello, y sin que quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 al haber quedado justificada la inexistencia de una relación contractual previa entre remitente y destinatario del envío en cuestión. IX El artículo 38.4.
d)de la LSSI califica como infracción leve “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave.” En el presente caso, la infracción del artículo 21.1 de la LSSI que se imputa a ROCK ha de calificarse como infracción leve, toda vez que la remisión de 4 mensajes comerciales, no puede calificarse como envío insistente o sistemático de comunicaciones comerciales por medios electrónicos, tal y como requiere el artículo 38.3.
c)de dicha norma para constituir infracción grave. X A tenor de lo establecido en el art. 39 de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 €, estableciéndose los criterios para su graduación en los artículos 39 bis y 40 de la misma norma, en su redacción dada por la disposición final segunda de la Ley 9/2014, de 9 de mayo, de Telecomunicaciones, que dispone: Artículo 39 bis Moderación de sanciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/24 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador, por dicho incumplimiento. Artículo 40 Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
a)La existencia de intencionalidad.
b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
d)La naturaleza y cuantía de los perjuicios causados.
e)Los beneficios obtenidos por la infracción.
f)Volumen de facturación a que afecte la infracción cometida.
g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/24 Teniendo en cuenta los criterios de graduación de las sanciones recogidos en los artículos 39 bis y 40. En especial, el apartado
a)la valoración de la intencionalidad en relación con el apartado
d)en cuanto a los perjuicios causados, procede imponer a la entidad ROCK una sanción en la cuantía de 1.200 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad AXA GLOBAL DIRECT SEGUROS Y REASEGUROS, S.A.U., por una infracción del artículo 30.4 de la LOPD, tipificada como grave en el artículo 44.3.
e)de la LOPD, una multa 7.400 € (siete mil cuatrocientos euros), de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada LOPD. SEGUNDO: IMPONER a D. B.B.B. por una infracción del artículo 11 de la LOPD, tipificada como grave en el artículo 44.3.
k)de la LOPD, una multa 1000 € (mil euros), de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada LOPD. TERCERO: IMPONER a la entidad ROCK INTERNET, S.L., por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
d)de dicha norma, una multa de 1.200 € (mil doscientos euros) de conformidad con lo establecido en el artículo 39 y 40 de la citada ley. CUARTO: NOTIFICAR la presente resolución a AXA GLOBAL DIRECT SEGUROS Y REASEGUROS, S.A.U., D. B.B.B., ROCK INTERNET SL, y a D. C.C.C.. QUINTO: Advertir a los sancionados que las sanciones impuestas deberán hacerlas efectivas en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si reciben la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/24 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.