PS-00508-2015

(2)de abril de 2015 desde la dirección ...@... invitándola a la inscribirse en diversos eventos organizados por dicha Escuela. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tiene conocimiento de los siguientes extremos: 1. Revisadas las cabeceras de Internet de los correos aportados se comprueba que en el campo Return Path figura: <*******=.......=Gmail.com@campus.......>. 2. Revisadas las copias de las comunicaciones comerciales aportadas por la denunciante, incluida una de fecha 27 de marzo de 2015, se constata que no incluyen una dirección de correo electrónico o una dirección electrónica válida para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 que el destinatario de las mismas pueda oponerse al uso de sus señas electrónicas con fines publicitarios. 3. Con fecha 9 de junio de 2015, se recibe en esta Agencia escrito de contestación al requerimiento de información efectuado a la entidad EAE INSTITUCION SUPERIOR DE FORMACION UNIVERSITARIA, S.L., (en adelante EAE), en el que se manifiesta que: 3.1. Que con fecha 8 de abril de 2015 se dio de baja la dirección de correo electrónico de GMAIL solicitada. 3.2. La denunciante sigue recibiendo comunicados de EAE a través de la cuenta ......@campus......., cuya baja no fue solicitada de forma específica por la afectada. Dicha dirección fue redireccionada por la denunciante a su correo personal. 3.3. Han procedido a dar de baja la dirección ......@campus........ TERCERO: Con fecha 24 de septiembre de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EAE INSTITUCION SUPERIOR DE FORMACION UNIVERSITARIA, S.L., por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 38.4.

1. d)de dicha norma, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1.
2. c)de la LSSI. CUARTO: Notificado el citado Acuerdo de inicio, EAE presentó alegaciones solicitando el archivo de las actuaciones practicadas con fundamento en las siguientes alegaciones: En primer lugar, señala que la solicitud de baja del correo .......@gmail.com se cursó en forma efectiva con fecha 8 de abril de 2015, siendo únicamente la denunciante responsable de que los mensajes denunciados se recibieran en esa cuenta en lugar de en la dirección de correo ......@campus....... a la que realmente se dirigieron, y a la que no afectaba la solicitud de baja de la denunciante. Prueba tal redirección la información obrante en los 51, 53 y 57 del propio expediente. Por lo que no puede apreciarse culpabilidad en el proceder de EAE respecto de la baja efectiva del correo electrónico al que se refería la solicitud de la denunciante. En segundo lugar, se defiende que los correos electrónicos enviados a la denunciante no responden al concepto de comunicación comercial contemplado en la LSSI. Se trata de comunicaciones sin ánimo comercial que no pretenden aumentar el número de alumnos o promocionar la venta de cursos o masters, sino que se refieren a actividades sin ánimo de lucro (conferencias, foros y encuentros) que pertenecen al ámbito de la relación y compromisos mantenidos por EAE con sus alumnos y exalumnos, motivo por el que no requieren ofrecer la posibilidad de darse de baja de la base de datos a los efectos contemplados en el artículo 21.2 de la LSSI. En el caso concreto de la denunciante, los correos le fueron remitidos como exalumna de EAE y por pertenecer a la Asociación de Antiguos Alumnos de la Institución, cuya misión y objetivos muestran el carácter no comercial de las actividades a las que se invita a sus miembros con carácter gratuito. Se mantiene que los mensajes objeto de estudio se reducen a cuatro, dado que dos son recordatorios que se integrarían en el principal y primero. Niegan el carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 comercial del mensaje de 27 de abril de 2015 invitando a participar en la campaña de donación de sangre en el Campus de Madrid por ser un acto solidario alejado de la actividad de EAE. Los otros tres mensajes responden al objetivo del Club Alumni de fomentar el desarrollo profesional de sus alumnos y exalumnos mediante invitaciones a conferencias y actos gratuitos. Se afirma que la denunciante únicamente ha demostrado la recepción del correo de 15 de abril y los dos del 27 de abril, uno de los cuales está referido a un acto solidario no comercial. Se defiende que al no perseguir la promoción de productos de EAE se entendió que no era necesaria la inserción de la leyenda que se incluye en los envíos que EAE considera comunicaciones comerciales, por lo que al interpretar que no se trataba de mensajes publicitarios se elimina la falta de diligencia debida en su conducta y, por tanto, el elemento de culpa necesario en derecho sancionador. En tercer lugar, de no atenderse tales alegaciones, EAE solicita que, subsidiariamente, se imponga la sanción mínima de las infracciones leves por producirse los supuestos
3. a)al
4. f)del artículo 40 de la LSSI, que concreta en falta de intencionalidad teniendo en consideración que no se incluyó un mecanismo de baja por interpretar, erróneamente, que no se trataba de comunicaciones comerciales; la infracción se produjo en el espacio temporal comprendido entre el 13 y el 27 de abril de 2015; falta de reincidencia en la comisión de la infracción; falta de constancia de perjuicios más allá de los ocasionados por la comisión de la infracción ; ausencia de beneficios como consecuencia de la misma y ausencia de impacto económico en el volumen de facturación de EAE al no tener una finalidad comercial. QUINTO: En fecha 21 de octubre de 2015, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, en el que se acordó practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante EAE y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03035/2015. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00508/2015 presentadas por EAE y la documentación que a ellas acompaña. 3. Solicitar a EAE remisión de la siguiente información y/o documentación: - Copia del contenido íntegro del documento de inscripción correspondiente a los eventos mencionados en los envíos de fechas 13, 15, 16, 20 y 27

(2)de abril de 2015, cuya copia fue remitida en la solicitud de información remitida por esta Agencia con fecha 21 de mayo de 2015 en el marco de las actuaciones previas de inspección E/03035/2015. - Acreditación de que la totalidad de los reseñados correos se dirigieron a la cuenta ......@campus......., así como que la dirección de correo .......@gmail.com está dada de baja en su lista de distribución desde el 8 de abril de 2015. - Remisión de los términos y condiciones aceptados por la denunciante al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 inscribirse en la Asociación de Antiguos Alumnos de EAE respecto de los envíos calificados por esa Institución como comunicaciones comerciales y comunicaciones sin ánimo comercial. 4. Solicitar a la denunciante la siguiente documentación e información: - Remisión de las cabeceras completas de Internet correspondientes a cada uno de los correos objeto de denuncia que le fueron remitidos por EAE con fechas 13, 15, 16 y 20 de abril de 2015. - Aclaración de si el correo electrónico ......@campus....... estaba redireccionado a la cuenta de correo .......@gmail.com con anterioridad o desde el 8 de abril de 2015. miembro de - Remisión de los términos y condiciones aceptados por usted como la Asociación de Antiguos Alumnos de EAE. SEXTO: Con fecha 11 de noviembre de 2015 se registra de entrada contestación de la denunciante confirmando que la cuenta ......@campus....... estaba redireccionada a la cuenta de correo .......@gmail.com, circunstancia que no sabía al presentar la denuncia. Señala que acompaña las cabeceras de los correos requeridas e indica que aunque desconoce los términos y condiciones de la Asociación de Antiguos Alumnos de EAE no puede asegurar que en su día no le hubieran expuesto correctamente dichos témrinos. Con fecha 13 de noviembre de 2015 EAE presento escrito acompañado de copia del contenido íntegro de los documentos de inscripción de los eventos a los que se referían los correos enviados a la denunciante. Asimismo, se indica que no pueden mandar las invitaciones dirigidas a la denunciante porque solo se conservan durante tres meses, sugiriéndose que sea la denunciante quien acredite la cuenta de destino de los correos objeto de denuncia, que según EAE era ......@campus....... , añadiendo que a través del mail de cancelación de datos remitido a la denunciante el 8 de abril de 2015 ya ha quedado acr3editada la baja de la cuenta de GMAIL antes reseñada. Afirman que no pueden mandar los términos y condiciones aceptados por la denunciante al inscribirse en la Asociación de Antiguos Alumnos de EAE porque en abril de 2010, fecha en que se matriculó, no los había. SÉPTIMO: Con fecha 11 de diciembre de 2015 se formuló propuesta de resolución en proponiendo la imposición por parte de la Directora de la de la Agencia Española de Protección de Datos de una sanción de 3.000 € a EAE INSTITUCION SUPERIOR DE FORMACION UNIVERSITARIA S.L., por la comisión de una infracción del artículo 21.2 de la LSSI, tipificada como leve en el artículo 38.4.

1. d)de dicha Ley. Notificada la Propuesta de Resolución con fecha 17 de diciembre de 2015, no costa que dicha Institución haya ejercido su derecho a formular alegaciones a la misma en el plazo indicado a tal efecto en dicho acto. HECHOS PROBADOS PRIMERO: Con fecha 30 de marzo de 2015, Doña A.A.A., en adelante la denunciante, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 remitió desde la dirección de correo electrónico .......@gmail.com una comunicación a la cuenta ...@... solicitando que eliminaran su correo electrónico de la lista de distribución de EAE. (folio 7) SEGUNDO: También con fecha 30 de marzo de 2015, la denunciante remitió desde el correo electrónico .......@gmail.com una comunicación a la cuenta B.B.B.<...1@...> solicitando la baja de su dirección de correo .......@gmail.com de la lista de distribución de EAE. En esta petición se hacía constar que “No he encontrado en su email ningún enlace o cuenta de correo mediante la cual cursar mi baja” (folios 4 y 25). TERCERO: Con fecha 8 de abril de 2015, la denunciante recibió en su cuenta de correo electrónico .......@gmail.com un envío desde la cuenta de correo ...@... confirmando la baja solicitada. (folio 7 ) CUARTO: Con fecha 14 de abril de 2015 la denunciante reitero la solicitud de baja enviando un nuevo correo electrónico a la dirección de correo ...@... desde la cuenta .......@gmail.com (folios 8 y 59) QUINTO: La denunciante recibió en la cuenta de correo electrónico ......@campus....... cinco correos electrónicos comerciales invitándola a inscribirse en diversos eventos organizados por EAE remitidos desde la dirección ...@.... Dichas comunicaciones, que no ofrecían a su destinataria ningún mecanismo para oponerse a la recepción de nuevos envíos comerciales en sus señas electrónicas, fueron remitidas con fechas 13, 15, 16, 20 y 27 de abril de 2015. (folios 7, y 9 a 15 y 201 al 211) El mensaje de fecha 13 de abril de 2015 promocionaba la celebración de una conferencia de Management sobre análisis de redes para una estrategia de negocio a celebrar el 21 de abril (folios 9 y 209 al 211 ) El mensaje de fecha 15 de abril de 2015 promocionaba la celebración de una webimar sobre negociación salarial a celebrar el 23 de abril (folios 15, 207 y 208 ) El mensaje de fecha 16 de abril de 2015 recordaba la celebración el día 21 de abril de una conferencia de Management sobre análisis de redes para una estrategia de negocio (folios 12, 204 al 206 ) El mensaje de fecha 20 de abril de 2015 recordaba la celebración de una webimar sobre negociación salarial a celebrar el 23 de abril (folios 11, 53 y 54, 201 a 203 ) El mensaje de fecha 27 de abril de 2015 invitaba a una sesión de Coaching titulada “Los ladrones del tiempo” a celebrar el 8 de mayo (folios 14, 56 al 58) SEXTO: La denunciante ha indicado que la cuenta de correo electrónico ......@campus....... estaba redireccionada a la cuenta de correo .......@gmail.com. (folio 200) SÉPTIMO: La denunciante contrató en abril de 2010 en un Master impartido por EAE (folios 197 al 199) FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
2. d)e
3. i)y 38.4 d),
4. g)y
5. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II En cuanto a la infracción del artículo 21.1 y 2 de la LSSI debe comenzarse por recordar que actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la LSSI, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, establece que: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” De esta forma, la LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
6. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
7. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 “
8. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. El concepto de comunicación comercial, de acuerdo con la definición recogida en el Anexo f), párrafo primero de la LSSI, engloba todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. Por otro lado, la LSSI en su Anexo
9. a)define “Servicio de la Sociedad de la Información” como “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios”. Añade el referido apartado que el envío de comunicaciones comerciales es un servicio de la sociedad de la información, siempre que represente una actividad económica. Según el apartado
10. d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” A su vez, la definición de prestador del servicio se contiene en el apartado
11. c)del mencionado Anexo, que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
12. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 Con carácter previo a la valoración de si EAE ha incumplido lo dispuesto en el artículo 21.2 de la LSSI, y descrito el marco normativo aplicable a las comunicaciones comerciales remitidas a través de medios electrónicos, hay que analizar la alegación de la citada entidad referida a que los envíos denunciados no son correos electrónicos comerciales, habida cuenta que su finalidad no es vender masters o cursos, sino cumplir con uno de los principales objetivos del Club Alumni fomentando a través de conferencias, foros y encuentros el desarrollo profesional de sus alumnos y exalumnos. Frente a dicho alegato, y sin perjuicio de que los cinco mensajes se refieran a actividades cuya asistencia o participación es gratuita, no cabe duda que todos ellos promocionan directamente la imagen de la Institución remitente de los mismos e indirectamente asuntos y servicios que son objeto de la actividad académica y empresarial de EAE. Prueba de ello es que los objetivos de la Asociación de Antiguos Alumnos de la entidad en cuyo marco se remitieron dichos mensajes son los siguientes, todos ellos relacionados directa o indirectamente con el tipo de formación académica impartida por EAE y objeto de su actividad económica: (folios 160, 161, 173) “1. Facilitar la actualización de conocimientos y potenciar el desarrollo continuo de competencias por parte de los alumnos y antiguos alumnos. 2. Fomentar el networking entre todos sus miembros a través de conferencias, seminarios, foros o desayunos de trabajo organizados de manera periódica 3. Apoyar el desarrollo y la orientación de la carrera profesional de alumnos y antiguos alumnos. 4. Dar a conocer y apoyar la misión de EAE: formar profesionales capaces de liderar de manera sostenible organizaciones de todos los ámbitos, mediante programas que combinen de forma rentable contenidos prácticos y servicios centrados en el participante 5. Promover el conocimiento de EAE en el entorno empresarial”. A la vista de dichos objetivos, esta Agencia entiende que los cinco mensajes enviados a la denunciante detallados en el número 5 del Antecedente de Hecho Séptimo constituyen, con independencia de que dos de ellos sean recordatorio de otros anteriores, una forma directa de publicitar y potenciar la imagen de la Institución y un medio indirecto de promocionar sus servicios de formación entre sus antiguos alumnos, siendo irrelevante que no haya masters específicos relacionados con los temas concretos objeto de las conferencias y sesiones organizadas por EAE, las cuales, en todo caso, guardan relación con el tipo de actividad académica desarrollada por esa entidad. Además, no cabe duda que el mantenimiento de la relación con los antiguos alumnos fomenta su condición de potenciales clientes de nuevos cursos y masters impartidos por la entidad. En definitiva, dadas las características y contenido de los cinco envíos remitidos por EAE a la denunciante, y sin perjuicio de se hayan llevado a cabo en el marco de la relación mantenida con sus antiguos alumnos, puede afirmarse que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 ajustan al amplio concepto de comunicación comercial recogida en el apartado
13. f)del Anexo de la LLSI, cuya transcripción figura en el anterior Fundamento de Derecho. En congruencia con lo expuesto, resulta de aplicación al caso estudiado lo previsto en el artículo 21 de la LSSI respecto de las comunicaciones comerciales por medios de comunicación electrónica, como en este caso en que los envíos se realizaron por correo electrónico. V Justificado que nos encontramos frente al envío de cinco comunicaciones comerciales conviene resaltar que, de las actuaciones practicadas, ha quedado probado que dichos mensajes se dirigieron a una cuenta de correo electrónico diferente de la que fue objeto de solicitud de baja por la denunciante. En relación con este particular resaltado por EAE, hay que destacar que la propia denunciante ha reconocido que tenía redireccionada la cuenta de correo ......@campus....... a la que se remitieron los mensajes denunciados a la dirección de correo .......@gmail.com . En consecuencia, no puede considerarse que la remisión de los reseñados envíos haya conculcado la prohibición de remitir comunicaciones comerciales sin mediar autorización previa y expresa de sus destinatarios recogida en el artículo 21.1 de la LSSI. Así, ha quedado acreditado que los envíos publicitarios recibidos por la denunciante desde EAE respondían a la relación que mantenía como antigua alumna de la Institución, y que cuando, con fecha 30 de marzo de 2015, se opuso a que siguiesen enviándole mensajes en la cuenta de correo electrónico de GMAIL, dicha entidad atendió la solicitud de baja con fecha 8 de abril de 2015, sin perjuicio de que continuo remitiendo comunicaciones comerciales a otra cuenta de correo electrónico titularidad de la denunciante que los redireccionaba a la cuenta de GMAIL. Sentado lo anterior, procede analizar si EAE cumplió, en su condición de prestador de servicios de la sociedad de la información, la previsión recogida en el segundo y tercer párrafo del artículo 21.2 de la LSSI de ofrecer al destinatario de los mensajes comerciales la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante el ofrecimiento de un procedimiento sencillo y gratuito incluido en cada uno de los envíos dirigidos al mismo. En este caso, dado que las comunicaciones se habían remitido por correo electrónico, dicho mecanismo debía consistir en el ofrecimiento de una dirección electrónica válida o una dirección de correo electrónico a través de la que poder ejercitarse este derecho, quedando prohibido el envío de comunicaciones comerciales que no incluyan dicha dirección. En este supuesto, de la documentación aportada por la denunciante y de las propias alegaciones de la entidad imputada, que ha manifestado que no incluyeron un mecanismo de baja al interpretar que no eran correos comerciales, se evidencia que EAE ha incumplido esta formalidad específica establecida en la LSSI para garantizar el derecho de los destinatarios de este tipo de envíos a no recibir comunicaciones de naturaleza comercial por vía electrónica o equivalente, toda vez que en las cinco comunicaciones comerciales estudiadas no se ha incluido ninguno de los procedimientos de oposición citados en el tercer apartado del artículo 21.2 de la LSSI. En consecuencia, de lo expuesto con anterioridad, ha quedado probado que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 entidad imputada ha incurrido en la infracción del artículo 21.2, párrafos segundo y tercero, de la LSSI, al no dar cumplimiento a la obligación establecida en el mismo en su calidad de prestador de servicios de la sociedad de la información remitente de los cinco correos electrónicos comerciales remitidos a la denunciante con fechas 13, 15, 16, 20 y 27 de abril de 2015. VI Una vez acreditada la comisión de los hechos imputados, procede valorar el alegato de EAE defendiendo la ausencia del elemento subjetivo de culpabilidad en su conducta debido a que no se incluyó un mecanismo de baja en los envíos al interpretarse que no se trataba de mensajes publicitarios. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo, así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. En esta línea, el Tribunal Supremo (STS 16/04/91 y STS 22/04/91) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23/01/98). En el mismo sentido la Audiencia Nacional en Sentencia de fecha 14 de febrero de 2007, Recurso nº 195/2005, señalaba en cuanto a la falta de culpabilidad alegada por la recurrente lo siguiente, criterio que resulta de aplicación en este supuesto en lo que se refiere a la falta de diligencia mostrada por EAE al no ofrecer a la denunciante un procedimiento de baja en cada uno de los envíos remitidos a la afectada: ”En el presente caso, no puede basarse la exculpación frente a un comportamiento típicamente antijurídico (tal como resulta de la simple lectura del precepto aplicado por la resolución) con la invocación de ausencia de culpa sino que es preciso que se haya empleado la diligencia que era exigible por quien aduce su inexistencia (STS 23.1.98), y si bien no se puede hablar en el expediente administrativo de que el hecho se cometiese dolosamente con plena intención, es lo cierto que su realización pone de manifiesto una evidente negligencia o falta de celo en el cumplimento de la norma. La Jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus sentencias de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 Constitucional (después de su STC 76/1990) destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y prohibición de exceso (artículo 25.1 CE), o de la exigencias inherentes a un Estado de Derecho, y requieren la existencia de dolo o culpa. Precisamente el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia, sin que esta simple inobservancia pueda ser entendida, por la razón antes indicada, como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva. Las exigencias derivadas del principio de culpabilidad se traducen en la necesidad de exigir una especial diligencia a las entidades gestoras de los datos, y en el caso de autos dicha diligencia faltó desde el momento en que (…) remitió un correo electrónico con destinatario múltiple sin comprobar que los destinatarios ó habían solicitado la información remitida ó habían consentido en la utilización de sus correos electrónicos para estos fines.” El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor, etc. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. En el mismo sentido, el Alto tribunal viene entendiendo que en la valoración del grado de dicha diligencia, ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda que, en el caso ahora examinado, cuando la entidad denunciada utiliza en el desarrollo de su actividad los medios de comunicación electrónica para el envío de comunicaciones comerciales, ha de insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto ( STS de 5 de junio de 1998). La alegación de un error de interpretación en la naturaleza exacta de los envíos como justificante del motivo por el que no se ofreció un procedimiento de baja no elimina la falta de culpa en su conducta, puesto que tal interpretación genera responsabilidad a título de culpa cuando produce daños a los titulares de otros bienes jurídicos como, en el caso presente, es el derecho a no recibir comunicaciones comerciales por medios electrónicos que no contengan un medio de oposición a la recepción de nuevos mensajes comerciales en las señas electrónicas del destinatario. Lo que dota al presente caso de especial antijuricidad y excluye el error sin culpa de la entidad denunciada Sobre este particular conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En este orden de ideas, esta Agencia considera que a la entidad imputada le era exigible otra conducta diferente de la que observó, puesto que si bien no puede acreditarse una conducta dolosa por parte de EAE, si puede establecerse responsabilidad en la comisión de la infracción imputada a título de culpa, al no constar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 en el procedimiento que esa Institución desplegase, con anterioridad a la realización de los envíos denunciados, la diligencia y el deber de cuidado que le eran exigibles para asegurarse de la naturaleza exacta de dichos correos electrónicos, y adaptarlos a los requisitos establecidos por la LSSI en el caso de ser comerciales. VII Todo lo expuesto lleva a considerar la existencia del elemento subjetivo de culpabilidad en la conducta de EAE en el ilícito administrativo imputado, ya que la conducta imputada responde a una acción típica, antijurídica, culpable y punible que constituye vulneración al artículo 21.2 de la LSSI por parte EAE. Dicha conducta encuentra su tipificación en el artículo 38.4.
14. d)de dicha norma, que califica como infracción leve: “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave.” En el presente caso, la infracción del artículo 21.2 de la LSSI que se imputa a EAE ha de calificarse como infracción leve, toda vez que la remisión de cinco mensajes comerciales a la dirección ......@campus....... de la denunciante sin incluir un procedimiento de baja en los mismos no puede calificarse como de insistente o sistemática. VIII A tenor de lo establecido en el artículo 39.1.
15. c)de la LSSI las infracciones leves podrán sancionarse con multa de hasta 30.001 €, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma, cuyo tenor literal es el siguiente: “Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
16. a)La existencia de intencionalidad.
17. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
18. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
19. d)La naturaleza y cuantía de los perjuicios causados.
20. e)Los beneficios obtenidos por la infracción.
21. f)Volumen de facturación a que afecte la infracción cometida.
22. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En relación con los criterios de graduación de las sanciones recogidos en el transcrito artículo 40 de la LSSI, y en cumplimiento del principio de proporcionalidad dispuesto en el artículo 131 de la LRJ-PAC, y partiendo de la vinculación y uso habitual por parte de EAE de los medios de comunicación electrónica con fines C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 publicitarios, causa por la que debe ser especialmente conocedora de las exigencias recogidas en la normativa que regula las comunicaciones comerciales por medios de comunicación electrónica, se considera que en este supuesto actúan como agravantes los criterios
23. a)y
24. b)del mencionado artículo 40 de la LSSI. Así, aunque no ha existido intencionalidad en la conducta de la entidad imputada, si se ha producido una falta de diligencia por su parte al no adoptar las cautelas necesarias que le resultaban exigibles en razón de su profesionalidad para comprobar, con anterioridad a la remisión de las comunicaciones comerciales analizadas que incluían una direccion electrónica válida o un correo electrónico para poder oponerse a la recepción de este tipo de envíos comerciales como exige la LSSI. Igualmente, opera como agravante el criterio b), puesto que un plazo de 15 días comprendido entre el 13 y el 27 de abril de 2015 se remitieron a la denunciante un total de cinco comunicaciones comerciales sin ofrecer dicho mecanismo de baja. Paralelamente, se valoran como atenuantes los criterios d),
25. e)y
26. f)recogidos en el citado artículo 40 de la LSSI, y ello ante la falta de constancia tanto de que la denunciante haya sufrido perjuicios diferentes de los derivados de la comisión de la citada infracción, como que EAE haya obtenido beneficios o algún impacto en su volumen de facturación con motivo de la comisión de la infracción del artículo 21.2 de la LSSI. Por lo tanto, al haber quedado acreditado el elemento subjetivo de culpabilidad por parte de la entidad imputada en la comisión de la infracción imputada, se estima adecuado a la gravedad de los hechos analizados imponer a EAE una sanción de 3.000 €. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a EAE INSTITUCION SUPERIOR DE FORMACION UNIVERSITARIA S.L., por una infracción del artículo 21.2 de la LSSI, tipificada como leve en el artículo 38.4.
27. d)de la LSSI, una multa de 3.000 € (Tres mil euros), de conformidad con lo establecido en los artículos 39.1.
28. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a EAE INSTITUCION SUPERIOR DE FORMACION UNIVERSITARIA S.L. y a Doña A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es