PS-00515-2013

1/13 Procedimiento Nº PS/00515/2013 RESOLUCIÓN: R/00006/2014 En el procedimiento sancionador PS/00515/2013, instruido por la Agencia Española de Protección de Datos a la entidad SEARCH TASK S.L.U, vista la denuncia presentada por A.A.A. ( GLOBEIDON SL ), y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 8 de julio de 2013 tiene entrada en esta Agencia un escrito de A.A.A. ( GLOBEIDON SL ) en el que declara: Ha recibido en su dirección de correo electrónico info@..........., comunicaciones comerciales remitidas por la empresa SEARCH TASK S.L.U., aunque el contenido de la información en algunos de ellos es de otras empresas. El denunciante aporta copia de los correos recibidos con fechas 5 de mayo, 9 de mayo, 16 de mayo, 2 de junio, 21 de junio y 27 de junio de 2013. Así mismo, aporta copia de 16 correos comerciales recibidos a su dirección ...........@gmail.com y también un correo recibido desde la misma dirección en su dirección ...........@lanochedemadrid.com, todos ellos han sido remitidos desde la dirección ..........@schatask.com, en los meses de abril, mayo y junio de 2013. Respecto a su dirección ...........@lanochedemadrid.com manifiesta que desconoce como lo ha obtenido la empresa denunciada ya que pertenece a un proyecto de página web que todavía no está en funcionamiento. El denunciante manifiesta que contrato con la citada empresa el servicio de generar contactos interesados en los servicios de la empresa del denunciante, para lo cual SEARH TASK S.L.U., manifestó contar con una extensa base de datos. Aporta copia de la factura emitida por la citada empresa a nombre de la empresa del denunciante GLOBEIDON S.L. por el concepto de “Alquiler BBDD”, así como del contrato correspondiente. El denunciante manifiesta que SEARCH TASK S.L.U. no tiene inscrito en el Registro General de Protección de Datos ningún fichero que pudiera corresponder con el fichero que contrató y que en los correos recibidos de la empresa se indica que la información se ha obtenido de “Ficheros Públicos”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad SEARCH TASK S.L.U., teniendo conocimiento de los siguientes extremos: SEARCH TASK S.L.U. ha remitido a esta Agencia en su escrito de fecha 10 de septiembre de 2013, información y documentación en relación con los hechos denunciados, de la que se desprende: 1. Las direcciones de correo electrónico del denunciante ...........@gmail.com e info@........... fueron facilitadas a la empresa por el titular de las mismas, el cual C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 solicitó los servicios de SEARCH TASK S.L.U. mediante un correo electrónico de fecha 27 de marzo de 2013, remitido desde la dirección ...........@gmail.com, del que aportan copia, y en el que el denunciante manifiesta su intención de contratar con la empresa y facilita sus páginas web fernandodamian.com y asesormutidivisa.com. 2. Respecto a la dirección de correo ...........@lanochedemadrid.com. manifiestan que fue facilitado por el denunciante de forma verbal. 3. En relación con la Base de Datos, manifiestan que contiene información de cuentas de correo de empresas y que se ha elaborado a partir de directorios de empresas y fuentes públicas. Por tanto, todos los datos que contiene son relativos a personas jurídicas y por tanto consideran que no estarían sometidos a la LOPD. TERCERO: Con fecha 30 de septiembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador SEARCH TASK S.L.U, con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal,, por la presunta infracción del artículo 21 de la LSSI, tipificada como grave en el artículo 38.3

1. c)de la citada Ley. CUARTO: Notificado el citado Acuerdo de inicio, SEARCH TASK S.L.U presentó alegaciones en las que señaló que la dirección de coreo info@........... fue proporcionada por el titular de la misma fruto de la relación contractual mantenida consistente en la elaboración de una campaña de publicidad alquilando la bbdd de carácter empresarial, sin contener datos sometidos a la LOPD. El cliente proporciona el correo electrónico ...........@gmail.com. Y participo activamente en la campaña y fijación de los parámetros. QUINTO: En fecha 18/10/2013, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, en el que se realizó. I.Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. ( GLOBEIDON SL ) y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante SEARCH TASK S.L.U., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04380/2013. II.Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00515/2013 presentadas por SEARCH TASK S.L.U., y la documentación que a ellas acompaña. III.Incorporar como prueba documental la impresión de pantalla del sitio web www.searchtask.es en concreto su aviso legal. IV.Solicitar a SEARCHTASK documentación respecto del servicio contratado por la entidad del denunciante, y explicación de las obligaciones que cada parte C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 asumía. V.Solicitar la copia de la base de datos utilizada para los envíos donde se contengan las direcciones info@......................@gmail.com y ...........@lanochedemadrid.com VI.Solicitar explicación de los procedimientos de actualización de la base de datos, periodos de vigencia y procedimientos de oposición ejecutados. SEXTO: En fecha de 11/12/2013 SEARCHTASK, SLU formulo alegaciones señalando que existió relación contractual previa con el denunciante. Participando activamente éste en la campaña comercial fijando parámetros de la misma, siendo responsable d la misma de acuerdo con el art. 46 RDLOPD. Por otro lado sí figura la dirección de correo ...........@gmail.com en la bbdd utilizada siendo un error que no se incluyo en el primer envío a la AEPD. OCTAVO: De las actuaciones practicadas en el presente procedimiento han quedado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 08/04/2013 SEARCHTASK factura un servicio de Alquiler de Base de Datos a GLOBEIDON, S.L. de cuyas condiciones se deduce que los contactos son seleccionados por SEARCHTASK, (Folio 13, 14). La dirección de correo info@........... es utilizada para las comunicaciones relativas al servicio contratado. (Folios 138-146) DOS.- La documentación que concreta el servicio prestado por SEARCHTASK a GLOBEIDON, S.L. no recoge previsión alguna respecto de la posibilidad de utilizar los datos de correo electrónico para envío de comunicaciones comerciales. (133-137) TRES.- En fechas de 05/05/2013 ( Folio 26), de 09/05/2013 ( Folio 30-33),, de 16/05/2013 ( Folio 34-37), de 02/06/2013 ( Folio 38-41), de 21/06/2013 ( Folio 42-45), de 27/06/2013 ( Folio46-49, se remitieron comunicaciones comerciales que ofrecían productos de terceros, desde una dirección de correo de SEARCHTASK cuyo destinatario era info@............ CUATRO.- En fechas de de 9, 17, 18, 25, 26 y 28 de abril de 2013 (Folios 50-67), las enviadas en fechas 9, dos el 12, 16, 17 y 30 de Mayo de 2013 (folios 68-86) y las enviadas en fechas de 2, dos el 6, 7 de junio de 2013 (Folios 87-99) se remitieron comunicaciones comerciales que ofrecían productos de terceros, desde una dirección de correo de SEARCHTASK cuyo destinatario era ...........@gmail.com. CINCO.- En fecha de 30/06/2013 (Folio 100-102), se remitió una comunicación comercial que ofrecía productos de una tercera empresa desde una dirección de correo de SEARCHTASK cuyo destinatario era ...........@lanochedemadrid.com. SEIS.- Se ha encontrado en la base de datos, que según manifiesta SEARCHTASK se utilizo para los envíos comerciales antes citados, el registro de la dirección de correo info@..........., no hallándose las direcciones ...........@lanochedemadrid.com., C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 ...........@gmail.com. (Folios 218 a 221) SIETE.- En el sitio web de SEARCHTASK consta información respecto del cumplimiento de la LSSI (Folio 156), y señala expresamente (…) Contamos con las mejores y más completas base de datos en permanente actualización (…) (folio 214) FUNDAMENTOS DE DERECHO I La competencia para sancionar por la comisión de las infracciones tipificadas en el artículo 38.4.
2. d)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. La LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. La Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), modificada por la Directiva 2009/136/CE del Parlamento Europeo y del Consejo, de 25 de noviembre, introdujo en el conjunto de la Unión Europea el principio de “opt in”, es decir, la necesidad de contar con el consentimiento previo del destinatario para el envío de comunicaciones electrónicas con fines comerciales. De este modo, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
3. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
4. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
5. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
6. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
7. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario”. Dicha definición se refiere, tal y como se expresa en el Considerando 17 de la citada Directiva 2000/31/CE del parlamento Europeo y del Consejo, de 8 de junio, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior (Directiva sobre el comercio electrónico), a “cualquier servicio prestado normalmente a título oneroso, a distancia, mediante un equipo electrónico para el tratamiento (incluida la comprensión digital) y el almacenamiento de datos, y a petición individual de un receptor de un servicio”, añadiendo que estos servicios cuando “no implica tratamiento y almacenamiento de datos no están incluidos en la presente definición”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional, y, además, ha de realizarse dicha comunicación en los términos que señala el Considerando 17 de la Directiva 2000/31/CE. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
8. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV SEARCHTASK sostiene en sus alegaciones que la base de datos utilizada corresponde a personas jurídicas y por tanto excluidas de la LOPD. Sin embargo debe recordarse que en el presente caso se está analizada la adecuación a la LSSI de los envíos comerciales por medios electrónicos. Llegados a este punto conviene señalar que no pueden aplicarse las excepciones a la aplicación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 la LOPD, tanto objetivas como subjetivas, a los supuestos que protege la LSSI. Es decir, ésta se aplica tanto a personas físicas como a jurídicas, pues se protege el destinatario de comunicaciones comerciales, y a su vez tampoco pueden aplicarse las excepciones a la prestación del consentimiento que recoge el art. 6.2 de la LOPD, para la autorización previa y expresa que requiere el art. 21 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 Por tanto, no sería de aplicación la exención del consentimiento cuando los datos a tratar estuvieran en Fuentes Accesibles al Público, de acuerdo con el art. 3 j LOPD, y en última instancia no tienen tal consideración las páginas web de internet. En este sentido el Servicio Jurídico de esta Agencia emitió el Informe 3420/2008, que señala que: (…) Ambas definiciones tienen una enumeración taxativa respecto a lo que cabe considerar como fuentes accesibles al público, lo que impide que consideremos a las páginas web como fuentes accesibles al público. Por ello, para tratar la información contenida en dichas páginas debería de obtenerse el consentimiento de los afectados.(…) Por lo que resulta irrelevante a los efectos de cumplir los requisitos del art. 21 de la LSSI, que las direcciones destinatarias de las comunicaciones comerciales analizadas fueran de personas jurídicas o que estuvieran accesibles en sitios web de la red internet. En este sentido conviene traer a colación la SAN 371/2012 de 23/07/2013: Agregaba por otra parte la resolución recurrida que la constancia de las direcciones electrónicas de las empresas en la red Internet no habilita para utilizarlas para el envío de comunicaciones comerciales, salvo que se den los supuestos del artículo 21 de la Ley de Servicios de la Sociedad de la Información. Es decir, que una entidad puede tener su dirección de correo electrónico en una web a los efectos de “contacto” y fundamentalmente para ofrecer sus productos y actuar en el tráfico jurídico, pero que «ello no implica una autorización ad limitum para ser receptora de publicidad, pues precisamente ese derecho a no recibir comunicaciones comerciales por medios electrónicos es el que protege el artículo 21 de la Ley de Servicios de la Sociedad de la Información». Pues bien, procede desestimar el recurso por esta primera razón impugnatoria, dado que, en efecto, la legitimidad de la posesión de los datos por parte de una concreta empresa no obsta a la posterior necesidad del recabado de un consentimiento específico para la remisión de comunicaciones comerciales. Así se obtiene del art. 21.1 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico: «Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas». La desestimación del recurso por el fundamento que se acaba de analizar debe llevarnos también a la misma consecuencia con respecto a la afirmación de la obtención de aquella información (los datos de la empresa) de una fuente accesible al público (la página web de la denunciante). Y es que, con independencia de que se trate o no en efecto de una fuente accesible al público en los términos del art. 6.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, lo cierto es que aquella obtención pudiera legitimar, sin expreso consentimiento, el tratamiento de los datos de que se trate, pero no hacerlo con la remisión de comunicaciones comerciales. Esto entraña una actividad singular y diferente, que es requerida de consentimiento autónomo por el art. 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico. La recurrente, en otro momento, destacaba el hecho de que la destinataria de su correo de comunicación comercial era una persona jurídica y no otra física. Aunque el argumento alegatorio no termina de ser perfilado, parece que tras él lata la idea de que las personas jurídicas no son destinatarias y protegidas por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 Sin embargo procede desestimar el recurso con este fundamento, dado que el artículo 19 de la Ley de Servicios para la Sociedad de la Información remite a la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal «en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales», pero de ellos no se obtiene una permisión generalizada de remisión de comunicaciones comerciales a las personas jurídicas, que contravendría de modo evidente la prohibición contenida en el art. 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico. No comparte la Sala, por otra parte, que el propio vocablo contenido en la dirección de correo electrónico de la empresa destinataria (info(fsites.com) indique su disposición generalizada a la recepción de comunicaciones comerciales sin autorización, pues la “información” a la que allí se alude es la que se produce desde la empresa titular del correo hacia sus propios clientes, no en dirección inversa.” (El subrayado es de la Agencia Española de Protección de Datos) V En el presente supuesto, ha quedado acreditado que SEARCHTASK envió varios correos electrónicos de contenido comercial a las direcciones de correo info@........... ...........@gmail.com y ...........@lanochedemadrid.com, procediéndose al análisis diferenciado. Respecto de la primera dirección de correo, SEARCHTASK manifiesta que fue proporcionada por el denunciante en ejecución del servicio que se le estaba prestando, aportado para su acreditación diversas comunicaciones internas, y la factura del servicio cuyo concepto es Alquiler BBDD. Conviene señalar que a requerimiento de esta Agencia, se solicito a SEARCHTASK que explicara en qué consistía la prestación del servicio cuyo concepto se cita ut supra, para analizar si del mismo se extraía la legitimación de SEARCHTASK para el envío de posteriores comunicaciones comerciales por medios electrónicos de acuerdo con el art. 21 de la LSSI. Sin embargo la entidad denunciada tan solo aporto documentos que ya obraban en el expediente Con estos elementos de juicio no puede establecerse la legitimación de SEARCHTASK para el envío de comunicaciones comerciales por medios electrónicos de acuerdo con la LSSI, que requiere autorización previa y expresa o la existencia de una relación comercial previa de servicios similares a los ofrecidos en las comunicaciones objeto de valoración, y es en este punto donde se centra el análisis, cuyo resultado es que no puede ampararse SEARCHTASK en el servicio contratado para el posterior envío de correos publicitarios, que promocionan servicios de terceras entidades, por mucho que aquella entienda acreditada la relación comercial previa, tal como aduce en las alegaciones formuladas a la Propuesta de Resolución. A saber, si el servicio contratado es el alquiler de BBDD para campañas publicitarias no puede legitimar las comunicaciones de 05/05/2013 ( Folio 26), de 09/05/2013 ( Folio 30-33),, de 16/05/2013 ( Folio 34-37), de 02/06/2013 ( Folio 38-41), de 21/06/2013 ( Folio 42-45), de 27/06/2013 ( Folio46-49), pues incluso ofrece productos de terceras empresas, con las que obviamente no existía relación comercial previa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 Respecto de la dirección de correo ...........@gmail.com, SEARCHTASK no ha justificado que tuviera el consentimiento previo y expreso para el envío de comunicaciones comerciales ni que existiera una relación comercial previa de servicios similares a los ofrecidos, pues el contenido de buena parte de los mensajes es publicidad de terceras entidades. Manifiesta la entidad denunciada que la citada dirección de correo fue proporcionada voluntariamente por el denunciado, no obstante lo anterior, sin perjuicio de la ausencia de prueba de tal manifestación, y admitiéndolo a efectos puramente dialecticos, no puede extraerse el cumplimiento de los supuestos que recoge el art. 21 LSSI, por el mero hecho tener la dirección en sus sistemas. (SAN 371/2012 de 23/07/2013 “la legitimidad de la posesión de los datos por parte de una concreta empresa no obsta a la posterior necesidad del recabado de un consentimiento específico para la remisión de comunicaciones comerciales.(…) Es decir, se puede haber obtenido la dirección de correo de forma licita pero eso no legitima para el envío de comunicaciones comerciales tales como las enviadas en fechas de 9, 17, 18, 25, 26 y 28 de abril de 2013 ( Folios 50-67), las enviadas en fechas 9,dos el 12, 16, 17 y 30 de Mayo de 2013 ( folios 68-86) y las enviadas en fechas de 2, dos el 6, 7 de junio de 2013 ( Folios 87-99). SEARCHTASK aporto copia de la base de datos que se utilizo para los envíos analizados, sin embargo se realizo búsqueda sin encontrarse el registro de dicha dirección. (Folio 221), a este respecto en las alegaciones formuladas a la Propuesta de Resolución, la entidad denunciada aporta extracto de la base de datos en la que si consta dicha dirección. Pues bien, sin perjuicio de la cuestionable autenticidad e integridad de dicho documento, resulta irrelevante tal circunstancia. Es decir, admitiendo a efectos puramente dialecticos que efectivamente constara la dirección en dicha base de datos, no puede establecerse la legitimación para el envió de comunicaciones comerciales, ni de la propia SEARCHTASK, y menos aun, de terceras entidades, tal como se señala en la Sentencia trascrita ut supra. Respecto de la dirección de correo ...........@lanochedemadrid.com , y el envío de comunicación comercial de fecha 30/06/2013 (Folio 100-102) merece idénticas consideraciones (SAN 371/2012 de 23/07/2013), pues SEARCHTASK no ha justificado que tuviera el consentimiento previo y expreso para el envío de comunicaciones comerciales ni que existiera una relación comercial previa de servicios similares a los ofrecidos. SEARCHTASK aporto copia de la base de datos que se utilizo para los envíos analizados, sin embargo se realizo búsqueda sin encontrarse el registro de dicha dirección. (Folio 220). Por otra parte, respecto de la participación del denunciante en la campaña publicitaria encargada, y la aplicación del art. 46 del RDLOPD, tal como señala SEARCHTASK en las alegaciones formuladas a la Propuesta de Resolución, conviene señalar que resulta irrelevante a los efectos valorados en el presente expediente sancionador, pues podría tener virtualidad si la denuncia la realizara un tercero respecto de publicidad remitida, no por medios electrónicos. Sin embargo en el caso analizado es del denunciante el receptor de comunicaciones comerciales por medios electrónicos enviadas por SEARCHTASK, de productos propios y de terceras entidades, debiendo centrarse el debate en la acreditación de los supuestos que permite el art. 21 de la LSSI, para la recepción de tales comunicaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 En definitiva, SEARCHTASK remitió 6 comunicaciones comerciales a la primera cuenta de correo, 17 comunicaciones comerciales a la segunda cuenta de correo, y 1 comunicación a la tercera cuenta de correo, incumpliendo lo dispuesto en el art. 21 de la LSSI. VI De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, según su redacción aprobada por la por la disposición adicional octava de la Ley 59/2003, de 19 de diciembre, sobre normas reguladoras de la firma electrónica, en vigor desde el 21/03/2004, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
9. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente o el envío, en el plazo de un año, de más de tres comunicaciones comerciales por los medios aludidos a un mismo destinatario, cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
10. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o más de tres a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b), se producirá una infracción tipificable como grave a los efectos de la LSSI. El presente supuesto se ajusta al tipo de infracción establecido en el artículo 38.3
11. c)de la LSSI, calificado como infracción grave, al tratarse de más de tres comunicaciones comerciales al mismo destinatario en el plazo de un año. VII A tenor de lo establecido en el art. 39 de la LSSI, las infracciones graves podrán ser sancionadas con multa de 30.001 € hasta 150.000 € estableciéndose los criterios para su graduación en el artículo 40 de la misma norma que dispone: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
12. a)La existencia de intencionalidad.
13. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
14. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
15. d)La naturaleza y cuantía de los perjuicios causados.
16. e)Los beneficios obtenidos por la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13
17. f)Volumen de facturación a que afecte la infracción cometida”. Respecto de la intencionalidad y su conexión con el principio de culpabilidad, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. La Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
18. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. Por su parte, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible, y en la valoración del grado de dicha diligencia, ha de ponderarse especialmente la profesionalidad o no del sujeto, y en el presente caso no puede dejar de observarse que la entidad es conocedora de los mandatos de la LSSI, prueba de ello es que en su página web en concreto en su Aviso Legal, pretende obtener el consentimiento para el envío de comunicaciones comerciales por medios electrónicos, ( Folio 156) y por tanto se evidencia un conocimiento de las normas que regulan el sector y buena parte del objeto de actividad de la entidad, es las campañas de publicidad por medios electrónicos, o dicho de otro modo, a través del Email Marketing, lo que le hace tributaria del conocimiento de la norma que regula dicho sector, es decir la LSSI, por lo que ha de insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto ( STS de 5 de junio de 1998). Debe tenerse en cuenta que en el sitio web de SEARCHTASK consta la siguiente afirmación (…) Contamos con las mejores y más completas base de ato en permanente actualización(…) ante lo cual, y en aras a verificar la diligencia en el cumplimiento de la LSSI respecto a la verificación del consentimiento de los titulares de las direcciones de correo contenidas en dicha base de datos, se solicito expresamente que explicara los procedimientos de actualización y los procedimientos de gestión de bajas u oposición, sin que nada hubiera aportado al respecto.( Folio180 a 181) Asimismo debe tenerse en cuenta que se envían un total de veinticuatro comunicaciones comerciales, a distintas cuentas del denunciante, con contenido comercial de terceras entidades desde el mes de abril hasta finales del mes de junio de 2013, lo que de acuerdo al apartado
19. b)del art.40 LSSI, y la falta de diligencia observada, procede imponer una sanción en la cuantía de 40.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 PRIMERO: IMPONER a la entidad SEARCH TASK S.L.U., por una infracción del artículo 21 de la LSSI, tipificada como grave en el artículo 38.3
20. c)de la LSSI, una multa de 40.000 € ( cuarenta mil euros) , de conformidad con lo establecido en el artículo 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a SEARCH TASK S.L.U, y a A.A.A. ( GLOBEIDON SL ). TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es