← España

PS-00517-2014

1/23 Procedimiento Nº PS/00517/2014 RESOLUCIÓN: R/00182/2015 En el procedimiento sancionador PS/00517/2014, instruido por la Agencia Española de Protección de Datos a la entidad SYPNOSIS DISTRIBUCION INTEGRAL, S.A.U, vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 13 de mayo de 2014, tiene entrada en esta Agencia un escrito de Don A.A.A., (en adelante el denunciante), exponiendo que con fecha 7 de abril de 2014 recibió en su cuenta personal ...@... un correo electrónico no solicitado procedente de la dirección ...1@..., en el que se promocionaban los servicios de la empresa Sinopsys Distribución Integral, S.A.U. en el sector de la de la distribución de equipos técnicos para medios audiovisuales. El denunciante manifiesta no haber tenido nunca ninguna relación con la citada empresa ni con el firmante del envío denunciado (B.B.B.), persona que, según ha podido saber a través de Internet, desempeño en el pasado el cargo de Director Comercial de la empresa PROMOTORA DE VÍDEO, S.A., mercantil con la que existía una relación contractual. Con fecha 21 de julio de 2014, tiene entrada en esta Agencia un escrito del denunciante comunicando la recepción de tres nuevos envíos publicitarios en la cuenta ...@... remitidos desde la dirección info@......, de fechas 9 y 19 de mayo de 2014 y 13 de junio de 2014, sin mediar su autorización expresa para ello. Dichos envíos responden a los siguientes Asuntos: - Correo de fecha 9 de mayo de 2014: “Invitación Feria Broadcast 2014” - Correo de fecha 19 de mayo de 2014: “Marcas comercializadas por SDI” - Correo de fecha 13 cámaras de estudio” de junio de 2014: “Plan Renove de Ikegami para Los correos aportados no ofrecen una dirección de correo electrónico o dirección electrónica válida al destinatario de los mismos al objeto de poder oponerse al tratamiento de sus datos con fines publicitarios. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad SYPNOSIS DISTRIBUCION INTEGRAL, S.A.U, (en adelante SDI), recibiéndose con fecha 8 de julio de 2014 escrito del representante legal de la misma en el que, entre otros extremos, se pone de manifiesto que: 1. SDI es una compañía dedicada distribución de equipamientos audiovisuales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/23 2. RADIO CULTURAL, es una empresa de comunicaciones, que precisa de forma habitual equipamiento técnico audiovisual, por lo que al pertenecer al mismo sector se encuentra dentro de los posibles clientes de su empresa. 3. No existe relación comercial entre el denunciante y SDI. 4. Que dentro de las actividades comerciales de ambas sociedades resulta obvio que llegado un punto ambas se han encontrado. Tras revisar todos los archivos concluyen que la dirección de correo electrónico ...@... ha sido facilitada telefónicamente a sus comerciales por el propio interesado, figurando también un número de teléfono asociado a dicha cuenta. 5. El denunciante no se ha puesto en contacto con la entidad para ejercer su derecho de oposición a la recepción de envío de comunicaciones. 6. Los datos referidos al citado contacto comercial han sido borrados y anulados. TERCERO: Con fecha 19 de septiembre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SYPNOSIS DISTRIBUCION INTEGRAL, S.A.U. por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 38.4.

  1. d)de dicha norma, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1.
  2. c)de la LSSI. Notificado dicho acuerdo de inicio, con fecha 29 de septiembre de 2014 se persona en esta Agencia Don B.B.B. como persona autorizada por Don C.C.C., Administrador solidario de SDI, a los efectos de vista del expediente y obtención de copia del mismo, la cual le es entregada en dicho acto. CUARTO: Con fecha 9 de octubre de 2014, la representación legal de SDI presentó alegaciones solicitando el archivo del procedimiento sancionador por inexistencia de los hechos imputados, lo que fundamenta, en síntesis, en los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid - Afirma que existe un procedimiento gratuito y sencillo para cancelar los datos que figuran en sus ficheros que no ha sido utilizado por el denunciante. El procedimiento consiste en enviar desde la cuenta de correo a la que llegó la publicidad un correo electrónico a la dirección remitente de los envíos exponiendo su negativa a seguir permaneciendo en la base de datos de posibles clientes. Dicha solicitud es contestada mediante la remisión de un correo electrónico confirmando el borrado definitivo de la cuenta de correo de la lista de distribución. Se añade que el denunciante no ha solicitado la cancelación de sus datos. - Partiendo de que el director comercial de SDI y el denunciante se www.agpd.es sedeagpd.gob.es 3/23 conocían por centrar su actividad productiva en el mismo sector y por la relación comercial que habían mantenido entre ambos como director comercial, el primero, y como cliente, el segundo, de PROMOVISA, empresa de la que Don B.B.B. fue director comercial, se defiende que éste obtuvo los datos comerciales del propio afectado en el desarrollo de sus actividades profesionales en PROMOVISA, por lo que al obrar los mismos en su agenda personal de contactos éste se limitó a enviar un e-mail a todos sus clientes presentado el nuevo proyecto profesional que encabezaba en SDI. Se aduce que el procedimiento deriva del equívoco comportamiento y mala fe mostradas por el denunciante, quien en lugar de solicitar la cancelación de su contacto al recibir el primer e-mail procedió a agradecer la información recibida y a solicitar una información adicional al firmante sobre si trabajaba en PROMOVISA, lo que dio lugar a entender que estaba interesado en los productos de la empresa y al envío de las comunicaciones comerciales posteriores, para después, en contradicción con dicha conducta, denunciar ante la AEPD los hechos que originan el presente expediente a fin de perjudicar a SDI. Se afirma que aunque el denunciante entiende que su contacto pertenece a PROMOVISA y que el director comercial de SDI no tiene ningún derecho sobre los datos que el mismo le facilitó en el transcurso de su actividad comercial, SDI mantiene que los datos personales del afectado no fueron extraídos de ningún fichero de PROMOVISA ni tampoco han sido cedidos por dicha compañía, sino que obraban en poder de Don B.B.B. por el propio devenir de su experiencia profesional. - En aplicación del principio de presunción de inocencia, el denunciante debe aportar la prueba de cargo en la que se fundamenta la imputación de los hechos denunciados y acreditar la culpabilidad del imputado en tales hechos. SDI considera que “la conducta típica imputable en este expediente sancionador debe limitarse a sí el denunciante facilitó o no sus datos a Don B.B.B. , y a la presunta relación comercial existente entre ambas partes, puesto que el denunciante no ha aportado prueba alguna de la inexistencia de dicha relación, antes al contrario ha confirmado que conocía al remitente de dicho correo y que ambos con anterioridad al envío de los correos objeto del presente expediente, mantenían una relación comercial dentro del mismo sector productivo.” QUINTO: Con fecha 15 de octubre de 2014 se inició por la Instructora del procedimiento un período de práctica de pruebas en el que se acordó la práctica de las siguientes: 1. Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección en relación con SDI y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03270/2014. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00517/2014 presentadas por SDI y la documentación que a ellas acompaña. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/23 3. Solicitar a SDI la remisión de la siguiente información y/o documentación: - Especificación de la dirección de correo electrónico o dirección electrónica válida de baja habilitadas por esa empresa. - Motivo por el que en el texto de las comunicaciones no se indica la dirección de correo electrónico concreta a través de la cual poder oponerse o aparece un enlace que permita al destinatario de los envíos solicitar la baja. - Acreditación mediante cualquier forma de prueba válida en derecho de que el denunciante y Don D.D.D. se conocían y de que el primero facilitó al segundo sus datos en el marco de las relaciones comerciales mantenidas entre ellos, con expresión de la fecha exacta en que se produjo dicha comunicación de datos, la finalidad de la misma y que obraban en la agenda personal de contactos del Sr. D.D.D. por el propio devenir de su experiencia profesional y no por su relación profesional con PROMOVISA. - Acreditación mediante cualquier forma de prueba válida en derecho de que Don D.D.D. se despidió del denunciante vía e-mail desde PROMOVISA. - Causa por la que durante las actuaciones previas de inspección E/03270/2014 la representante de esa empresa indicó que los datos de la cuenta de correo del denunciante se obtuvieron vía telefónica y posteriormente se ha alegado que procedían del Sr. D.D.D. 4. Solicitar al denunciante contestación a los siguientes extremos con remisión, en su caso, de documentación o cualquier otro medio de prueba que acrediten sus manifestaciones: - Si con anterioridad a la recepción de los correos comerciales denunciados facilitó vía telefónica a la entidad SDI su cuenta de correo electrónico y el número de teléfono ***TEL.1 y si ha mantenido algún tipo de relación comercial con dicha empresa. - Si con anterioridad a la recepción de los correos comerciales denunciados ha tenido algún tipo de contacto personal con Don D.D.D. y si ha facilitado al mismo sus datos con fines publicitarios en el desarrollo de sus actividades profesionales en el mismo sector de actividad. SEXTO: Con fecha 16 de octubre de 2014 se registra de entrada en esta Agencia escrito del denunciante, presentado en el Servicio de Correos el 13 de octubre de 2014, en el que, en su condición de afectado e interesado en el procedimiento, conforme lo previsto en el artículo 31.1.
  3. c)de la LRJPAC, expone que RADIO CULTURAL no es una empresa de comunicaciones como SDI ha supuesto erróneamente en fase de actuaciones previas, sino que es el dominio de Internet al que pertenece la cuenta de correo del denunciante, quien es un trabajador por cuenta ajena que no realiza actividades profesionales asociadas a las comunicaciones. También niega haber mantenido ningún contacto con SDI ni haber facilitado su cuenta de correo electrónico y teléfono a dicha empresa, manteniendo que el Sr. D.D.D. es el presunto culpable de que tales datos hayan salido de PROMOVISA, empresa de la que si es cliente, al pasar de trabajar de una empresa a otra. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/23 El denunciante, al amparo de su condición de interesado, solicita lo siguiente: 1. Se tenga en cuenta en el procedimiento si PROMOVISA no ha custodiado adecuadamente los datos de sus clientes, de forma que el Sr. D.D.D. ha podido acceder libremente a los mismos, presuntamente, para llevárselos a su nueva empresa, vulnerándose el artículo 10 de la LOPD. 2. Que la AEPD compruebe si en PROMOVISA y en SDI se cumplen las medidas de seguridad de los datos y si disponen de Documento de Seguridad, ya que lo contrario sería constitutivo de infracción al artículo 9.1 de la LOPD y al artículo 8 del RD 994/1999. 3. Que la AEPD compruebe en qué fecha han quedado registrados los ficheros de datos personales de SDI en el Registro General de la misma, ya que si su inscripción es posterior a la denuncia sea producido un incumplimiento del artículo 26 de la LOPD, ya que la AEPD no ha tenido en cuenta en el inicio del procedimiento que en la fecha de la denuncia dichos ficheros no estaban registrados. SÉPTIMO: Con fecha 29 de octubre de 2014 se registra de entrada escrito de SDI especificando lo siguiente: - Que el correo ...1@... se utilizó al principio de la actividad para darse de baja hasta que estuvo operativo el correo info@...... . - Se reitera que en el texto de sus correos se expresa la dirección concreta a través de la cual solicitar la cancelación de los datos de los destinatarios de los envíos, conforme prueba el contenido del texto de su correo que transcriben y que no es otro que el del remitente. Independientemente de lo cual, afirman que se ha modificado dicho contenido, estableciendo en la actualidad un enlace para poder darse de baja. Indican que a la vista del e-mail de respuesta del denunciante carece de sentido la prueba relativa a que éste y el Sr. D.D.D. se conocían, puesto que el propio denunciante reconoce conocerlo en el marco de sus actividades profesionales. Como el denunciante alega que no conocía al Sr. D.D.D. debe ser quien acredite que esa relación no existía y no al contrario, siendo imposible acreditar lo requerido si no es mediante declaración de dicha persona, por lo que se propone la práctica de prueba documental consistente en dar por reproducida la presentada en el escrito, así como de la testifical consistente en tomar declaración al Sr. D.D.D. a fin de aclarar previo interrogatorio oportuno las dudas que le surjan a la instructora. - Se adjunta copia del e-mail de despedida enviado por el Sr. D.D.D.. - Respecto de la información facilitada en fase de actuaciones previas se señala que por la premura de tiempo para contestar no se pudo precisar lo realmente ocurrido, manifestándose en escritos posteriores según se ha recopilado la información. OCTAVO: Con fecha 4 de noviembre de 2014 el denunciante contestó la práctica de pruebas que le fueron requeridas reiterándose en que nunca ha facilitado a SDI su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/23 cuenta de correo electrónico o número de teléfono ni mantenido relación comercial alguna con dicha empresa, cuya existencia desconocía hasta la recepción del primer correo del Sr. D.D.D., persona con la que nunca ha mantenido contacto personal ni ha facilitado ningún dato. Añade que el sector de actividad del denunciante es la consultoría informática y no el sector audiovisual, lo que acredita mediante la presentación de certificado emitido por la directora de Recursos Humanos de la empresa en la que trabaja y del informe de su vida laboral en el que no constan empresas del sector audiovisual. Ante la sorpresa de que SDI o el Sr. D.D.D., cuenten con su número de teléfono móvil afirma que resulta posible que tengan sus datos de facturación y los de otros clientes de PROMOVISA que sean profesionales autónomos o particulares ajenos al sector audiovisual. NOVENO: Con fecha 18 de diciembre de 2014 se registra de entrada escrito de SDI indicando que se aporta copia del contenido de la inscripción de los ficheros de la empresa, si bien ésta no se presenta, incorporándose con fecha 8 de enero de 2015 por la Instructora Diligencia con impresión del resultado de los ficheros titularidad de esa entidad inscritos en el Registro General de Protección de Datos de esta Agencia. DÉCIMO: Con fecha19 de enero de 2015 se formuló propuesta de resolución en el sentido de por el Director de la Agencia Española de Protección de Datos se sancionase a la mercantil SYPNOSIS DISTRIBUCION INTEGRAL, S.A.U. con multa de 1.000 € (Mil euros) por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  4. d)de dicha norma. Dicha propuesta se notificó a la citada empresa y al denunciante con fecha 23 de enero de 2015. UNDÉCIMO: Con fecha 9 de febrero de 2015 se registra de entrada escrito de la representación de SDI reiterando la solicitud de archivo por inexistencia de la infracción imputada, ya que de la instrucción del expediente “no existe prueba documental alguna que fundamente que por parte de Don B.B.B. y el denunciante NO EXISTIERA UNA RELACIÓN COMERCIAL PREVIA”. Entienden que las sucesivas y contradictorias declaraciones del denunciante no pueden servir de base probatoria para imputar la infracción a SDI, ya que las manifestaciones efectuadas por SDI han desacreditado las siguientes afirmaciones alegaciones vertidas por el denunciante: 1) Inexistencia de relación comercial con Don B.B.B.; 2) Imposibilidad de darse de baja de los archivos de clientes de SDI y 3) Inactividad por parte del denunciante a la hora de comunicar a SDI la no inclusión de sus datos personales en los archivos de dicha sociedad. HECHOS PROBADOS PRIMERO: Con fechas 13 de mayo y 21 de julio de 2014 Don A.A.A., (en adelante el denunciante), formuló sendas denuncias poniendo de manifiesto, entre otros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/23 extremos, la recepción de comunicaciones comerciales no solicitadas publicitando servicios del sector audiovisual objeto de actividad de la empresa Sinopsys Distribución Integral, S.A.U. (en lo sucesivo SDI) (folios 1 al 12 y 22 al 27) SEGUNDO: El denunciante ha aportado copia de las siguientes comunicaciones comerciales recibidas en su cuenta de correo electrónico ...@...:: - Correo electrónico de fecha 7 de abril de 2014 procedente de la cuenta ...1@..., con asunto: “ Datos actualizados y presentación” . En este envío, firmado por Don B.B.B. en su condición de nuevo director comercial de SDI, situación que aprovecha para facilitar sus datos profesionales (cuenta de correo electrónico ...2@... e información de contacto de la empresa vía postal, telefónica y web), se promocionan los servicios de distribución del equipamiento de media, tanto profesional como de vídeo Broadcastat, prestados por la empresa remitente de la comunicación. (folios 5 al 7) - Correo de fecha 9 de mayo de 2014 procedente de info@...... , con asunto: “Invitación Feria Broadcast 2014” (folios 24 y 24 bis) - Correo de fecha 19 de mayo de 2014 procedente de info@......, con asunto: “Marcas comercializadas por SDI” (folios 25 y 25 bis) - Correo de fecha 13 de junio de 2014 procedente de info@......, con asunto: “Plan Renove de Ikegami para cámaras de estudio” (folios 26 y 26 bis) De todos los envíos, únicamente el primero está firmado por el citado Director Comercial de SDI, figurando en el pie de firma de los restantes el correo electrónico info@......, la denominación social de SDI, su dirección postal y número de teléfono y la dirección web de la misma. TERCERO: En la parte final de todos los envíos consta lo siguiente: ”Le informamos que su dirección de correo electrónico, así como el resto de los datos de carácter personal aportados, serán objeto de tratamiento automatizado en nuestros ficheros con la finalidad de gestionar la agenda de contactos de nuestra empresa y, para poder atender a sus peticiones de consulta por vía electrónica. Vd. podrá en cualquier momento ejercer el derecho de acceso, rectificación, cancelación y oposición en los términos establecidos en la Ley Orgánica 15/199 mediante notificación escrita con copia de DNI, a través de este e-mail.” Además, en el correo electrónico comercial de fecha 13 de junio de 2014 aparece junto a los datos de contacto “Si no quiere recibir más información pulse aquí”. La parte subrayada es un enlace. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/23 CUARTO: No consta que el denunciante haya utilizado el mecanismo de baja ofrecido en los envíos denunciados para manifestar su oposición a la recepción de los mismos. QUINTO: Con fecha 10 de abril de 2014 el denunciante, en respuesta al envío comercial recibido con fecha 7 de abril de 2014 dirigió un correo electrónico desde su cuenta de correo a “sdi” con el siguiente texto: (folio 11) “Buenos días. Gracias por la información D. Juan Carlos, pero discúlpeme una pregunta para que me ubique: ¿Usted trabajaba en Promovisa, no? Saludos cordiales. A.A.A..” Dicho envío fue contestado por Don B.B.B. el día 14 de abril de 2014 desde la cuenta de correo ...2@... en el siguiente sentido: (folio 9) “Hola A.A.A.: Si efectivamente trabaje en Promovisa durante los últimos 17 años, ahora inicio esta nueva andadura laboral, donde deseo contar con la misma confianza. En algún momento y durante estos últimos años estuvimos en contacto, y por te escribe dándote mis datos. Recibe un cordial saludo.” SEXTO: El denunciante ha indicado que durante el año 2013 adquirió, a título particular, dos artículos audiovisuales profesionales a la sociedad PROMOTORA DE VIDEO, S.A. (PROMOVISA), empresa en la que Don B.B.B. estaba ocupando en esas fechas el cargo de Director Comercia. (folios 81 y 93) SÉPTIMO: El denunciante niega haber facilitado su cuenta de correo electrónico o cualquier otro dato a SDI, empresa con la que afirma nunca ha mantenido una relación comercial. También ha manifestado que nunca ha mantenido ningún contacto personal con Don B.B.B. ni le ha facilitado ningún dato. (folios 81 y 92) OCTAVO: No ha existido relación contractual entre el denunciante y SDI. (folio 20) NOVENO: SDI ha comunicado a esta Agencia que los datos del denunciante sido borrados y anulados. (folio 20) C/ Jorge Juan, 6 28001 – Madrid habían www.agpd.es sedeagpd.gob.es 9/23 FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
  5. d)e
  6. i)y 38.4 d),
  7. g)y
  8. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II En el presente caso, hay que indicar que las modificaciones introducidas por Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones en la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, resultan de aplicación al presente expediente en virtud de la aplicación del principio de retroactividad de la norma sancionadora más favorable. Conforme al artículo 9.3 de la Constitución Española, “La Constitución garantiza (…) la irretroactividad de las disposiciones sancionadoras no favorables o restrictivas de derechos individuales”. Y en este sentido constante jurisprudencia ha mantenido el principio de retroactividad de la ley sancionadora más favorable. Destacamos así la Sentencia del Tribunal Constitucional 131/1986 de 29 de octubre que señala refiriéndose al principio de retroactividad de la ley penal más favorable “es que, además, dicho principio supone la aplicación íntegra de la ley más beneficiosa, incluidas aquellas de sus normas parciales que puedan resultar perjudiciales en relación con la ley anterior, que se desplaza en virtud de dicho principio, siempre que el resultado final, como es obvio, suponga beneficio para el reo, ya que en otro caso la ley nueva carecería de esa condición de más beneficiosa que justifica su aplicación retroactiva”. En esta misma línea el artículo 128.2 de la ley 30/1992, de 28 de noviembre, dispone: “Las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”, dado que, como señala el apartado 17 de su Exposición de motivos, es objeto de la misma la aplicación de "los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia". En aplicación del anterior criterio jurisprudencial procede aplicar de forma retroactiva el régimen sancionador de la LSSI introducido por la modificación anteriormente mencionada, al resultar éste en su conjunto más favorable que el vigente en el momento de la comisión de los hechos objeto de imputación. Por lo tanto, la competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
  9. d)e
  10. i)y 38.4 d),
  11. g)y
  12. h)de la vigente LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/23 III Con carácter previo al análisis del fondo del asunto analizado en el presente procedimiento sancionador conviene realizar una serie de observaciones en relación con algunas de las manifestaciones formuladas por el denunciante al personarse en el mismo. En primer lugar, en lo que se refiere al hecho de que el procedimiento únicamente se haya incoado contra SDI cuando la denuncia se interpuso también contra PROMOVISA y el Sr. D.D.D. como persona física relacionada con ambas sociedades, se ha de indicar que el denunciante no tiene “legitimación” ni “interés legítimo” en que se inicie un procedimiento sancionador contra las personas físicas o jurídicas denunciadas que, en su caso, conduzca al establecimiento de una sanción a la parte denunciada en base a los fundamentos jurídicos que se trascriben a continuación: El procedimiento sancionador constituye una de las manifestaciones del "ius puniendi" del Estado y, respecto de las competencias otorgadas a esta Agencia, se inicia siempre de oficio por el Director de la Agencia Española de Protección de Datos, de conformidad a lo previsto tanto en el artículo 122.2 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, como a lo previsto en el artículo 11.1 del Real Decreto 1398/1993, de 4 de Agosto, por el que se aprueba el Reglamento de Procedimiento para el Ejercicio de la Potestad Sancionadora, (en lo sucesivo REPEPOS), como así ha mantenido la Audiencia Nacional en sentencias como, entre otras, la dictada en marzo de 2006(REC 319/2004). Por tanto es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que han de ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, identificación de los posibles infractores, determinación de hechos imputados y su posible calificación, no existiendo obligación de iniciar procedimiento ante cualquier petición realizada por tercero, sino que la misma ha de basarse en la existencia de elementos que justifiquen dicho inicio de actividad sancionadora. Así lo establece el artículo 11.2 del citado Real Decreto 1398/1993, de 4 de Agosto, que es del tenor siguiente: "La formulación de una petición no vincula al órgano competente para iniciar procedimiento sancionador, si bien deberá comunicar al órgano que la hubiera formulado los motivos por los que, en su caso, no procede la iniciación del procedimiento. Cuando se haya presentado una denuncia, se deberá comunicar al denunciante la iniciación o no del procedimiento cuando la denuncia vaya acompañada de una solicitud de iniciación" Por otro lado debe recordarse que, para definir la condición de "interesado" para instar al ejercicio de la competencia sancionadora de esta Agencia, la STS de 6 de octubre de 2009 dispone que el denunciante no es interesado, y lo hace en los siguientes términos: "el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo” (imposición de una sanción, cuantía de la misma, exculpación, etc.) “ Por lo tanto, aplicando la doctrina pacífica del Tribunal Supremo, conforme a la cual "la denuncia no convierte al denunciante en titular de un derecho subjetivo ni de un interés personal o legítimo que hubiera de traducirse en un beneficio o utilidad" la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/23 circunstancia de haber presentado una denuncia no otorga al denunciante por sí mismo la condición de persona interesada. En segundo lugar, de las actuaciones previas de inspección practicadas como consecuencia de la denuncia no se derivaron hechos susceptibles de motivar la iniciación de procedimiento sancionador a PROMOVISA por posible infracción a lo previsto en el artículo 11.1 de la LOPD, toda vez que no concurrían elementos de prueba fehacientes que justificasen la existencia de una cesión inconsentida de los datos personales del denunciante que obrasen en los ficheros de PROMOVISA a SDI. Igualmente, no había constancia de que de la dirección de correo electrónico utilizada tuviera como origen inequívoco una comunicación inconsentida de los datos del afectado por parte del Sr. D.D.D. a SDI, ya que si bien estaba probado que éste prestó sus servicios profesionales a PROMOVISA, sin embargo no estaba acreditado que hubiera mantenido algún contacto personal o profesional directo con el denunciante ni en su condición de cliente de PROMOVISA ni tampoco a título particular. Tampoco obran en dichas actuaciones previas o en la documentación incorporada al procedimiento elementos fácticos de los que se infiera, de forma indubitada, que el correo electrónico utilizado para los envíos denunciados se obtuvo con motivo de una brecha de seguridad de los ficheros de PROMOVISA, por lo que de lo actuado no hay indicio alguno del que se desprenda que dicha empresa no guarde las medidas de seguridad respecto de los ficheros de los que es responsable en materia de protección de datos, no apreciándose por ello vulneración de lo dispuesto en el artículo 9 de la LOPD. En lo que respecta a la posible infracción del artículo 26 de la LOPD se ha constatado que SDI tiene inscritos bajo su titularidad dos ficheros en el Registro General de Protección de Datos de la AEPD. Sobre la base de lo expuesto, hay que señalar que, al derecho administrativo sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el art. 137 de LRJPAC: “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Así, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/23 que motivan esta imputación. En tercer lugar, el presente procedimiento sancionador se inicia por posible infracción a lo previsto en el artículo 21 de la LSSI por parte de SDI, por lo que la solicitud de actuaciones que el denunciante ha efectuado en sus alegaciones se lleven a cabo en relación con el Sr. D.D.D., PROMOVISA y SDI por posible incumplimiento de los artículos 9.1, 10 y 26 de la LOPD no puede ser atendida al tratarse de cuestiones ajenas al objeto por el que se ha incoado el procedimiento y afectar, además, a personas físicas y jurídicas que no han resultado imputadas en el mismo como posible responsables de la infracción al mencionado precepto de la LSSI. De esta forma, la introducción una vez iniciado el procedimiento sancionador de nuevos infractores , hechos e imputaciones por vulneración a otra normativa, en este caso la LOPD, conculcaría, como mínimo, los principios de legalidad, garantía del procedimiento y derechos del presunto responsable recogidos en los artículos 127, 134 y 135 de la citada Ley 30/1992, de 26 de noviembre, lesionando también el derecho constitucional a la defensa de los afectados recogido en el artículo 24 de la Constitución, lo que generaría una posible nulidad de pleno derecho conforme a lo previsto en el artículo 62.1.
  13. a)y
  14. e)de la LRPAC. IV A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/23 a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI, también en la redacción dada por la mencionada Ley de Telecomunicaciones, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. De este modo, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. A su vez, el apartado
  15. d)del anexo de la LSSI define al “Destinatario del servicio” o ”destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información.”, mientras que el apartado
  16. c)de la citada norma que define “Prestador de servicios” o “prestador: a la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De esta forma la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/23 obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
  17. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
  18. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. V Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
  19. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
  20. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
  21. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/23 servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros representen una actividad económica, los siguientes: (…) y siempre que 4º El envío de comunicaciones comerciales. ” (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
  22. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. VI En lo que respecta al incumplimiento de la prohibición recogida en el apartado 1 del artículo 21 de la LSSI, de las actuaciones practicadas en el presente procedimiento y de la valoración conjunta de las mismas, se desprende que entre el 7 de abril y el 13 de junio 2014 SDI envió, desde dos cuentas del dominio de su titularidad ***DOMINIO.1, un total de cuatro comunicaciones comerciales a la dirección de correo electrónico del denunciante ...@... . En estos mensajes se publicitaban los servicios y equipamientos del sector audiovisual objeto de la actividad empresarial y económica de esa entidad, por lo que conforme a las definiciones contenidas en los apartados
  23. a)y
  24. c)del citado Anexo de la LSSI SDI ostenta la condición de prestador de servicios de la información, recayendo sobre la misma la autoría de dichos envíos comerciales, circunstancia, por otro lado, no cuestionada en ningún momento por dicha empresa en sus alegaciones. El hecho de que el primero de los reseñados correos, de fecha 7 de abril de 2014, fuera firmado por el Sr. D.D.D. no conlleva que el envío fuera remitido particular y directamente por éste, puesto que su condición de firmante del mismo está unida, precisamente, a su presentación como nuevo Director Comercial de SDI y al ofrecimiento de los servicios comercializados por la misma, cuya razón social y datos de contacto también aparecen junto con los del firmante. SDI mantiene que contaba con el consentimiento previo y expreso del denunciante para remitirle comunicaciones comerciales a su cuenta de correo electrónico, aunque ha ido modificando sus manifestaciones sobre la forma de su obtención. Mientras que al recibir el requerimiento de información de esta Agencia adujó que el propio denunciante los facilitó telefónicamente a los comerciales de la empresa , posteriormente, SDI al contestar el acuerdo de inicio alegó que dichos datos obraban en la agenda de contactos del actual Director Comercial de la empresa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/23 (Sr. D.D.D.) por habérselos facilitado el mismo denunciante en el marco de las relaciones comerciales mantenidas entre ambos cuando era Director Comercial de PROMOVISA, añadiendo que dichos datos no habían sido extraídos de ningún fichero de PROMOVISA ni cedidos por dicha compañía. Sin embargo, ninguna de estas manifestaciones ha sido acreditada por SDI mediante prueba válida en derecho, a pesar de haber sido requerida en tal sentido en fase de pruebas, cuestión que resulta especialmente importante en atención a que el denunciante ha negado reiteradamente haber prestado su consentimiento a SDI o al Sr. D.D.D. para enviarle comunicaciones comerciales a su cuenta de correo, manteniendo también que no ha tenido ningún tipo de relación comercial con SDI o contacto personal con el citado Sr. D.D.D. y afirmando, a su vez, que no les ha facilitado sus datos y que desconocía la existencia de esa empresa y de la mencionada persona hasta que recibió el primer correo electrónico de este último, a lo que hay que añadir que ha probado documentalmente que no estaba relacionado profesionalmente con el sector audiovisual como afirma SDI. Sobre la base de lo expuesto, a los efectos de la carga de la prueba resulta de aplicación, a este supuesto, el criterio mantenido por la Audiencia Nacional en la Sentencia de fecha 17 de mayo de 2007, Recurso 157/2005, en la que en un caso que también afectaba al incumplimiento de lo previsto en el artículo 21 de la LSSI, se arguyó que: “En caso de que los afectados hubieran negado haber otorgado dicho consentimiento, que la Ley no exige que sea escrito, correspondería al denunciado probar su existencia, como ha reiterado esta Sala en relación con el tratamiento inconsentido de datos.” . Por lo cual, en contra de lo alegado por SDI corresponde a esa empresa, y no al denunciante, acreditar la veracidad de sus propias alegaciones sobre la existencia del consentimiento previo y expreso. En torno a esta cuestión conviene puntualizar que de las actuaciones practicadas en el procedimiento y de la documentación obrante en el mismo únicamente se ha probado la condición del denunciante de cliente de PROMOVISA, al ser esta empresa, y no su Director Comercial, la que vendió los productos audiovisuales a los que hace referencia el denunciante. Tampoco se ha probado por SDI que, con anterioridad a la recepción de los envíos comerciales, el denunciante tuviera conocimiento de la existencia de esa empresa o que conociera al Sr. D.D.D. o que le hubiera facilitado a éste su correo electrónico a raíz de la relación comercial mantenida con PROMOVISA, empresa de la que el Sr. D.D.D. fue Director Comercial. Por otra parte, del contenido literal del correo enviado por el denunciante al actual Director Comercial de SDI con fecha 10 de abril de 2014 no se desprende que el primero reconociera que ambos ya se conocieran o hubieran mantenido entre ambos algún tipo de contacto personal o relación comercial anterior. Es decir, SDI no ha justificado mediante ningún medio de prueba la existencia de relaciones contractuales ni contactos directos entre estas dos personas antes de la realización de los envíos comerciales denunciados. En cuanto a la práctica de la prueba testifical propuesta por SDI fuera del plazo procedimental concedido para ello en el acuerdo de inicio de procedimiento, y consistente en tomar declaración al Sr. D.D.D. a fin de aclarar las dudas de la Instructora, se considera que la misma resultaba improcedente al haberse acordado por la Instructora las pruebas que consideró necesarias a fin de determinar los hechos objeto del procedimiento y las posibles responsabilidades. Téngase en cuenta que en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/23 dichas pruebas se requería a SDI la información o documentación que se estimó conveniente en relación con las manifestaciones alegadas respecto de la forma en que se alegaba que dicha persona obtuvo los datos del denunciante y el consentimiento del mismo para su uso con fines comerciales. La negativa a dicha prueba no ha causado ningún tipo de indefensión como alega SDI, habida cuenta que dicha declaración testimonial con los extremos objeto de requerimiento de prueba por parte de la Instructora pudo haberse presentado sin ningún tipo de obstáculo por la propia SDI junto con su escrito de contestación a las pruebas requeridas, todo ello conforme a lo previsto en los artículos 17.3 del REPEPOS y 137.3 de la LRJ-PAC. En este mismo sentido, procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D.... (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir,... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Así pues, frente a la manifestación del denunciante de que en ningún caso otorgó el consentimiento para tales envíos, y estando acreditados por esta Agencia los hechos constitutivos de la infracción imputada ( el envío de comunicaciones comerciales por parte de SDI sin acreditar que contara con el consentimiento previo y expreso del destinatario de las mismas para ello), la carga de la prueba recae, por tanto, en la entidad remitente que debe acreditar los hechos extintivos o impeditivos (que mediaba solicitud o autorización previa del denunciante para ello o que había tenido una relación comercial previa similar a los productos ofrecidos en la citada comunicación comercial). En este caso, SDI, en su condición de remitente de los envíos comerciales objeto de imputación, no ha acreditado que tuviera autorización del denunciante para enviarle comunicaciones comerciales a su cuenta de correo electrónico, a lo que hay que añadir que ha reconocido que no existía relación contractual previa entre ambas partes, por lo que no resulta de aplicación la excepción al consentimiento recogida en el primer apartado del artículo 21.2 de la LSSI. Sentado lo anterior, resulta necesario aclarar frente a las manifestaciones relativas a que no existe infracción porque el denunciante y el actual Director Comercial de SDI habían mantenido relaciones comerciales, que aún en el supuesto de que durante el procedimiento se hubiera demostrado que el denunciante había sido cliente del Sr. D.D.D. en el marco de una relación contractual mantenida exclusivamente entre ambas personas, lo que no consta haya ocurrido, dicha circunstancia no habilitaría a SDI a utilizar los datos del denunciante para enviarle comunicaciones comerciales sin su previo y expreso consentimiento al no tratarse de un cliente de la entidad sino de un tercero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/23 Asimismo, y aun en la hipotética situación de que el Sr. D.D.D. hubiese contado con autorización expresa del denunciante para usar sus señas electrónicas para enviarle publicidad del sector audiovisual por medios de comunicación electrónica, -situación que tampoco consta se haya producido-, dicho consentimiento no resultaría extensivo a los envíos realizados con dichos datos por terceras personas físicas o jurídicas, excepción hecha de que pudiera acreditase que tal consentimiento expreso comprendiese la cesión a terceros de dicha información al objeto de la remisión de comunicaciones comerciales por correo electrónico sobre ese sector. A tenor de todo lo cual, cabe concluir que SDI remitió las comunicaciones comerciales objeto de análisis sin contar con el consentimiento previo y expreso del denunciante, no existiendo tampoco una relación contractual entre ambas partes, según ha reconocido la propia imputada, que hubiera eximido a dicha entidad de la exigencia del mencionado consentimiento. Afirmación que encuentra su apoyo en los elementos fácticos que han resultado probados en la instrucción del procedimiento y no en las alegaciones del denunciante como aduce SDI. VII No obstante las consideraciones efectuadas y sin perjuicio de que consta probado que SDI remitió cuatro comunicaciones comerciales al denunciante, sin embargo esta Agencia considera de especial relevancia la conducta mantenida por el denunciante después de recibir el primero de los envíos denunciados con fecha 7 de abril de 2014 para dirimir si las tres comunicaciones comerciales recibidas por éste después de dicha fecha incumplían la prohibición recogida en el artículo 21.1 de la LSSI. Para ello debe valorarse que el denunciante, en lugar de utilizar el mecanismo de baja ofrecido en el primero de los envíos, procedió a contestarlo agradeciendo la información recibida al Director Comercial de SDI y preguntándole si trabajaba en PROMOVISA. Por lo tanto, resulta verosímil que la actitud del denunciante, que en lugar de utilizar el mecanismo de baja ofrecido en el correo comercial de 7 de abril de 2014 respondió dicho envío con en los términos de agradecimiento anteriormente señalados, pudiera inducir a SDI a entender que no existía oposición por su parte a la recepción de nuevas comunicaciones comerciales en sus señas electrónicas, lo que motivo que continuase enviándoselas hasta el momento en que, a raíz de la recepción del requerimiento de información de esta Agencia, SDI tuvo conocimiento en julio de 2014 de la negativa del denunciante a recibir este tipo de envíos comerciales en su cuenta de correo electrónico, produciéndose entonces la cancelación de los datos del denunciante de sus ficheros, lo que se adecua al hecho de que la última comunicación comercial denunciada es de fecha 13 de junio de 2014. En definitiva, esta Agencia entiende que la responsabilidad de SDI en la comisión de la infracción imputada en el expediente, a la vista de las circunstancias reseñadas, únicamente se circunscribe al primero de los envíos denunciados, ya que la actitud del denunciante después de recibir el primer envío comercial en su cuenta de correo electrónico pudo entenderse por la imputada como conformidad a la recepción de envíos publicitarios por dicha vía. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/23 Ya en este punto, cabe recordar que la procedencia del dato utilizado para los envíos comerciales por medios de comunicación electrónica carece de relevancia para establecer la comisión de la infracción imputada, por cuanto la LSSI establece claramente que es necesario que los envíos se efectúen previa solicitud o autorización expresa del destinatario, sin que en modo alguno pudiera calificarse como tal la posesión o conocimiento por un tercero por motivos profesionales, en este caso el Director Comercial de SDI, del correo electrónico del denunciante.. Sobre este particular resulta conveniente citar la Sentencia dictada el 5 de febrero de 2013 por la Audiencia Nacional en el Recurso nº 468/2011, en cuyo Fundamento de derecho Segundo se señalaba: “Tal y como hemos indicado, entre otras, en las SSAN 19-2-2008 (Rec. 267/2006) y 14-11-2009 (Rec. 280/2008), se requiere para la remisión de mensajes por correo electrónico con fines de venta directa, el consentimiento previo e informado del abonado titular de la línea destinataria de los citados mensajes. Resulta por ello secundario el hecho de que la dirección de correo procediese de una base de datos con fines comerciales, pues lo relevante, a los efectos aquí analizados, es que tal afectado no haya otorgado su consentimiento previo a la entidad demandante para la remisión de los mismos. Interpretación que se realiza al amparo de la Directiva 2002/58/CE del Parlamento y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y la protección de la intimidad en el sector de las telecomunicaciones electrónicas, pues establece el artículo 13.1 de dicha Directiva que “Solo se podrá autorizar la utilización de sistemas de llamada automática sin intervención humana (aparatos de llamada automática), fax o correo electrónico con fines de venta directa respecto de aquellos abonados que hayan dado su consentimiento previo”. Este mismo criterio ha sido ratificado por la Audiencia Nacional en su Sentencia de fecha 23 de julio de 2013, Recurso nº 371/2012, en cuyo Fundamento de derecho Cuarto señalaba en un supuesto similar al que ahora nos ocupa: CUARTO.- La primera cuestión a resolver en el presente litigio reside en si la adquisición legítima de los datos correspondientes a la empresa denunciante, de una tercera empresa, permitían a la denunciada (y ahora actora) la posterior remisión del correo publicitario que finalmente envió y por el que fue sancionada. Esta concreta cuestión y alegación concordantes fueron respondidas en la resolución de 18 de mayo de 2012, decisoria del recurso de reposición formulado. Allí se indicaba que la compra de la base de datos no implica su utilización para la remisión de comunicaciones comerciales, pues ésta es una acción independiente y autónoma de la adquisición de la base de datos, que además responde únicamente a la voluntad de la entidad denunciada. Agregaba por otra parte la resolución recurrida que la constancia de las direcciones electrónicas de las empresas en la red Internet no habilita para utilizarlas para el envío de comunicaciones comerciales, salvo que se den los supuestos del artículo 21 de la Ley de Servicios de la Sociedad de la Información. Es decir, que una entidad puede tener su dirección de correo electrónico en una web a los efectos de "contacto" y fundamentalmente para ofrecer sus productos y actuar en el tráfico jurídico, pero que «ello no implica una autorización ad limitum para ser receptora de publicidad, pues precisamente ese derecho a no recibir comunicaciones comerciales por medios electrónicos es el que protege el artículo 21 de la Ley de Servicios de la Sociedad de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/23 Información ». Pues bien, procede desestimar el recurso por esta primera razón impugnatoria, dado que, en efecto, la legitimidad de la posesión de los datos por parte de una concreta empresa no obsta a la posterior necesidad del recabado de un consentimiento específico para la remisión de comunicaciones comerciales. Así se obtiene del art. 21.1 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico: «Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas».” Dicho lo cual, debe rechazarse la invocación de la presunción de inocencia efectuada por la imputada, ya que SDI no ha presentado ningún elemento de prueba que pudiera enervar o suscitar un indicio de duda razonable que permita cuestionar la comisión, por su parte, de la infracción imputada, máxime cuando esta Agencia ha razonado de forma motivada las pruebas de cargo concretas en las que se sustenta el supuesto jurídico de hecho que nos ocupa, motivo por el cual no ha resultado enervada la responsabilidad de SDI en la comisión de los hechos imputados. A la luz de los elementos fácticos obrantes en el procedimiento cabe concluir que la entidad imputada ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI al remitir un correo electrónico comercial a la cuenta del denunciante sin contar con la autorización o solicitud expresa y previa del mismo para ello, y sin que quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 de dicha norma al no haberse acreditado la existencia de una relación contractual previa entre las partes en los términos señalados en dicho precepto. VIII En lo que respecta a la infracción de los párrafos segundo y tercero del artículo 21.2 de la LSSI también imputada en el acuerdo de inicio del presente procedimiento sancionador, procede indicar que a la vista de las alegaciones formuladas por SDI negando que los envíos denunciados no ofreciesen una dirección de correo electrónico o dirección electrónica válida al destinatario de los mismos al objeto de poder oponerse al tratamiento de sus datos con fines publicitarios, y revisado nuevamente el contenido de los mismos, se observa que, efectivamente, éstos incluían un procedimiento que permitía al destinatario de los correos comerciales manifestar su negativa al uso de sus señas electrónicas con fines comerciales. Así, se ha constatado que en los cuatro correos electrónicos comerciales aportados por el denunciante se incluía, al pie de los envíos, la siguiente información: “Vd. podrá en cualquier momento ejercer el derecho de acceso, rectificación, cancelación y oposición en los términos establecidos en la Ley Orgánica 15/199 mediante notificación escrita con copia de DNI, a través de este e-mail.” (el subrayado es de la AEPD). Por lo tanto, el remitente de las comunicaciones comerciales denunciadas cumplía con la obligación de ofrecer al destinatario de las mismas un procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/23 sencillo y gratuito para poder oponerse al uso de su correo electrónico con fines comerciales, que en este supuesto consistía, conforme a lo dispuesto en el tercer párrafo del artículo 21.2 de la LSSI, en el establecimiento de una dirección de correo electrónico a través de la cual ejercer este derecho, y que, tal y como se desprende del contenido de la citada información, era la cuenta de correo electrónico desde la que se remitieron por SDI cada una de las comunicaciones comerciales objeto de estudio. En consecuencia, de lo expuesto con anterioridad, ha quedado probado que la entidad imputada no ha incurrido en la infracción de los párrafos segundo y tercero del artículo 21.2 de la LSSI inicialmente imputados. IX El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos) De acuerdo con lo establecido en los apartados 3.
  25. c)y 4.
  26. d)del artículo 38 de la LSSI actualmente en vigor, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  27. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
  28. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b), se producirá una infracción de carácter grave a los efectos de la LSSI. En este caso, a partir del conjunto de hechos y circunstancias constatadas en el procedimiento sancionador y vistos los fundamentos de derecho anteriores, la conclusión que se despende es que la conculcación del artículo 21.1 de la LSSI que se imputa a SDI, a título de culpa, se ajusta al tipo de infracción calificada como leve en el artículo 38.4.
  29. d)de la vigente LSSI al tratarse de la remisión de un sólo correo electrónico comercial sin contar con el consentimiento previo y expreso del denunciante, a lo que hay que añadir que en este supuesto no cabe aplicar la excepción contenida en el primer párrafo del artículo 21.2 al haberse reconocido por la entidad remitente del mencionado mensaje publicitario que no existía una relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/23 contractual previa entre las partes en los términos señalados en dicho precepto. X Según establece el art. 39.1, apartado c), de la LSSI, las infracciones leves podrán ser sancionadas con multa de hasta 30.000 €, fijando los criterios para su graduación el artículo 40 de la misma norma, que disponen lo siguiente: “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  30. a)La existencia de intencionalidad.
  31. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  32. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  33. d)La naturaleza y cuantía de los perjuicios causados.
  34. e)Los beneficios obtenidos por la infracción.
  35. f)Volumen de facturación a que afecte la infracción cometida.
  36. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. Con arreglo a los criterios de graduación de las sanciones recogidos en el citado artículo 40 de la LSSI, se estima que actúa como agravante el criterio a), ya que, si bien no ha existido intencionalidad en la conducta de SDI, si se ha producido una falta de diligencia por su parte al no adoptar las cautelas necesarias que le resultaban exigibles para comprobar, con anterioridad a la remisión del primero de los envíos denunciados, de fecha 7 de abril de 2014, que el destinatario era cliente de la empresa o existía una solicitud previa o autorización expresa del mismo que legitimase su remisión. Asimismo, se valoran como atenuantes los criterios d),
  37. e)y
  38. f)recogidos en el citado artículo 40 de la LSSI, ante la falta de constancia de que el denunciante haya sufrido perjuicios derivados de la recepción de los envíos denunciados o se hayan obtenido por la empresa imputada beneficios o facturado cantidad alguna con motivo de la comisión de la infracción del artículo 21.1 de la LSSI. Conforme a los criterios de ponderación señalados, se considera adecuado a la gravedad de los hechos imputados imponer una sanción a la empresa imputada por la cuantía de 1.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SYPNOSIS DISTRIBUCION INTEGRAL, S.A.U, por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  39. d)de la LSSI, una multa de 1.000 € (Mil euros), de conformidad con lo establecido en los artículos 39.1.
  40. c)y 40 de la citada LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/23 SEGUNDO: NOTIFICAR la presente resolución a SYPNOSIS DISTRIBUCION INTEGRAL, S.A.U y a Don A.A.A. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.