← España

PS-00541-2017

1/13 Procedimiento Nº PS/00541/2017 RESOLUCIÓN: R/00508/2018 En el procedimiento sancionador PS/00541/2017, instruido por la Agencia Española de Protección de Datos a la entidad GLIMMER MEDIA, S.L., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 23/11/2016, tuvo entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el/la denunciante), en el que denuncia el envío de correos electrónicos a su cuenta ***EMAIL.1 con origen en la dirección de correo electrónico ***EMAIL.2, los cuales contienen publicidad de productos de distintas marcas, sin que previamente hubiese solicitado o autorizado los envíos. Añade que estos correos disponen de un enlace para solicitar la baja de la lista de destinatarios, pero advierte que el mismo no funciona al no tratarse de un hipervínculo. Asimismo, señala que en el mismo correo se indica que para no seguir recibiendo mensajes puede responderse al correo promocional indicando “Baja”, y que utilizó esta opción en repetidas ocasiones, remitiendo correos de baja en fechas 16/09, 19 y 24/10/2016 y 5 correos de 02/11/2016. Añade que, a pesar de ello, continúa recibiendo correos publicitarios. Con su denuncia, aporta copia de la siguiente documentación: a b c Impresiones de pantalla de la bandeja de entrada del correo electrónico ***EMAIL.1, en las que se cuentan 108 correos recibidos entre el 14/10 y el 15/11/2016. Dicha relación de correos contiene un literal que informa sobre la marca de la publicidad, el asunto y fecha. El asunto hace referencia al producto que se publicita en cada caso. Impresión completa de dos correos recibidos en fechas 14 y 15/11/2016, junto con sus cabeceras de internet. Se comprueba que la dirección de correo electrónico origen es ***EMAIL.2 y que los correos incluyen el siguiente literal: “Si no desea seguir recibiendo mensajes haz click aquí o responde a este correo indicando “BAJA”. Solicitudes de baja enviadas. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las comprobaciones siguientes: 1. Los correos comerciales informan que la recepción de los correos publicitarios por el destinatario es debido a que es miembro de “Key Offers”. No se ha localizado en el buscador “Google” información relativa a dicha membresía. 2. El dominio “***DOMINIO.1” está registrado a nombre de B.B.B., con domicilio en (C/...1). 3. Con fecha 14/03/2017, se remitió a B.B.B. un requerimiento de información que fue devuelto por el Servicio de Correos con la indicación “Ausente”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 4. Con fecha 03/10/2017, se intentó realizar una visita de inspección en el domicilio de B.B.B., que no pudo llevarse a efecto al encontrarse cerrada la vivienda y no recibir respuesta a las reiteradas llamadas. 5. La dirección IP que identifica el ordenador origen de los dos correos cuyas cabeceras se aportan, está asignada al operador Circuitos Aljarafe, S.L., a la que se remitieron dos requerimientos solicitando información sobre el cliente que tuviera asignadas la mencionadas IPs. En respuesta a este requerimiento, el citado operador informó que la IP desde la que se remitieron los correos denunciados de fecha 15/11/2016 estaba asignada a su cliente GLIMMER MEDIA, S.L. (en lo sucesivo GLIMMER MEDIA); y que no dispone de datos alguno relativo a B.B.B.. 6. Por la Inspección de Datos se remitió un requerimiento de información sobre los hechos denunciados a GLIMMER MEDIA, a través del Servicios de Notificaciones Electrónicas y Dirección Electrónica Habilitada, el cual fue rechazado tras haber transcurrido diez días naturales desde su puesta a disposición. 7. Por otra parte, en relación con la entidad GLIMMER MEDIA, los Servicios de Inspección destacaron que se trata de una microempresa y que existe un procedimiento de apercibimiento tramitado por esta Agencia contra la misma por vulneración del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI). TERCERO: Con fecha 17/11/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad GLIMMER MEDIA, por la presunta infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como infracción grave en el artículo 38.3.

  1. c)de la citada Ley. A los efectos previstos en el artículo 64.2.
  2. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el citado acuerdo de apertura se determinó que, de acuerdo con las evidencias obtenidas con anterioridad a dicha apertura, la sanción que podría corresponder por la infracción descrita sería de 40.000 euros (cuarenta mil euros), sin perjuicio de lo que resulte de la instrucción. CUARTO: Notificado el acuerdo de inicio, la entidad GLIMMER MEDIA presentó escrito de alegaciones en el que solicita el archivo de las actuaciones, conforme a las consideraciones siguientes: 1. Considera nulas las actuaciones por no haber tenido conocimiento de los hechos denunciados hasta la notificación de la apertura del procedimiento, por cuanto no tiene constancia del requerimiento de información que le fue remitido durante la fase previa de investigación, señalando a este respecto que, en otro caso, hubiese respondido al mismo en tiempo y forma. Aporta copia de la consulta de notificaciones telemáticas recibidas en el período correspondiente. 2. La circunstancia puesta de manifiesto ha impedido que se tengan en cuenta los hechos siguientes, que evidencian la inexistencia de infracción: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 . La dirección de correo electrónico a la que se refiere el acuerdo de inicio se recibió de las entidades ***NOMBRE.1 Software, S.A. (en lo sucesivo ***NOMBRE.1) y Vip Response BV, con las que GLIMMER MEDIA tiene suscritos los correspondientes contratos, en los que el responsable del fichero declara y garantiza recabar el consentimiento expreso de los destinatarios para el tratamiento de sus datos (en concreto, su dirección de e-mail) con fines comerciales. . Con fecha 15/08/2014, GLIMMER MEDIA y ***NOMBRE.1 firmaron un contrato en virtud del cual esta entidad, como propietaria de una base de datos, encarga a aquella: (
  3. i)que contacte con posibles anunciantes interesados en remitir publicidad a los sujetos que figuren en la Base de Datos y acuerde con ellos las relaciones comerciales pertinentes, y (
  4. ii)que, en calidad de encargado del tratamiento, realice con la Base de Datos el tratamiento que sea necesario para que la publicidad de los anunciantes llegue a los sujetos incluidos en ella. GLIMMER MEDIA en ningún caso decide sobre el uso y la finalidad de los datos, decisión que corresponde exclusivamente a ***NOMBRE.1 en relación con el pedido que pueda recibir de un Anunciante presentado por GLIMMER MEDIA, que sigue en todo momento las instrucciones que reciba de ***NOMBRE.1. Ésta asume las obligaciones propias del responsable del fichero. . Con fecha 05/11/2015, GLIMMER MEDIA suscribió un contrato con la entidad de nacionalidad neerlandesa VIP RESPONSE, cuyo contenido en sus líneas generales coincide con el descrito en el punto anterior. VIP Response declara ser responsable de un fichero de datos debidamente registrado que incluye direcciones de correo electrónico recabadas con la autorización expresa del usuario para ser contactado para fines comerciales. GLIMMER MEDIA manifiesta que no ignora que la inclusión en el contrato de las garantías y obligaciones anteriormente transcritos, no son prueba de que ***NOMBRE.1 o Vip Response contaran con el consentimiento expreso del denunciante, el cual se acreditará plenamente en el punto siguiente; sin embargo, sí es prueba evidente de la preocupación de GLIMMER MEDIA por salvaguardar el derecho fundamental a la protección de datos de los destinatarios de las campañas publicitarias. . Prueba del consentimiento prestado para recibir comunicaciones comerciales en la dirección de correo electrónico ***EMAIL.1: Mediante correo electrónico de 11/01/2018, Vip Response adjuntó impresión de pantalla de sus sistemas acreditativa del consentimiento expreso del usuario a que su dato (email) sea tratado para remitirle información comercial. En él consta toda la información preceptiva: dirección de IP, nombre y apellidos, email, fuente del registro y la fecha en que el usuario se registró. ***NOMBRE.1, por su parte, mediante correo electrónico de 08/01/2018, aportó la misma evidencia del consentimiento del denunciante: IP de alta y URL donde aceptó los términos y condiciones legales: ***WEB.1l. Asimismo, ***NOMBRE.1 informó que la titular del dominio, B.B.B., “fue una persona con la que colaboramos puntualmente hace varios años, y debió cometer el error de dar de alta el dominio a su nombre en vez de los de ***NOMBRE.1”. El usuario se registró con el nombre y apellido C.C.C. (nombre al que parece responder la dirección del denunciante ***EMAIL.1 y no tanto a su nombre real A.A.A.) en la url http://theofferzone.com/policy.html, desde la IP ***IP.1 el 28/10/2015. Esta información es, asimismo, coherente con la que se facilitada en los emails enviados desde la cuenta ***EMAIL.2, en los que se indicaba que se le enviaba el correo por ser miembro de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 Key Offers. Acompaña la política de privacidad accesible a través de la url http://theofferzone.com/policy.html, vigente en el momento de la recogida de los datos facilitados por el denunciante. La misma está redactada en inglés e informa al usuario de la finalidad comercial con la que podrá ser tratada la dirección de correo electrónico facilitada a través del citado registro. Asimismo, aporta la información pública relativa a la IP desde la que el denunciante se registró en la citada URL. Se trata de una IP administrada por Jazztel España. Por tanto, el dominio ***DOMINIO.1 fue facilitado por ***NOMBRE.1 a GLIMMER MEDIA para realizar por encargo de aquél las comunicaciones comerciales de los Anunciantes que GLIMMER MEDIA captase. En consecuencia, queda acreditado que el denunciante autorizó expresamente el envío de comunicaciones comerciales electrónicas a la cuenta de email ***EMAIL.1 de conformidad con lo dispuesto en el artículo 21.1 LSSI y que los envíos se realizaron por cuenta de ***NOMBRE.1. . Por otra parte, no consta acreditado que Glimmer enviara 108 comunicaciones: (
  5. i)cómputo mal efectuado de los emails relacionados en los pantallazos aportados con la denuncia y (
  6. ii)ausencia de prueba de que todos ellos provenga de la misma dirección; y las comunicaciones enviadas desde la cuenta ***EMAIL.2 habilitan dos sistemas de bajas. Por un lado, se observa que en las pantallas que aporta el denunciante se suman por duplicado los últimos mensajes de cada pantalla coincidente con el primero de la siguiente. Por otro lado, no consta prueba alguna de que todos los correos que aparecen -no en la bandeja de entradasino en su carpeta Spam

(112)tengan su origen en el dominio ***DOMINIO.1. En efecto, hay un porcentaje elevado que GLIMMER MEDIA no reconoce como propios. De hecho, tan sólo se aportan con la denuncia las cabeceras de dos de ellos enviados el 14/10 y el 15/11/2016. Si se observan los pantallazos que aporta el denunciante de los dos correos recibidos de la dirección att-clientes***DOMINIO.1, aparece un primer hipervínculo en la parte superior derecha que indica “Darme de baja” y abajo figura una leyenda con el siguiente texto que incluye un nuevo link “Si no deseas seguir recibiendo mensajes haz click aquí o responde a este correo indicando BAJA”. Además se le informa al destinatario “(...) no nos gusta remitir correo no deseado, así que le ofrecemos la posibilidad de darse de baja en cualquier momento haciendo click en el link de abajo”. Es decir, Glimmer tiene habilitados dos sistemas para que el destinatario pueda darse baja de los envíos publicitarios y dejar de recibirlos: (
  1. i)uno que podríamos denominar principal consistente en un link ubicado en diferentes lugares del email, una vez hecho el clic en el link la baja queda procesada en tiempo real; y (
  2. ii)otro secundario, mediante un buzón electrónico donde se reciben solicitud de bajas. Este buzón es revisado periódicamente, y manualmente se dan de baja a los usuarios que así lo solicitan en un plazo máximo de siete días. Los dos sistemas de bajas habilitados han estado permanentemente activos por parte de GLIMMER MEDIA durante el periodo en que se denuncia la vulneración del art. 22.1 de la LSSI. Se aporta documentación acreditativa de que GLIMMER MEDIA no ha recibido comunicación alguna del denunciante solicitando su baja a través de cualquiera de los dos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 sistemas. Adicionalmente, el denunciante tan sólo aporta la cabecera de una única solicitud de baja remitida mediante correo de 16/09/2016, pero no acredita en modo alguna su recepción por parte del destinatario. . En relación con la funcionalidad de los dos sistemas de baja instaurados, aporta una descripción de los mismos, pantallazo del buzón electrónico habilitado para recibir las solicitudes de baja entre los meses de septiembre 2016 y enero de 2017, en el que no aparece ninguno recibido de la cuenta ***EMAIL.1, e informe técnico sobre la disponibilidad diaria del sistema de baja principal desde el 01/09/2016 hasta el 15/11/2016. El denunciante en su escrito de denuncia afirma que ha enviado hasta 9 correos electrónicos solicitando la baja, y dice aportar un pantallazo con los mismos. Sin embargo, en dichos pantallazos no se indica ni la carpeta a la que corresponde, ni la dirección de destino del supuesto correo solicitando la baja, ni consta en el asunto de ninguno de ellos el término “Baja”. Tan sólo añade la cabecera de un sólo mensaje, esté sí con el asunto “Baja” remitido el 16/09/2016, sin embargo, el mismo nunca fue recibido en nuestro buzón electrónico de bajas. Para evitar este tipo de incidencias, es por lo que GLIMMER MEDIA decidió habilitar también un link monitorizado en los servidores, con alertas que nos indican de cualquier posible caída que pueda producirse. Como se ha acreditado anteriormente, la disponibilidad del link ha sido total no sólo durante el período en que el denunciante recibió correos de la cuenta attclientes@***DOMINIO.1 sino incluso durante los dos últimos años. Desde un punto de vista técnico este es el método más fiable para ejercer el derecho de revocación del consentimiento, es decir, a través de un link que bloquea la cuenta de email del destinatario de manera automática y en tiempo real. Sin embargo, como el propio denunciante reconoce, nunca hizo clic en ninguno de los links habilitados para dar cumplimiento a su derecho de baja. Por último, GLIMMER MEDIA pone a disposición de la Agencia sus locales, servidores, sistemas y protocolos; y añade que una vez conoció la apertura del procedimiento procedió a bloquear la cuenta del denunciante y a trasladar la denuncia a ***NOMBRE.1 y Vip Response para que lo excluyen de sus bases de datos. 3. GLIMMER MEDIA es una microempresa (menos de 10 trabajadores y un límite de 2 millones de euros para el volumen de negocios y el balance general) que nunca ha sido sancionada por incumplimientos de la LSSI, sólo apercibida. Aporta las cuentas anuales del ejercicio 2016 aprobadas y depositadas en el Registro Mercantil, según las cuales en dicho año el importe neto de la cifra de negocios fue de X.1 mil euros, el número medio de empleados 1,39 y el resultado de la empresa unas pérdidas de X.2 euros. 4. Subsidiariamente, alega que concurren las circunstancias atenuantes previstas en el artículo 39 Bis y 40 de la LSSI para aplicar la escala relativa a la infracciones leves en su grado mínimo: (
  3. i)que en ningún caso hubo intención de vulnerar la LSSI, (
  4. ii)el denunciante no ha sufrido ningún perjuicio, (iii) con los envíos publicitarios no ha obtenido ningún beneficio; (
  5. iv)siendo nulo el volumen de facturación a afectado por los envíos. Tampoco puede negarse la diligencia de GLIMMER MEDIA para paralizar cualquier tratamiento del email del denunciante y comunicar la denuncia a los responsables del fichero para que eliminen el dato de sus ficheros. 5. Para el supuesto de deficiencia o insuficiencia en la documentación o información facilitada, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 solicita que se le requiera la subsanación prevista en el artículo 68 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPAC). GLIMMER MEDIA aportó copia el contrato suscrito con la entidad ***NOMBRE.1, de fecha 15/08/2014, en cuyo apartado “Objeto del contrato” se indica: “Por virtud del presente Contrato, el Propietario de los Datos cede la propiedad de su base de datos a Glimmer Media para que establezca las oportunas relaciones comerciales con los Anunciantes interesados en remitir publicidad a los individuos que figuran en la Base de Datos, y (
  6. ii)lleve a cabo en la Base de Datos el tratamiento que sea preciso para hacer posible que la publicidad de los Anunciantes llegue a los sujetos incluidos en la misma y para que se mida y cuantifique la eficacia de la actividad publicitaria realizada. Glimmer Media deberá llevar a cabo el mandato conferido de acuerdo con lo que se expresa en las cláusulas siguientes. En sus labores de tratamiento de datos, Glimmer Media tendrá la consideración de “encargado del tratamiento” según definición dada a esta expresión por el artículo 3
  7. g)de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (la “LO 15/1999”). En todo caso, corresponderá en exclusiva al Propietario de los Datos la consideración de “responsable del tratamiento”, según definición incluida en el artículo 3
  8. d)de la LO 15/1999”. QUINTO: Con fecha 15/03/2018, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se acuerde el archivo del presente procedimiento sancionador seguido contra GLIMMER MEDIA. De acuerdo con lo establecido en el artículo 82.4 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Asimismo, se prescindió del trámite de audiencia al interesado. HECHOS PROBADOS 1. Con fecha 23/11/2016, el denunciante formuló ante esta Agencia denuncia por el envío de correos electrónicos a su cuenta ***EMAIL.1 con origen en la dirección de correo electrónico ***EMAIL.2, los cuales contienen publicidad de productos de distintas marcas, sin que previamente hubiese solicitado o autorizado los envíos. Con su denuncia aportó impresión completa de dos correos recibidos en fechas 14 y 15/11/2016, junto con sus cabeceras de internet, remitidos desde la dirección de correo electrónico ***EMAIL.2. Estos correos incluyen el siguiente literal: “Si no desea seguir recibiendo mensajes haz click aquí o responde a este correo indicando “BAJA”. 2. La dirección IP que identifica el ordenador origen de los dos correos reseñados en el Hecho Probado Primero está asignada al operador Circuitos Aljarafe, S.L., el cual informó que la IP desde la que se remitieron los correos denunciados estaba asignada a su cliente GLIMMER MEDIA, S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
  9. d)e
  10. i)y 38.4 d),
  11. g)y
  12. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 Añade el artículo 22.1 de la LSSI, también en la redacción dada por la mencionada Ley de Telecomunicaciones, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. A su vez, el apartado
  13. d)del anexo de la LSSI define al “Destinatario del servicio” o ”destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información.”. De este modo, la LSSI, en su artículo 21.1, prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
  14. h)de la LOPD, que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable el artículo 45.1.
  15. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 actividad respecto de los que podrá recibir información o publicidad”. Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
  16. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
  17. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
  18. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. III En el presente supuesto, de la valoración conjunta de los elementos fácticos obrantes en el procedimiento sancionador, ha quedado acreditado que GLIMMER MEDIA es responsable del envío de 2 correos electrónicos publicitarios remitidos en fechas 14 y 15/11/2016, a la dirección de correo electrónico del denunciante. La participación de GLIMMER C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 MEDIA en el envío resulta incuestionable, tal y como la propia entidad ha reconocido. Aunque la denuncia se formuló por un número de correos superior, que determinó la imputación de una infracción grave en el acuerdo de apertura del procedimiento, la documentación aportada por el denunciante únicamente justifica la recepción de los dos correos reseñados en el Hecho Probado Primero. La entidad imputada no ha justificado que estos mensajes se efectuaran mediando autorización expresa o solicitud previa del destinatario de los mismos, quien, además, ha negado haber dado su consentimiento o autorización para recibir este tipo de comunicaciones. Atendidas las circunstancias expuestas, y dado que lo indicado afecta a la cuestión de la carga de la prueba, resulta de aplicación el criterio mantenido por la Audiencia Nacional en la Sentencia de fecha 17 de mayo de 2007, Recurso 157/2005, en el que, respecto de un caso que también afectaba al incumplimiento de lo previsto en el artículo 21 de la LSSI, se arguyó que: “En caso de que los afectados hubieran negado haber otorgado dicho consentimiento, que la Ley no exige que sea escrito, correspondería al denunciado probar su existencia, como ha reiterado esta Sala en relación con el tratamiento inconsentido de datos.” A tales efectos, no se estima suficiente la documentación aportada por GLIMMER MEDIA para justificar el origen de los datos utilizados para la realización de aquellas comunicaciones promocionales y el consiguiente consentimiento del denunciante. Se tiene en cuenta que no consta debidamente acreditada la información que se facilitó en el momento de la recogida de los datos sobre su posible utilización con la finalidad expresada, sobre los cesionarios a los que se pretendía ceder la misma y los sectores específicos de actividad a los que podría referirse la publicidad. Únicamente se indica, por parte de GLIMMER MEDIA, que el denunciante prestó su consentimeinto a través de la página web http://theofferzone.com/policy.html, cuya política de privacidad aparece redactada en inglés y cuya vinculación con GLIMMER MEDIA o con la entidad ***NOMBRE.1 (responsable del dominio “***DOMINIO.1”) no se justifica. Sentado lo anterior, únicamente eximiría a GLIMMER MEDIA del cumplimiento de contar con el consentimiento previo y expreso exigido en el artículo 21.1 de la LSSI la acreditación de la existencia de una relación contractual previa con el denunciante, tal y como se recoge en el primer párrafo del apartado 2 del artículo 21 de la LSSI, y ello siempre y cuando la imputada, como prestadora de servicios de la sociedad de la información, hubiera obtenido de forma lícita los datos de contacto del afectado, los utilizase para enviarle comunicaciones comerciales relativas a productos o servicios similares a los inicialmente adquiridos por éste en su condición de cliente, y además, le hubiera ofrecido en el momento de recogida de los datos un mecanismo sencillo y gratuito para poder oponerse al tratamiento de sus datos con fines promocionales. En este supuesto no resulta de aplicación dicha excepción que hubiera podido amparar el envío de los correos electrónicos analizados sin mediar dicho consentimiento, ya que la entidad imputada no ha acreditado la existencia de relación contractual previa con el denunciante en los términos expresados en el artículo 21.2 de la LSSI. De este modo, a la luz de los elementos fácticos obrantes en el procedimiento cabe concluir que GLIMMER MEDIA ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI al enviar dos correos electrónicos publicitarios al denunciante sin contar con la autorización expresa o solicitud previa del mismo para ello, y sin que quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 IV El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación”. La definición de prestador del servicio se contiene en el apartado
  19. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De acuerdo con lo establecido en los apartados 3.
  20. c)y 4.
  21. d)del artículo 38 de la LSSI actualmente en vigor, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  22. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
  23. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción de carácter grave a los efectos de la LSSI. A partir del conjunto de hechos y circunstancias constatadas en el procedimiento sancionador y con arreglo a lo dispuesto en los citados preceptos, la conclusión que se desprende es que la conculcación del artículo 21 de la LSSI que se imputa a GLIMMER MEDIA se ajusta al tipo de infracción calificada como leve en el artículo 38.3.
  24. d)de la vigente LSSI, ya que el envío de dos correos electrónicos comerciales publicitarios al denunciante sin contar con su consentimiento previo y expreso para ello no puede ser calificado como “envío insistente o sistemático” de comunicaciones comerciales no solicitadas por medios electrónicos por parte de la referida entidad. A tenor de lo establecido en el artículo 45 de la LSSI las infracciones leves prescribirán a los seis meses. Este plazo se computa desde el día en que la infracción se hubiera cometido. En este caso, la infracción se comete por el envío de dos correos comerciales al denunciante en fechas 14 y 15/11/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 Considerando como “dies a quo” del cómputo prescriptivo el 15/11/2016, resulta que la infracción denunciada ha prescrito de conformidad con lo dispuesto en el mencionado artículo 45 de la LSSI. Como señala el artículo 30.2 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, “El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. En el caso de infracciones continuadas o permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, de un procedimiento administrativo de naturaleza sancionadora, reiniciándose el plazo de prescripción si el expediente sancionador estuviera paralizado durante más de un mes por causa no imputable al presunto responsable”. En el presente caso no ha existido iniciación de expediente sancionador con anterioridad al cumplimiento del plazo de seis meses previsto en el artículo 45 de la LSSI. Por este motivo procede el archivo del presente procedimiento sancionador, al haberse producido la prescripción de la presunta infracción. V La conclusión expresada en los Fundamentos de Derecho anteriores hace innecesario el análisis del resto de cuestiones suscitadas en el procedimiento. No obstante, se estima conveniente señalar que, a juicio de esta Agencia, no ha quedado suficientemente acreditada la cuestión relativa a la condición de encargado del tratamiento bajo la que GLIMMER MEDIA dice intervenir en los hechos, al amparo de un contrato suscrito con la entidad ***NOMBRE.1 en virtud del cual ésta cede a aquella “la propiedad de su base de datos a Glimmer Media para que establezca las oportunas relaciones comerciales con los Anunciantes interesados en remitir publicidad a los individuos que figuran en la Base de Datos”. Por razón de este contrato, dado su objeto, no puede atribuirse la condición de encargado del tratamiento a GLIMMER MEDIA, por cuanto es esta entidad la que contrata con los anunciantes en su propio nombre y organiza las campañas. Tampoco explica GLIMMER MEDIA como es posible que el mismo registro realizado por el denunciante en la web http://theofferzone.com/policy.html sirva para justificar la anotación de los datos en los ficheros de dos entidaes distintas, como son ***NOMBRE.1 y Vip Response. Existen dudas, igualmente, sobre el correcto funcionamiento de los mecanismos supuestamente habilitados por GLIMMER MEDIA para que el afectado manifieste su oposición a la utilización de su dirección de correo electrónico con fines publicitarios, cuyo funcionamiento en las fechas a las que se refieren los hechos fue negado por el denunciante. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador PS/00541/2017 seguido contra la entidad GLIMMER MEDIA, S.L. con NIF ***NIF.1, por la infracción del artículo 21.1 de la LSSI. SEGUNDO: NOTIFICAR la presente resolución a GLIMMER MEDIA, S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.