PS-00561-2013

1/16 Procedimiento Nº PS/00561/2013 RESOLUCIÓN: R/00171/2014 En el procedimiento sancionador PS/00561/2013, instruido por la Agencia Española de Protección de Datos a la entidad EUROPCAR IB S.A., vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 7 de mayo de 2013 tiene entrada en esta Agencia un escrito de Don A.A.A., en adelante el denunciante, en el que manifiesta que la entidad EUROPCAR IB, S.A. le ha remitido dos comunicaciones comerciales a su dirección de correo electrónico con posterioridad a haber solicitado no recibir publicidad. El denunciante adjunta la siguiente documentación: 1. Copia de la contestación de fecha 17/04/2013 a su solicitud de no envío de publicidad a su dirección de correo electrónico. En la mencionada contestación bajo el título de Unsubcription se indica que no volverá a recibir correos electrónicos. 2. Copia del correo electrónico publicitario de fecha 25/04/2013 enviado desde la dirección marketing.es@ B.B.B. a la dirección A.A.A.@conversia.es y que lleva por asunto: “Los fines de semana largos se te harán cortos. El envío incorpora la leyenda: “Si no deseas recibir más información haz click aquí” 3. Copia del correo electrónico publicitario de fecha 30/4/2013 enviado desde la dirección marketing.es@ B.B.B. a la dirección A.A.A.@conversia.es y que lleva por asunto: ¡Día de la madre! Juntos al fin del mundo. El envío incorpora la leyenda: “ Si no deseas recibir más información haz click aquí” SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia realizaron con fecha 14 de octubre de 2013 una inspección en las instalaciones de EUROPCAR IB, S.A. , (en adelante EUROPCAR), a raíz de la cual constataron lo siguiente: 1. Respecto de los envíos publicitarios a través del canal de newsletter o envío desde la dirección de correo marketing.es@ B.B.B.: 1.1 Se trata de un canal para el envío de información comercial a clientes y potenciales clientes de la entidad. 1.2 Las diferentes campañas de envíos son realizadas por la propia compañía. 1.3 La base de datos de receptores en este canal es diversa. Por un lado se encuentran todos los conductores de vehículos de la entidad que no se han opuesto al envío de información comercial. En este sentido, el artículo 12 de las CONDICIONES GENERALES DE ALQUILER que constan en las actuaciones, recoge la información para el cliente acerca del envío de publicidad así como del procedimiento de oposición. 1.4 Otras fuentes de receptores del servicio de newsletter son campañas puntuales y la propia página web de la entidad, en la que cualquier persona C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 que la visita puede suscribirse a la recepción de la newsletter. 1.5 Respecto del proceso de baja de la newsletter: 1.5.1La baja del servicio de newsletter puede realizarse de forma automática por el propio destinatario del envío al seleccionar la opción de baja incluida en el propio envío. Esta opción lleva al cliente a una página web de la entidad donde, tras solicitarle confirmación, le presenta una nueva pantalla a modo de acuse de recibo y en la que se le informa que no volverá a recibir envíos publicitarios de la entidad. Constan en las actuaciones copia de las pantallas asociadas al proceso de baja observándose que la pantalla aportada por el denunciante se corresponde con la observada durante el proceso de baja visionado durante la inspección. 1.5.2 2 La baja también puede realizarse mediante el envío de un correo electrónico a la dirección es_customerservice@ B.B.B. de acuerdo a lo especificado en el artículo 12 de las CONDICIONES GENERALES DE ALQUILER. Los inspectores solicitan a los representantes de la entidad el acceso a los sistemas de información donde se constata lo siguiente: 2.5 La existencia de datos de A.A.A. con NIF: E.E.E. y correo electrónico A.A.A. D.D.D. como cliente-conductor de EUROPCAR que alquiló un vehículo en fecha de 27/03/2013. 2.6 La existencia de datos de A.A.A. con el correo electrónico A.A.A. D.D.D. en la base datos utilizada para el envío de newsletter, donde figura con la marca activada para el envío de la información comercial. (campo BRAND MAIL SHOT FLAG=YES) por lo que según manifiestan los representantes de la entidad sigue recibiendo la newsletter. El registro fue dado de alta en la base de datos de newsletter en fecha de 27/03/2013, fecha que coincide con la de alquiler de un vehículo. 2.7 Dado que el dato de correo electrónico del denunciante no figura en el formulario de contrato suscrito para el alquiler del vehículo y cuya copia se ha aportado a las actuaciones, los representantes de la entidad manifiestan que el dato de correo de electrónico fue recabado verbalmente del interesado e introducido por el operador de la entidad en el sistema por lo que consta dicho dato en la base de datos de clientes. 3 Los inspectores solicitan a los representantes de la entidad realizar un proceso de baja realizándose éste utilizando el usuario de uno de los empleados de la entidad presentes durante la inspección. Tras realizar dicho proceso se constata que el campo BRAND MAIL SHOT FLAG del usuario permanece con valor igual a YES en lugar de actualizarse con valor igual a NO. En este sentido los representantes de la entidad manifiestan que la actualización de dicho campo puede estar diferida en el tiempo y realizarse con un cierto retardo que, en todo caso, no debiera ser superior a un día. A pesar de lo anterior, de la documentación que aporta el denunciante, éste ejerció su derecho de oposición en fecha de 17/04/2013 recibiendo posteriormente envíos publicitarios en fechas 25/04/2013 y 30/04/2013. De hecho, según la entidad, al no constar la marca activada para el no envío de comunicaciones ha seguido recibiendo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 hasta la fecha de la inspección, en que los representantes de la entidad manifiestan que proceden a activar la marca correspondiente (campo BRAND MAIL SHOT FLAG=NO) para evitar futuros envíos. TERCERO: Con fecha 22 de octubre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EUROPCAR IB S.A. por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como leve en el artículo 38.4.

1. d)de dicha norma, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1.
2. c)de la LSSI, cuya notificación se practicó a la entidad imputada con fecha 28 de octubre de 2013. CUARTO: Notificado el citado Acuerdo de inicio, la representación de EUROPCAR presentó alegaciones solicitando el archivo de las actuaciones al no haber existido vulneración del artículo 21.1 de la LSSI con motivo, sustancialmente, en los siguientes argumentos: - En relación con los hechos se pone de manifiesto: 1) Respecto del consentimiento otorgado por el denunciante se indica que con fecha 27/03/2012 el afectado, como parte del proceso de contratación de un vehículo, facilitó a EUROPCAR, entre otros datos personales su dirección de correo electrónico. Asimismo, la compañía facilitó al denunciante las Condiciones Generales de Alquiler, las cuales fueron leídas y aceptadas por el denunciante como muestra de conformidad de las mismas, figurando en su apartado duodécimo tanto solicitud de consentimiento del afectado para el envío de comunicaciones comerciales por medios electrónicos como la facilitación de una dirección electrónica válida para revocar dicho consentimiento. 2) En relación con la solicitud del denunciante de revocación del consentimiento se señala que aunque la compañía procedió de forma inmediata y diligente a atender la solicitud de baja del denunciante, ésta no se tramitó correctamente debido a un error técnico de la herramienta que gestiona las altas y las bajas en del citado servicio de newsletter, si bien una vez conocido el mismo se procedió de forma inmediata a asegurarse que el denunciante no recibiera ninguna comunicación comercial adicional y a localizar la causa del funcionamiento erróneo para su subsanación y mejora. - La entidad ha dado cumplimiento a todos los requisitos establecidos en el artículo 21 de la LSSI conforme se ha descrito en el apartado 1) de la primera de las alegaciones, habiéndose empleado los datos con una finalidad legítima. - A pesar de que EUROPCAR tiene implantado un sistema para procesar las solicitudes de baja del servicio de newsletter, dicha cautela no impide que en casos aislados suceda un error técnico e involuntario que impida la efectiva tramitación de la baja solicitada, el cual no puede interpretarse como un incumplimiento de la normativa aplicable ni como una actuación de mala fe, conforme prueba la diligencia mostrada al adoptar las medidas de subsanación del error citadas en el apartado 2 de la primera de las alegaciones efectuadas y corrobora el hecho de que EUROPCAR, para no causar ningún inconveniente a sus clientes, haya suspendido el servicio de envío de newsletter hasta el momento en que funcione correctamente el sistema informático de bajas. Según la entidad, estas circunstancias, que evidencian la falta de intencionalidad y de culpabilidad de la compañía, han dado lugar en casos similares, en los que el incumplimiento de la normativa aplicable respondía a un mero error y la empresa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 denunciada había actuado con la diligencia debida, al archivo de los expedientes, citando como referencia los expedientes E/00502/2012 y E/04940/02012. A su juicio un error técnico no achacable a EUROPCAR no puede equipararse a un incumplimiento de la normativa aplicable, defendiéndose que existe una clara línea divisoria entre el campo del error humano/técnico y el del error culpable o negligente incumplimiento de las obligaciones a la LSSI y la LOPD. En apoyo de dicho argumento se alude a la sentencia de la Audiencia Nacional de 02/03/2005, a la par que se pone como ejemplo la sentencia de la Audiencia Nacional de 14/02/2002 para defender que no debería exigirse el mismo grado de diligencia a una compañía cuyo principal negocio es la explotación de datos personales que a otra entidad que trata este tipo de datos como un instrumento necesario para el desarrollo de su negocio. - Inaplicabilidad de la responsabilidad objetiva al presente supuesto. La actuación de EUROPCAR careció, en todo momento, de culpabilidad, se trató de un error técnico involuntario y aislado en la herramienta de gestión de bajas difícil de detectar después de marcarse la baja en el sistema si no es el propio afectado quien informa al respecto por continuar recibiendo comunicaciones comerciales. En este caso, dado su dificultad de apreciación, no se conoció de su existencia hasta que la AEPD inició las actuaciones previas de investigación y se presentó en las oficinas de la entidad para llevar a cabo la inspección de fecha 14/10/2013, momento en el que se procedió inmediatamente a la subsanación del error y mejora del sistema de gestión de bajas para evitar problemas de la misma índole en el futuro. Sancionar por el error cometido seria desproporcionado si se valora el elevado volumen de suscripciones y el prácticamente nulo porcentaje de incidencias que el mismo supone frente al total de solicitudes de alta y baja que se reciben. También señala que la suma de la falta de perjuicio ocasionado al denunciante como consecuencia del error y la inexistencia del elemento subjetivo de culpabilidad, al no haber dolo ni culpa en la conducta de le entidad, justificaría el archivo de las actuaciones conforme al criterio jurisprudencial recogido en la sentencia del Tribunal Supremo de 18 de marzo de 2005, recurso 7707/2000. - Subsidiariamente, se solicita la imposición de la sanción en su grado mínimo, al cumplirse los requisitos de ponderación de la sanción previstos en el artículo 40 de la LSSI, valorándose también que las circunstancias que se dan en este caso acreditan la buena fe de la entidad. QUINTO: Con fecha 15 de noviembre de 2013 la Instructora del procedimiento acordó la apertura de un período de pruebas, teniéndose por practicadas a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante la entidad imputada, el Informe de actuaciones previas de Inspección que forman parte del expediente E/02970/2013, las alegaciones al acuerdo de inicio PS/00561/2013 presentadas por EUROPCAR IB S.A. (en adelante EUROPCAR) y la documentación que a ellas acompaña. SEXTO: Con fecha 17 de diciembre de 2013 se formuló propuesta de resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionase a EUROPCAR IB S.A. con multa de 1.200 € (Mil doscientos euros) por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
3. d)de dicha norma, de conformidad con los artículos 39.1.
4. c)y 40 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 SÉPTIMO: Notificada dicha propuesta de resolución la representación de dicha entidad presentó escrito de alegaciones solicitando el archivo de las actuaciones practicadas con fundamento en los mismos argumentos expuestos con anterioridad. Se hace especial hincapié tanto en la inexistencia de responsabilidad por su parte en la comisión de la infracción imputada, ya que ha mostrado un estricto cumplimiento a todos los requisitos establecidos en el artículo 21 de la LSSI, como en que se trata de un supuesto derivado de un error técnico puntual ocurrido en el sistema tramitador de las bajas que no resulta imputable a una falta de diligencia en su conducta. Subsidiariamente se solicitaba la imposición de la sanción en su grado mínimo en aplicación del artículo 40 de la LSSI. HECHOS PROBADOS PRIMERO: En los sistemas de información de información de EUROPCAR figuran los datos del denunciante asociados a la contratación del alquiler de un vehículo en fecha 27/03/2013. Entre la información del denunciante registrada se encuentra su dirección de correo electrónico A.A.A.@conversia.es . (folios 19, 26, 27 ) SEGUNDO: EUROPCAR IB S.A. ha presentado copia del contrato de alquiler suscrito por el denunciante con dicha entidad. Este documento no incluye las Condiciones Generales de Alquiler del folleto que según la citada entidad se facilita al cliente en el momento de alquilar el vehículo. (folios 28 y 29) TERCERO: El denunciante ha aportado justificante de fecha 17/04/2013 de la confirmación enviada por EUROPCAR a su solicitud de oposición a la recepción de correos electrónicos promocionales. El citado justificante, en cuyo encabezamiento figura la dirección de la página web http://...europcar........, informa a su destinatario, bajo el título de “Unsubcription”, que su solicitud ha sido registrada y no volverá a recibir emails de la entidad (folio 2). CUARTO: Se comprueba que el justificante de baja aportado por el denunciante coincide con el acuse de recibo que EUROPCAR presentó durante la inspección efectuada en la sede de dicha empresa el 14/10/2013 como el documento de confirmación de baja que se remite al usuario que utiliza la opción de baja del servicio de newsletter incluida en los propios correos comerciales (folios 19 y 24). QUINTO: Con posterioridad a la confirmación de la baja del servicio de newsletter remitida al denunciante, EUROPCAR envió con fechas 25/04/2013 y 30/04/2013 dos comunicaciones comerciales desde la dirección de correo electrónico marketing.es@ B.B.B. a la cuenta A.A.A.@conversia.es del denunciante. Ambos correos comerciales contienen el siguiente enlace de baja: “Si no deseas recibir más información haz click aquí” (folios 2 al 7 y 13 al 16) SEXTO: Durante la inspección practicada en la sede de EUROPCAR con fecha 14/10/2013 se verifica que en la base datos utilizada por dicha empresa para el envío de newsletter los datos del denunciante tienen activada la marca asociada al l envío de información comercial. (campo BRAND MAIL SHOT FLAG=YES) (folios 19 y 27) SÉPTIMO: Durante la inspección practicada en la sede de EUROPCAR con fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 14/10/2013 se constata que, tras simular un proceso de baja utilizando los datos de usuario de uno de los empleados de la entidad presentes durante la inspección, el campo BRAND MAIL SHOT FLAG del usuario permanece con valor igual a YES en lugar de actualizarse con valor igual a NO. (folios 19 y 20) FUNDAMENTOS DE DERECHO I El artículo 43.2, segundo párrafo, de la LSSI, otorga a la Agencia Española de Protección de Datos la facultad para imponer sanciones por la comisión de la infracción del artículo 21 de la citada Ley. II A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, modificado por el Real Decreto-Ley 13/2012, de 30 de marzo, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 medio deberá consistir necesariamente en la inclusión de una dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI, también en la redacción dada por el citado Real Decreto-Ley 13/2012, de 30 de marzo, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección . Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. A su vez, el apartado
5. d)del anexo de la LSSI define al “Destinatario del servicio” o ”destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información.”. De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. La Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), modificada por la Directiva 2009/136/CE del Parlamento Europeo y del Consejo, de 25 de noviembre, introdujo en el conjunto de la Unión Europea el principio de “opt in”, es decir, la necesidad de contar con el consentimiento previo del destinatario para el envío de comunicaciones electrónicas con fines comerciales. De este modo, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
6. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
7. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
8. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
9. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
10. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales. ” (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
11. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV En el presente supuesto, ha quedado acreditado que EUROPCAR remitió, con fechas 25/04/2013 y 30/04/2013, dos comunicaciones comerciales a la dirección de correo electrónico del denunciante A.A.A.@conversia.es desde la cuenta marketing.es@ B.B.B., ello a pesar de que con fecha 17/04/2013 le había confirmado el registro en sus sistemas de la baja del servicio de newsletter por éste solicitada. Por lo tanto, los dos mensajes comerciales denunciados que se remitieron desde la dirección de correo de la que es usuaria la entidad imputada a la dirección de correo electrónico del denunciante no contaban con el consentimiento previo y expreso del mismo, toda vez que se enviaron no sólo con posterioridad a que el denunciante hubiera manifestado su oposición a la recepción de nuevos envíos publicitarios utilizando el mecanismo de baja ofrecido por EUROPCAR en los correos comerciales que le enviaba, sino que su remisión se llevó a cabo una vez confirmado por dicha entidad el registro de la baja solicitada en sus sistemas. Por ello, los correos electrónicos comerciales enviados por EUROPCAR a la dirección de correo electrónico del denunciante con posterioridad al 17/04/2013 incumplían la prohibición de remitir comunicaciones comerciales no autorizadas o solicitadas establecida en el artículo 21.1 de la LSSI, ya que se trataba de envíos publicitarios no consentidos por su destinatario, quien había manifestado a EUROPCAR su voluntad de no continuar recibiendo publicidad por medios de comunicación electrónica, circunstancia, a su vez, perfectamente conocida por el remitente de los correos comerciales denunciados. Según la entidad imputada no se ha incumplido el artículo 21.1 de la LSSI al tratarse de comunicaciones comerciales expresamente solicitadas por el denunciante en el momento de contratar el alquiler del vehículo el día 27/03/2013 y aceptar las Condiciones Generales de Alquiler que se le facilitan en ese momento. Sobre este particular conviene recordar que EUROPCAR no ha acreditado de forma fehaciente que el denunciante aceptara en el momento de contratar las mencionadas Condiciones Generales de Alquiler, ya que la copia del contrato del vehículo aportado durante la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 actuación inspectora en la sede de la empresa no contiene dichas Condiciones (folios 28 y 29), debiendo añadirse que la copia del impreso en blanco, y sin fechar, que EUROPCAR identifica como tales, también entregado durante la realización de la inspección el día 14/10/2013, no justifica que dicho documento le fuese facilitado al denunciante en el momento de la contratación o que éste aceptara la cláusula duodécima una vez le fueron leídas, tal y como alega EUROPCAR. De hecho, y a la vista de la documentación obrante en el procedimiento, el envío de comunicaciones comerciales por la entidad imputada a la cuenta de correo electrónico del denunciante, con anterioridad al 17/04/2013, se amparaba en la excepción al consentimiento previo y expreso del destinatario de los envíos publicitarios recogida en apartado 2 del artículo 21 de la LSSI. Es decir, la existencia de una relación contractual previa entre las partes, que ha resultado acreditada en el procedimiento, eximía a EUROPCAR de contar con la autorización previa y expresa del denunciante para remitirle envíos publicitarios por correo electrónico, siempre y cuando dicha entidad hubiera obtenido los datos de contacto del destinatario de forma lícita, los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa similares a los inicialmente contratados con el cliente y, además, no se diera la circunstancia de que el cliente le hubiera manifestado su oposición al tratamiento de sus datos con fines promocionales, bien en el momento de la recogida de los datos o bien con posterioridad. Por lo tanto, una vez conocida la negativa del denunciante a recibir mensajes publicitarios por correo electrónico y confirmado a éste por EUROPCAR el registro de su petición, dicha entidad no estaba legitimada para remitirle nuevos envíos por ese medio. En este mismo sentido se pronuncia la Audiencia Nacional en un caso similar en su sentencia de de fecha 18 de octubre de 2013, Rec. nº 162/2012, al señalar: “En el supuesto que nos ocupa, ha quedado acreditado que la entidad recurrente remitió más de 47 e-mails publicitarios a la denunciante desde octubre hasta diciembre de 2010, con posterioridad a la solicitud y confirmación de la cancelación de los datos de la denunciante, por lo que ha de considerarse infringido el citado precept0, al no contar con el consentimiento de la destinaria. Por otro lado, aunque en este supuesto hubiese existido una relación comercial previa con la destinataria, ésta no le habilita a remitir publicidad comercial cuando el cliente ha manifestado, como es el caso que nos ocupa, su expreso deseo de no recibirla, pues la excepción prevista en el apartado segundo del citado art. 21 de la Ley 34/2002, de 11 de julio, establece expresamente la posibilidad de ofrecer al destinatario “la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija”. Más en el presente supuesto en que se había procedido a la cancelación de los datos de la denunciante. Carece de relevancia, por tanto, el sistema que para los envíos publicitarios tuviera establecido la entidad recurrente, pues no se trata tanto de cuestionar el tratamiento indebido de datos sino de impedir el envío de publicidad no consentida, para lo cual la empresa dispuso de tiempo suficiente para articular los mecanismos correctores necesarios para evitar que se siguiera mandando publicidad comercial a la denunciante” A la vista de lo expresado con anterioridad, en el presente supuesto no resulta de aplicación el criterio seguido en la resolución de archivo, del expediente de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 actuaciones previas de investigación nº E/04940/2012, de cuya lectura se desprende que en ese supuesto el prestador de servicios denunciado no había confirmado, con anterioridad a los envíos objeto de denuncia, el registro de la baja en sus sistemas y el cese de los envíos publicitarios al solicitante. Asimismo, teniendo en cuenta que se trata, tal y como se indica en la sentencia de fecha 18 de octubre de 2013 anteriormente aludida, de impedir el envío de publicidad no consentida por medios de comunicación electrónica, esta Agencia entiende que EUROPCAR, en su condición de prestadora de servicios de la información, debió haber actuado con un mayor grado de diligencia a fin de comprobar que la baja se había llevado a cabo correctamente, no resultando identificable este caso con el analizado en la sentencia de la Audiencia Nacional de 14 de febrero de 2002. Téngase en cuenta que EUROPCAR es una empresa habituada al envío de publicidad por medios de comunicación electrónica, lo que se infiere del número de solicitudes de altas y bajas del servicio de newsletter que esa entidad reconoce haber gestionado en los últimos años, y que según sus alegaciones asciende a un total de 4.567.187 solicitudes de alta y 228.082 solicitudes de baja (folio 51). Por lo tanto, al haber quedado justificados los motivos por los que se considera que no se trata de supuestos idénticos o similares, no cabe acordar el archivo de las actuaciones practicadas en el presente procedimiento sancionador ni cabe, tampoco, entender que la AEPD está aplicando un criterio distinto al seguido en otras ocasiones para el mismo supuesto de hecho. En consecuencia, , no cabe duda que los envíos comerciales denunciados por el afectado se remitieran por la entidad imputada sin contar con el consentimiento previo y expreso de su destinatario, y ello habida cuenta que la entidad tenía pleno conocimiento de que éste había manifestado su oposición a recibir más información publicitaria en sus señas electrónicas. V EUROPCAR defiende la ausencia de intencionalidad y de culpabilidad en su conducta, aduciendo que la remisión de información comercial con posterioridad a la solicitud de baja del denunciante se debió a un error técnico en la herramienta de gestión de bajas, el cual debe tratarse como un caso aislado y, en ningún caso, como un incumplimiento del artículo 21.1 de la LSSI, máxime cuando su conducta muestra que su intención fue tramitar dicha petición, citando en apoyo de dicha afirmación la contestación efectuada a la dirección de correo electrónico del denunciante indicando que no volvería a recibir comunicaciones comerciales por parte de la empresa. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
12. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En este orden de ideas si bien, en el presente caso, no puede acreditarse una conducta dolosa por parte de la entidad imputada, sin embargo, si se aprecia la existencia de responsabilidad en la comisión de la infracción imputada a título de culpa, ya que EUROPCAR no mostró, con anterioridad a la realización de los envíos no consentidos objeto de estudio, la diligencia y el deber de cuidado que le eran exigibles para asegurarse, en tanto que empresa habituada al envío de comunicaciones comerciales por medios de comunicación electrónica a sus clientes, que dichos correos publicitarios cumplían con las exigencias derivadas del artículo 21.1 de la LSSI de tal modo que los envíos comerciales respondieran a una solicitud previa o estuvieran expresamente autorizados por los destinatarios de los mismos. De este modo, no consta que con anterioridad a los hechos que nos ocupan EUROPCAR hubiera adoptado alguna medida o cautela dirigida a constatar el correcto funcionamiento de la herramienta de bajas en todas sus fases, de tal modo que el proceso iniciado con la confirmación al cliente o usuario de la solicitud de baja finalizase con la actualización en sus sistemas de la orden correspondiente y el cese de los correos publicitarios por medios electrónicos a los destinatarios que se habían opuesto a recibir información comercial, tal y como ocurría en el caso del denunciante. No hay que olvidar el deber de cuidado que le resultaba exigible a EUROPCAR a fin de constatar el correcto funcionamiento de la herramienta de gestión de bajas, y que incluye la implantación de procedimientos de control eficaces en evitación de situaciones como la que nos ocupa, fundamentalmente si se tiene en cuenta el elevado número de solicitudes de alta y baja del servicio de newsletter que la empresa aduce tramitar. Por otra parte, aunque dicho error se cataloga por la entidad imputada como aislado y puntual, sin embargo los inspectores de la AEPD comprobaron con fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 14/10/2013, es decir seis meses después del envío de la confirmación de baja al denunciante con fecha 17/04/2013, que la herramienta de gestión de bajas continuaba sin actualizar con valor igual a NO el campo BRAND MAIL SHOT FLAT del usuario solicitante de la baja. Además, la propia empresa ha decidido, según comunicó en el escrito de alegaciones al acuerdo de inicio formulado el 12 de noviembre de 2013, suspender el servicio de envío de newsletter hasta que sea subsanado el error informático, situación de inoperancia en la que continuaba a fecha de 8 de enero de 2014 según se desprende del escrito de alegaciones a la propuesta de resolución. Por todo lo cual, la AEPD considera que a la entidad imputada le era exigible otra conducta diferente de la que observó, habida cuenta que no adoptó todas las precauciones necesarias en orden a asegurarse que los procedimientos instaurados para tramitar las bajas funcionaban correcta y efectivamente, considerándose que el argumento de la buena fe resulta insuficiente en atención a la diligencia que le resulta exigible como empresa habituada a la remisión de envíos publicitarios por medios de comunicación electrónica, debiendo, por tanto, velar por el cumplimiento de los derechos de los destinatarios de tales mensajes recogidos en la LSSI, causa por la que debió actuar con más prudencia para justificar la legalidad de su conducta. VI A la luz de lo expuesto, en este supuesto la entidad imputada no desplegó la diligencia exigible que si mostró, en cambio, la entidad investigada en el expediente de archivo de actuaciones nº E/00502/2012 citado por la imputada en defensa de sus intereses. En dicha resolución lo que determinó la ausencia del elemento subjetivo de culpabilidad fue, esencialmente, que la compañía investigada justificó que había empleado, en el desarrollo de su actividad empresarial, la diligencia debida para garantizar el derecho fundamental a la protección de datos tratando de identificar a la persona contratante en la fecha del alta, lo que acreditó mediante la aportación de la grabación efectuada en el momento de la contratación del servicio, ello sin perjuicio de que para resolver el expediente también se valoró la diligencia desplegada para dar de baja el servicio y anular la facturación derivada del alta fraudulenta. En el presente caso no procede acceder a la petición consistente en acordar la aportación por parte de EUROPCAR de certificado remitido al denunciante en el que conste que se ha atendido de forma efectiva la solicitud de no seguir recibiendo newsletter de EUROPCAR, ni declarar, una vez acreditado dicho extremo y, por tanto, la subsanación del error, el archivo de las actuaciones practicadas sin imposición de sanción alguna a la denunciada. Téngase en cuenta que la Resolución n° R/01328/2009, citada por la imputada como referencia, se acordó por el Director de la AEPD en el procedimiento de Tutela de Derechos nº TD/00009/2009, el cual fue instruido, a instancia del afectado, para garantizar el ejercicio del derecho de oposición del reclamante que no había sido debidamente atendido por la entidad responsable del fichero. Sin embargo el presente procedimiento, iniciado de oficio, tiene una naturaleza sancionadora y constituye una de las manifestaciones del “ius punendi” del Estado al objeto de verificar si existen responsabilidades administrativas por infracción a la LSSI a depurar durante la tramitación del mismo. Es decir, se trata de procedimientos diferenciados cuya instrucción se regula en capítulos distintos del Título IX, relativos a procedimientos tramitados por la AEPD, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD (RDLOPD), (capítulo II y artículos 117 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 al 119 para los procedimientos de tutela de los derechos de acceso, rectificación, cancelación y oposición y capítulo III y artículos 120 al 129 para los procedimientos relativos al ejercicio de la potestad sancionadora). En consecuencia, la emisión del certificado al que se refiere ESPASA CALPE respondería a lo previsto en el artículo 119 del RDLOPD, que dispone respecto de la “Ejecución de la resolución” del procedimiento de tutela de derechos que: “Si la resolución de tutela fuese estimatoria, se requerirá al responsable del fichero para que, en el plazo de diez días siguientes a la notificación, haga efectivo el ejercicio de los derechos objeto de la tutela, debiendo dar cuenta por escrito de dicho cumplimiento a la Agencia Española de Protección de Datos en idéntico plazo.” , por lo que dicha medida no resulta de aplicación para este expediente sancionador. Todo lo expuesto lleva a considerar la existencia del elemento subjetivo de culpabilidad en la conducta de EUROPCAR en el ilícito administrativo imputado. VII De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
13. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente o el envío, en el plazo de un año, de más de tres comunicaciones comerciales por los medios aludidos a un mismo destinatario, cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
14. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del art. 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o más de tres a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b), se producirá una infracción tipificable como grave a los efectos de la LSSI. A la vista de los hechos que han resultado acreditados en la instrucción del procedimiento sancionador, el presente supuesto se ajusta al tipo de infracción establecido en el artículo 38.4.
15. d)de la LSSI, calificado como infracción leve, al tratarse del envío por parte de EUROPCAR al denunciante de dos comunicaciones comerciales en el plazo de un año, en concreto con fechas 25 y 30 de abril de 2013, sin cumplir los requisitos recogidos en el artículo 21.1 de la LSSI, toda vez que dichas comunicaciones no habían sido solicitadas o expresamente autorizadas por el denunciante con posterioridad a haber manifestado a dicha empresa , con fecha 17 de abril de 2013 , su voluntad de no continuar recibiendo publicidad por correo electrónico, circunstancia, además conocida por la empresa remitente de la información comercial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 En conclusión, EUROPCAR ha vulnerado la prohibición de remitir comunicaciones comerciales no solicitadas realizadas a través de correo electrónico establecida en el artículo 21.1 de la LSSI, conducta que, en el caso analizado, encuentra su tipificación en el artículo 38.4.
16. d)de dicha norma. VIII A tenor de lo establecido en el artículo 39.1.
17. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma que dispone: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
18. a)La existencia de intencionalidad.
19. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
20. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
21. d)La naturaleza y cuantía de los perjuicios causados.
22. e)Los beneficios obtenidos por la infracción.
23. f)Volumen de facturación a que afecte la infracción cometida”. En aplicación los criterios de graduación de las sanciones recogidos en el citado artículo 40 de la LSSI, se estima que en este supuesto opera como agravante el hecho de que la entidad imputada continuó enviando correos electrónicos comerciales a un usuario al que con fecha 17/04/2013 había confirmado el registro de la baja solicitada en sus sistemas y el cese de los envíos publicitarios, ello a pesar de que con fecha 14/10/2013 se ha comprobado que en su base de datos continuaba activada la marca para el envío de newslettero. Paralelamente, se valoran como circunstancias atenuantes la ausencia de intencionalidad en la comisión de la infracción, conforme prueba la rápida contestación efectuada a la solicitud de baja practicada por un medio diferente de los habilitados para ello y la falta de constancia de que la remisión de los envíos no autorizados haya ocasionado perjuicios relevantes al denunciante o generado algún tipo de beneficios o facturación a la empresa imputada como remitente de los mismos. Por lo tanto, al haber quedado acreditado el elemento subjetivo de culpabilidad por parte de EUROPCAR en la comisión de la infracción imputada, se estima que la imposición de una sanción de 1.200 € resulta adecuada a la gravedad de los hechos imputados con arreglo a lo previsto en los artículos 40 de la LSSI y 131 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad EUROPCAR IB S.A., por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
24. d)de la LSSI, una multa de 1.200 € (Mil doscientos euros), de conformidad con lo establecido en los artículos 39.1.
25. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a EUROPCAR IB S.A. y a Don A.A.A. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es