PS-00565-2015

1/20 Procedimiento Nº PS/00565/2015 RESOLUCIÓN: R/00531/2016 En el procedimiento sancionador PS/00565/2015, instruido por la Agencia Española de Protección de Datos a la Asociación de Empresarios de Tecnologías de la Información y Comunicaciones de Andalucía (ETICOM), vista la denuncia presentada por de Don A.A.A. , y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 7 de agosto de 2015, tiene entrada en esta Agencia Española de Protección de Datos (AEPD) escrito de Don A.A.A. (en adelante denunciante), en el que denuncia a la Asociación de Empresarios de Tecnologías de la Información y Comunicaciones de Andalucía (ETICOM) por haber recibido comunicaciones comerciales por correo electrónico en su cuenta I.I.I. sin que previamente se hubieran solicitado o expresamente autorizado, y sin existir una relación contractual previa (SPAM). Además, se ha requerido a la denunciada que cesara en sus envíos ilícitos sin que haya atendido el requerimiento y no ofrece en sus comunicaciones la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito. A pesar de que la denunciada conocía que sus envíos contravenían lo estipulado en el artículo 21 de la LSSI, ha persistido en los mismos, lo que demuestra una clara intencionalidad en incumplir lo establecido en la LSSI. Se adjunta con el escrito de denuncia impresión de pantalla de los siguientes correos electrónicos y de sus cabeceras:  Mensaje remitido desde la dirección B.B.B. a la dirección I.I.I., el día 11 de mayo de 2015 17:08, Asunto: BUSINESS TICC 2015. Una oportunidad única para abrir nuevos mercados internacionales, en el cuerpo del mensaje se informa de “quinta edición de Business TICC 2015 (…)”.  Mensaje remitido desde la dirección I.I.I. a la dirección B.B.B., el día 11 de mayo de 2015 18:40, en el Asunto: RE: BUSINESS TICC 2015. Una oportunidad única para abrir nuevos mercados internacionales y en el cuerpo del mismo consta “Dejen de enviar SPAM. Gracias”.  Mensaje remitido desde la dirección D.D.D.> a la dirección <info@ I.I.I.>, el día 13 de mayo de 2015 18:22, Asunto: Hackathon Fujitsu en Business TIC15, en el cuerpo del mensaje se informa de “Maratón de creación de soluciones open data (…)”.  Mensaje remitido desde la dirección I.I.I. a la dirección B.B.B., el día 13 de mayo de 2015 20:02, en el Asunto: RE: Hackathon Fujitsu en Business TIC15 y en el cuerpo del mismo consta “Dejen de enviar SPAM. Procedemos a denunciarles ante la Agencia Española de Protección de Datos”.  Mensaje remitido desde la dirección < E.E.E.> a la dirección <info@ I.I.I.>, el día 13 de mayo de 2015 20:01, Asunto: Hackathon videojuegos con Genera Games en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20 business TIC15, en el cuerpo del mensaje se informa de “Maratón de creación de videojuegos (…)”.  Mensaje remitido desde la dirección <info@ I.I.I.> a la dirección B.B.B., el día 13 de mayo de 2015 20:03, en el Asunto: RE: Hackathon videojuegos con Genera Games en business TIC15 y en el cuerpo del mismo consta “Dejen de enviar SPAM”.  Mensaje remitido desde la dirección < C.C.C. a la dirección <info@ I.I.I.>, el día 14 de mayo de 2015 18:23, Asunto: Mesa de Financiación de Nuevos Proyectos de I+D+I en BUSINESS TICC15, en el cuerpo del mensaje se informa de “V Foro de Negocios y Networking para el mercado TICC (…)”.  Mensaje remitido desde la dirección <info@ I.I.I.> a la dirección B.B.B., el día 14 de mayo de 2015 23:41, en el Asunto: RE: Mesa de Financiación de Nuevos Proyectos de I+D+I en BUSINESS TICC15 y en el cuerpo del mismo consta “Una vez más le indicamos que dejen de enviar SPAM”.  Mensaje remitido desde la dirección B.B.B. a la dirección I.I.I., el día 20 de mayo de 2015 17:45, Asunto: Business TICC15. De especial importancia para las empresas (…), en el cuerpo del mensaje se informa de “V Foro de Negocios y Networking para el mercado TICC (…)”.  Mensaje remitido desde la dirección I.I.I. F.F.F. C.C.C., el día 20 de mayo de 2015 20:53, en el Asunto: RE: Business TICC15 y en el cuerpo del mismo consta “De nuevo les instamos a que dejen de enviar SPAM”.  Mensaje remitido desde la dirección B.B.B. a la dirección <info@ I.I.I.>, el día 28 de mayo de 2015 9:50, Asunto: RHackathon APPs para Salud con Vodafone (…), en el cuerpo del mensaje se informa de “Hackathon Vodafone (…)”.  Mensaje remitido desde la dirección I.I.I. F.F.F. C.C.C., el día 28 de mayo de 2015 12:29, en el Asunto: RE: RHackathon APPs para Salud con Vodafone (…) y en el cuerpo del mismo consta “Por enésima vez le solicitamos que dejen de enviarnos SPAM”.  Mensaje remitido desde la dirección D.D.D.> a la dirección I.I.I., el día 29 de mayo de 2015 10:07, Asunto: Foro de Inversión en Business TICC15 (…), en el cuerpo del mensaje se informa de “V Foro de Negocios y Networking (…)”. A la vista de lo cual el denunciante recibió en la dirección info@ I.I.I. un total de siete mensajes de ETICOM y remitió seis mensajes solicitando que no le enviaran más comunicaciones comerciales no deseadas. No consta que los mensajes remitidos al denunciante ofrecieran al destinatario un mecanismo para poder oponerse a la recepción de nuevos correos comerciales. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a ETICOM, teniendo conocimiento de los siguientes extremos: 1. En el Registro General de Protección de Datos figura inscrito el fichero denominado “BAJAS”, con el código ***CÓD.1, siendo responsable la asociación ETICOM y cuya finalidad es “registro de las empresas temporalmente dadas de baja para futuros contactos”. 2. Se ha verificado por parte de la Inspección de Datos que, en el sitio web <www.eticom.com>, Política de Privacidad, consta, entre otros, el siguiente texto: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 “Podrá dirigir sus comunicaciones y ejercitar los derechos de acceso, rectificación y cancelación y oposición en la siguiente dirección de correo electrónico: H.H.H., o bien por correo postal a Asociación Eticom, Parque empresarial (C/......1)Sevilla”. 3. La asociación ETICOM ha informado a la Inspección de Datos, con fecha de 25 de septiembre de 2015, en relación con los correos electrónico remitidos al denunciante lo siguiente:  En ningún momento ha habido intencionalidad y mucho menos cuando se trata de una asociación que conocen desde hace mucho tiempo por coincidir su ámbito geográfico y parte de sus fines.  Que en cuanto ETICOM tuvo constancia del descontento con la recepción de los correos, tomó las medidas correctoras oportunas, eliminando dicha dirección como destinataria de sus comunicaciones electrónicas.  Igualmente se ha adoptado la medida de incluir en las comunicaciones electrónicas futuras que se remitan de forma colectiva un acceso directo, y por el mismo conducto, al objeto de solicitar la baja como destinatario del correo. Hasta ahora esa posibilidad no estaba incluida con carácter general porque prácticamente todas las comunicaciones colectivas van dirigidas a los asociados y, eventualmente, a personas o entidades relacionadas con el sector TIC, sin que ninguna tuviera carácter comercial.  Que en este caso concreto hay circunstancias, que hacen que su conducta no deba ser objeto de expediente alguno, como son:  Que la dirección de correo electrónico donde el denunciante recibió las comunicaciones que, el mismo ha venido a calificar como Spam, figura en una fuente accesible al público, ya que se encuentra recogida en el Aviso Legal de la asociación ANDCE dedicada al mismo sector de actividad que ETICOM. Por lo que entienden que dicha circunstancia puede constituir una de las causas eximentes de la obligación de recabar el consentimiento previo del afectado para el tratamiento de sus datos personales.  Que la dirección de correo electrónico en cuestión no es de la titularidad del denunciante, sino de la mencionada asociación, razón por la cual parece que el mismo carece de la legitimación necesaria, para proceder a la interposición de la denuncia en su propio nombre y representación.  Que los correos en cuestión no pueden ser calificados en sí mismos como Spam, ni han pretendido que tengan tal carácter, dado que no se puede afirmar que obedezcan a fin comercial alguno, ni por su contenido ni por la entidad de la que proceden.  Desde el punto de vista de su contenido, los correos tenían como única finalidad informar a la asociación ANDCE de la organización de un evento, la quinta edición de Business TIC 2015, al que estaba invitada con carácter totalmente gratuito.  Por lo que respecta a la procedencia del correo, ETICOM constituye una Asociación sin ánimo de lucro, cuya finalidad y objeto básico no es otro que la defensa y promoción de los intereses del sector andaluz de las TICs. Como tal no tiene actividad comercial alguna y tampoco se perseguía actividad comercial con el Business TIC 2015 que se configura desde su primera edición como el principal foro de encuentro de empresas y entidades andaluzas interesadas en el sector TIC.  En la medida en que ANDCE estaba invitado al Bussiness TIC 2015, esta invitación no constaba como rechazada, entienden que seguía interesada en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 evento y en las distintas actuaciones que se iban a producir en el mismo. El gran volumen de comunicaciones que se produce como consecuencia del Business TIC 2015, este año ha rebasado las cuatrocientas empresas inscritas, explica, que no justifica, el retraso en atender la petición de baja de la Asociación denunciante. TERCERO: Con fecha 22 de octubre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a Empresarios de Tecnologías de la Información y Comunicaciones de Andalucía (ETICOM) por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 38.4.

1. d)de dicha norma, pudiendo ser sancionada con multa de hasta 30.000 € €, de acuerdo con el artículo 39.1.
2. c)de la LSSI. CUARTO: Notificado el citado Acuerdo de inicio, con fecha 26 de noviembre de 2015 se registra de entrada en esta Agencia escrito de la representación legal de ETICOM, que tras poner de manifiesto que es una Asociación sin ánimo de lucro que se limita a representar y defender los intereses de las empresas y empresarios del sector TIC de Andalucía, alega respecto de los hechos imputados, en síntesis, lo que sigue: - Reconocimiento del error cometido en forma involuntaria y, por tanto, los hechos sobre los que se basa el expediente, cuya realización no ha perseguido ningún interés económico ni provecho alguno. - El hecho de tener dado de alta un fichero de bajas en la AEPD y que en la web de la Asociación se incluya un apartado para ejercer los derechos ARCO acredita su voluntad de dar cumplimiento de sus obligaciones legales. - Las comunicaciones denunciadas no tienen interés lucrativo ni comercial alguno. En ellas se limitaba a informar a ANDCE de diversos acontecimientos que iban a tener lugar durante la celebración del encuentro Business TIC 2015 al que dicho destinatario estaba invitado, siendo la invitación y la asistencia a los distintos eventos gratuita para todas las empresas asistentes. En la medida en que no les constaba como rechazada la invitación a ANDCE entendieron que seguía interesada en el evento y los actos del mismo. Alegan que el elevado volumen de comunicaciones que se produce como consecuencia del evento explica, junto con el hecho de que en los procesos de comunicación de eventos del encuentro a los invitados al mismo colaborasen becarios en prácticas, aunque no justifica, el retraso en atender la petición de baja. - Defienden la resolución del expediente sin sanción alguna indicando: 1) Que tan pronto como se tuvo conocimiento de los hechos se dieron de baja los datos de la dirección afectada y se registró la misma en el fichero correspondiente, procediendo también a fin de evitar futuras infracciones en materia de protección de datos y de servicios de la sociedad de la información a adoptar las siguientes medidas :
3. a)controlar y monitorizar que en todas las comunicaciones electrónicas futuras que se remitan de forma colectiva se incluya un acceso directo, y por el mismo conducto, al objeto de solicitar la baja como destinatario del correo;
4. b)Aprobar un documentocompromiso de respecto de la normativa de protección de datos y comercio electrónico a suscribir por todos los empleados, directivos y becarios en práctica de la Asociación; C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20
5. c)Establecer un protocolo de actuación en las anteriores materias. 2) No se han debido producir perjuicios con su error en tanto que los envíos se dirigían a una dirección general que no corresponde a persona física, su respuesta no ha exigido mucho tiempo ni esfuerzo y la Asociación tiene relación directa con la ANDCE y el firmante sin haber recibido queja o reclamación de los mismos. 3) Falta de intencionalidad, inexistencia de ánimo de lucro o provecho en los hechos que motivan el procedimiento. Subsidiariamente, se solicita que dichas circunstancias se valoren para modular la gravedad de los hechos u acordar un apercibimiento por el error cometido. QUINTO: En fecha 3 de diciembre de 2015, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, teniéndose por practicadas a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ETICOM, el Informe de actuaciones previas de Inspección que forman parte del expediente E/05533/2015, las alegaciones al acuerdo de inicio PS/00565/2015 presentadas por la Asociación imputada . Asimismo, se acordó solicitar a ETICOM contestación a los siguientes extremos y remisión de la documentación que a continuación se indica: - Envío de copia de todos los escritos de solicitud de baja procedentes de la Asociación Andaluza de Comercio Electrónico y de sus cabeceras de Internet en relación con los envíos vinculados a los encuentros Business TICC 2015. - Fecha exacta en que se ha dado de baja de su lista de distribución y ficheros la cuenta de correo electrónico info@ I.I.I. para su exclusión con fines publicitarios, con remisión de documentación acreditativa de tal circunstancia. - Remisión de documentación justificativa de la adopción efectiva y puesta en marcha de las medidas que se citan en el punto 5 de sus alegaciones en relación con el envío de comunicaciones comerciales por medios de comunicación electrónica. También se acordó solicitar al denunciante acreditación de que las solicitudes de baja cuya copia adjuntaba a su escrito de denuncia contra ETICOM fueron efectivamente recibidas en la cuenta de correo electrónico E.E.E.. Igualmente se solicitaba al denunciante justificación de la relación que mantiene en su calidad de denunciante con la dirección info@ I.I.I.. SEXTO: Con fecha 4 de enero de 2016 se registra de entrada escrito del denunciante acompañado de las impresiones de los contenidos y de los encabezados de Internet de los correos de petición de baja que fueron recibidos en la cuenta info@ I.I.I., que fueron enviados los días 11, 13, 14, 20 y 28, de mayo a las direcciones de Internet E.E.E. e J.J.J. desde esta misma dirección en contestación a los SPAM recibidos. Asimismo, el denunciante que señala ser el presidente y el representante legal de la ANDCE, adjunta certificado del secretario de la ANDCE, titular del dominio de Internet “ I.I.I.”, en el que consta que el denunciante es el único titular autorizado para el uso de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 dirección de correo info@ I.I.I. y al que le corresponde el ejercicio de los derechos relacionados con la misma. Con fecha 8 de enero de 2015 se registra de entrada escrito de contestación de ETICOM indicando lo siguiente: 1. Que adjuntan copia de todos los escritos remitidos por e-mail por la ANDCE con relación a las comunicaciones recibidas con ocasión al Business Tic 2015. 2. Aportan listado obtenido de la Herramienta CRM de la Asociación donde se incluyen las empresas que han comunicado su deseo de No Recibir correo electrónico, en el que figura la ANDCE. La captura aportada muestra que su CRM tiene un apartado específico para reflejar si el destinatario está incluido en una Lista Robinson y/o al objeto de no remitirle comunicaciones, inclusión que aunque no aparezca recogida se realizó el 28 de mayo de 2015. 3. Aportan la siguiente documentación:  Documentos-compromiso de respeto de la normativa de protección de datos y de comercio electrónico para las personas con accesos a las bases de datos y con autorización para remitir correos en nombre de la asociación.  Protocolo de actuación establecido para evitar el spam en las comunicaciones de la Asociación. SÉPTIMO: Con fecha 19 de febrero de 2016 se formuló propuesta de resolución, en el sentido de que la Directora de la Agencia Española de Protección de Datos sancionase Asociación de Empresarios de Tecnologías de la Información y Comunicaciones de Andalucía (ETICOM), con multa de Tres mil cuatrocientos € (Tres mil cuatrocientos euros) por la infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4.
6. d)de dicha norma, de conformidad con lo establecido en los artículos 39.1.c y 40 de la citada LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 OCTAVO: Notificada dicha propuesta de resolución, con fecha 16 de marzo de 2016 se registra de entrada en esta Agencia escrito de alegaciones de la representación legal de ETICOM, en el que se solicita que el expediente finalice con un apercibimiento por resultar una medida suficiente para alcanzar los objetivos y fines de la normativa con arreglo a lo dispuesto en los artículos 53.2, 131 y 138 de la LRJ-PAC. Sobre este particular, se aduce que la AEPD no ha tenido en cuenta las siguientes circunstancias excepcionales que justifican el apercibimiento: - No se ha producido una utilización comercial de los envíos en atención a las siguientes circunstancias: ETICOM es una asociación dirigida a la promoción de intereses colectivos y sin ánimo de lucro; el evento al que hacían referencia los e-mail también tenía un carácter gratuito; los correos no intentaban convencer al destinatario para que asistiese al evento, sino que informaban de distintas circunstancias del evento al que éste había sido invitado, no constando rechazo a dicha invitación; los e-mails iban dirigidos a una dirección genérica y no a una persona determinada. - Inexistencia de daño alguno comunicaciones realizadas. como consecuencia de las Subsidiariamente solicitan que la sanción se disminuya en razón de:
7. a)inclusión incorrecta del artículo 40.
8. a)de la LSSI como agravante relacionándola con la falta de diligencia inicial, ya que ésta es una circunstancia necesaria para dar lugar al tipo objetivo de lo injusto contemplado en el artículo 21 frente a la conducta diferenciada y más grave recogida, en forma expresa, en dicho apartado
9. a)de la intencionalidad; y
10. b)que la sanción propuesta vulnera el principio de equidad por resultar menos favorable que las multas acordadas en una serie de expedientes tramitados por infracción del artículo 21 de la LSS que presentaban idénticas características en unos casos y extrema similitud en otros, y cuya relación detalla. HECHOS PROBADOS PRIMERO: Con fecha de 7 de agosto de 2015 tiene entrada en esta Agencia denuncia de Don A.A.A. (en adelante denunciante) contra la Asociación de Empresarios de Tecnologías de la Información y Comunicaciones de Andalucía (ETICOM) por el envío de comunicaciones comerciales no autorizadas a su cuenta de correo electrónico I.I.I. , no existiendo tampoco una relación contractual anterior con el remitente de los envíos. (folios 1 al 71) SEGUNDO: Consta que con fechas 11, 13