← España

PS-00565-2024

1/26  Procedimiento Nº: EXP202412112 (PS/00565/2024) - RESOLUCIÓN DEL PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 17 de julio de 2024 A.A.A. (en adelante, la parte reclamante) presenta escrito de reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad, KINYO, S.L. con NIF.: B60553088, (en adelante, la parte reclamada), por la presunta vulneración de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en adelante, LSSI) y manifiesta lo siguiente: “A raíz de un error cometido por otra empresa del mismo sector que la reclamada, donde filtraron mi dirección de correo electrónico, comencé a recibir e-mails no deseados por parte del personal de kinyo.es, en concreto de dos personas diferentes bajo el mismo dominio (kinyo.

  1. es)en primer lugar, dichos mensajes no contienen información ni enlace para solicitar mi baja de esas comunicaciones. Por ello procedí a responderles directamente a esos mensajes. una de estas personas me respondió y pidió disculpas, la otra, sigue enviándome mensajes haciendo caso omiso a mis reiteradas peticiones desde el 26 de junio, comunicando mi deseo de que borren mi correo de su lista de correo. En uno de mis mensajes les pregunté además cómo obtuvieron mis datos y tampoco obtuve respuesta alguna. Poseo todos y cada uno de los mensajes recibidos por parte de la empresa reclamada, con las cabeceras de los mismos. a su vez, poseo los emails que escribí donde les pido por favor que dejen de enviarme emails”. Junto al escrito de reclamación, se acompaña la siguiente documentación: a).- Cadena de correos publicitarios o comerciales recibidos por el reclamante: - Fechado el día 26/06/24 a las 10:27 h. copia del correo electrónico enviado desde la dirección: “B.B.B.” ***EMAIL.1 a la dirección de correo “A.A.A. ***EMAIL.2 ” con el Asunto: HDD EXTERNOS RETAIL SEMANA 26, conteniendo el siguiente mensaje: “Hola, Os pasamos los nuevos precios en la categoría de HDD externos (…)”. - Fechado el día 26/06/24 a las 11:44 h. copia del correo electrónico enviado desde la dirección: “C.C.C.” ***EMAIL.3 a la dirección de correo “A.A.A. ***EMAIL.2 ” con el Asunto: “¡¡¡¡¡ Actualización de Precios para Discos Externos !!!!!!, conteniendo el siguiente mensaje: “Buenos días, Me tomo la libertad de actualizarte los precios de los discos duros Externos, Seagate, y Toshiba, así como Wester y los packs que podemos llegar a montar para que sea un poco más atractivo el producto(...). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/26 - Fechado el día 26/06/24 a las 13:57 h. copia del correo electrónico enviado desde la dirección: “C.C.C.” ***EMAIL.3 a la dirección de correo “A.A.A. ***EMAIL.2 ” con el Asunto: “¡¡¡¡OFERTA TELEVISIÓN MANTA 32"!!!! y conteniendo el siguiente mensaje: “Me tomo la libertad de informarte que somos los importadores y distribuidores para Península del fabricante Manta. Ahora mismo disponemos de Televisores de 32” Manta con Smart Tv a un precio muy interesante. Es una pulgada muy interesante ya que nos lo reclaman para cocinas, habitaciones, cuartos pequeños, y ahora con la llegada que vamos a recibir del Televisor con 24" para autocaravanas, estamos teniendo muchas reservas de unidades (…)”. - Fechado el día 26/06/24 a las 17:02 h. copia del correo electrónico enviado desde la dirección: “C.C.C.” ***EMAIL.3 a la dirección de correo “A.A.A. ***EMAIL.2, con el Asunto: “¡¡¡¡PROMO OFERTAS RIELLO!!!” y conteniendo el siguiente mensaje: “Llega el verano, las sobre cargas aquí con Riello tenemos la solución. Sistemas de alimentación Ininterrumpidas SAI (…)”. b).- Petición del reclamante de no recibir más correos electrónicos publicitarios: - Fechado el día 26/06/24 a las 17:08 h. copia del correo electrónico enviado desde la dirección: “A.A.A. ***EMAIL.2, a la dirección de correo: “C.C.C.” ***EMAIL.3 con el Asunto: RE “¡¡¡¡PROMO OFERTAS RIELLO!!!” y conteniendo el siguiente mensaje: “Buenas tardes, Agradecería dejaran de enviarme correos a esta cuenta de correo, ya que en ningún momento les he dado permiso para ello ni me he inscrito en sus listas de correo. Por otro lado, no incluyen en el pie del email el link para ejercer mi derecho a darme de baja de la lista de correo. Por ese motivo me he parado para escribirles este email. A lo largo del día he recibido 4 correos desde Kinyo.es. Ruego por favor tengan en cuenta mi petición. Gracias”. c).- Respuesta a la petición de cese de los envíos de correos electrónicos: - Fechado el día 26/06/24 a las 17:12 h. copia del correo electrónico enviado desde la dirección: “C.C.C.” ***EMAIL.3 a la dirección de correo “A.A.A. ***EMAIL.2 , con el Asunto: RE “¡¡¡¡PROMO OFERTAS RIELLO!!!” y conteniendo el siguiente mensaje: “Buenas tardes A.A.A.. Le pido disculpas. No era mi intención, más allá que de informar e intentar ser lo suficiente interesante como para poder generar negocio entre ambos. Le pido disculpas y no le volveré a enviar ningún correo más a no ser que usted me lo pida o tenga alguna inquietud. Muchas gracias”. d).- Recepción de un nuevo correo electrónico publicitario después de la solicitud: - Fechado el día 01/07/24 a las 17:42 h. copia del correo electrónico enviado desde la dirección: “B.B.B.” ***EMAIL.1 a la dirección de correo “A.A.A. ***EMAIL.2 ” con el Asunto: HDD Externos SEMANA 27 RETAIL, conteniendo el siguiente mensaje: “Hola, Te actualizo los precios de los discos duros externos de esta semana. Unidades disponibles. (…)”. e).- Nueva petición de cese de envío de correos electrónicos publicitarios: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/26 - Fechado el día 01/07/24 a las 18:23 h. copia del correo electrónico enviado desde la dirección: “A.A.A. ***EMAIL.2, a las direcciones de correo: A.A.A. ***EMAIL.2 y C.C.C.” ***EMAIL.3 con el Asunto: Re: HDD Externos SEMANA 27 RETAII y conteniendo el siguiente mensaje: “Por favor, sé que no tienen mala intención con estos emails y que solo pretenden hacer negocios. La situación aquí es que continúan enviándome emails, ofreciéndome productos que ustedes creen que pueden ser de mi interés, y es que en ningún momento me he apuntado a este tipo de comunicaciones por su parte, ni tampoco les he dado mi consentimiento. Solicito y ruego, por segunda vez, que eliminen mi dirección y datos de su lista de correo y/o bases de datos. La semana pasada ya se lo transmití a su compañero C.C.C. y pensé que había quedado zanjado el asunto. Pero vuelvo a recibir correos desde una cuenta de correo de Kinyo.es. Por otra parte, recordarles que no me han indicado la forma en la que han obtenido mis datos para este tipo de comunicaciones, ni tampoco me ofrecen la oportunidad conocerlos datos que tienen míos, para ejercer mi derecho de oposición o cancelación de los mismos. Les recuerdo que en cada email deberían ofrecer la posibilidad de darse de baja. No tengo ninguna intención de ir por las malas, pues soy consciente y entiendo lo complicado que es, cada día más, de hacer negocios y avanzar en este mundillo”. f).- recepción de nuevos correos electrónicos publicitarios después de haber solicitado por segunda vez que no volvieran a enviar más comunicaciones comerciales: - Fechado el día 08/07/24 a las 17:44 h. copia del correo electrónico enviado desde la dirección: B.B.B.” ***EMAIL.1 a la dirección de correo “A.A.A. ***EMAIL.2 , con el Asunto: “HDD Externos SEMANA 28 RETAIL” y conteniendo el siguiente mensaje: “Hola, Te actualizo los precios de los discos duros externos de esta semana”. - Fechado el día 15/07/24 a las 18:30 h. copia del correo electrónico enviado desde la dirección: B.B.B.” ***EMAIL.1 a la dirección de correo “A.A.A. ***EMAIL.2 , con el Asunto: “HDD Externos SEMANA 29 RETAIL” y conteniendo el siguiente mensaje: “Hola, Te actualizo los precios de los discos duros externos de esta semana”. SEGUNDO: Con fecha 06 de septiembre de 2024, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, (en adelante, LOPDGDD), por parte de esta Agencia, se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que se exponía en el escrito de reclamación. TERCERO: Con fecha 10 de septiembre de 2024, se recibe en esta Agencia escrito de contestación por parte de la reclamada, en el cual manifiesta, en síntesis que, tras la reclamación, procedió a eliminar de su base de datos la dirección de correo electrónico del reclamante. Explica que la demora en dicha cancelación, desde el 25 de junio hasta el 15 de julio, se debió a que el primer comunicado remitido a ***EMAIL.3 no llegó al responsable de la base de datos, por lo que solo se ejecutó la supresión tras una segunda solicitud. Añade que se ha reforzado la formación interna del responsable C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/26 del correo para garantizar la tramitación inmediata de solicitudes de cancelación o modificación de datos. Asimismo, sostiene que los envíos se efectuaban al denunciante con base en un interés legítimo, al tratarse de comprador de una página web de material informático, siendo KINYO, S.L. mayorista y proveedor de productos de este sector. CUARTO: Con fecha 17 de octubre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Según la información económica sobre KINYO, S.L., su cifra de negocio en el año 2022 fue de 10.000.000 euros. SEXTO: Con fecha 8 de enero de 2025, se acordó iniciar procedimiento sancionador a la parte reclamada con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta vulneración del artículo 21.1 de la LSSI, tipificada como leve en el art. 38.4.
  2. d)de dicha norma, en el sentido del envío de comunicaciones comerciales vía correo electrónico sin haberlas solicitado o expresamente autorizado, con una sanción inicial de 10.000 euros (diez mil euros) y por la presunta vulneración del artículo 21.2 de la LSSI, tipificada como leve en el art. 38.4.
  3. d)de dicha norma, por la inexistencia de un mecanismo que posibilite al usuario realizar su oposición a recibir más comunicaciones comerciales en los propios correos electrónicos, con una sanción inicial de 5.000 euros (cinco mil euros). SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, con fecha 15 de enero de 2025, la parte reclamada presentó escrito de alegaciones en el que, niega que los datos del reclamante se hayan obtenido de forma indebida y afirma que proceden de su actividad habitual de presentaciones, charlas y show rooms en el sector informático. Sostiene que el correo electrónico no proviene de un error de un tercero ni de un aprovechamiento oportunista. Indica que los envíos no son automáticos, sino realizados por un operador comercial, de modo que las comunicaciones incluían datos de contacto en las firmas de los correos, lo que —a su juicio— cumple lo previsto en los artículos 21.2 y 22 LSSI, permitiendo al destinatario revocar el consentimiento mediante simple notificación al remitente. Reconoce una breve demora entre la primera solicitud y la baja definitiva del correo, pero considera que se actuó con la diligencia exigida, sin perjuicio para el reclamante ni beneficio para la entidad. Añade que se trata de un hecho único y aislado en más de veinte años de actividad y que, conforme a la jurisprudencia citada (SAN 2462/2019, entre otras), las sanciones propuestas resultarían desproporcionadas en comparación con casos de mayor entidad. Solicita, en consecuencia, la sustitución de la sanción por un apercibimiento, al amparo del artículo 39 ter LSSI. OCTAVO: En fecha 28 de julio de 2025 se formuló propuesta de resolución, proponiendo que, por la Presidencia de la Agencia Española de Protección de Datos se sancionase a la entidad, KINYO, S.L. con NIF.: B60553088 por la infracción artículo 21.1 de la LSSI, tipificada como leve en el art. 38.4.
  4. d)de dicha norma, con 10.000 euros (diez mil euros) y por la infracción del artículo 21.2 de la LSSI, tipificada como leve en el art. 38.4.
  5. d)de dicha norma, con una multa de 5.000 euros (cinco mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/26 NOVENO: En fecha 8 de agosto de 2025 se recibe en esta Agencia escrito de alegaciones a la propuesta de resolución indicando en el mismo lo siguiente: “ (…) el hecho de que se empiecen a recibir correos de la empresa KINYO, tiene que ver con un error cometido por una empresa del mismo sector, ajena a la reclamada, la cual compartió y filtró los datos del reclamante. • Se enviaron correos, concretamente en las siguientes fechas y momentos: o El primer correo que se envía es el día 26 de junio a las 10:27h, por parte de B.B.B.. o De nuevo, ese mismo día, se envían otros correos por parte de C.C.C. a las 11:44h, a las 13:57h y a las 17:02h. Por lo tanto, se trata de 4 correos los cuales se recibieron el mismo día. Si bien, el número puede parecer sustancial, lo cierto es que, hasta las 17:08h de ese mismo día, el señor A.A.A., no manifestó su voluntad de causar baja. En consecuencia, la petición de baja debería considerarse a partir de esa última comunicación a las 17:08h, con lo cual, podríamos decir que se trata de una sola interacción desafortunada durante ese mismo día. • Finalmente, a las 17:12h de ese mismo día 26 de junio, tras la petición de A.A.A., se envía un email de disculpas por parte de C.C.C. en respuesta de la situación generada. En cualquier caso, si bien se deben tomar medidas y responder a la mayor brevedad posible, nos parece importante remarcar que ese primer contacto con el usuario afectado se produce exclusivamente durante un solo día y en los momentos señalados. Y se solicita al final de las comunicaciones de ese día. • Es cierto que se producen nuevas interacciones en fechas 1, 8 y 15 de julio de 2024. En estas tres interacciones, se envía un solo correo en cada ocasión por parte de KINYO. En este caso, por parte de B.B.B., quién no recibió la comunicación de baja por parte de su compañero, C.C.C.. Se trató, por lo tanto, de un fallo en el procedimiento que tenían articulado hasta el momento. • Si bien, con ese último correo del 15 de julio de 2024, sí se procede a la baja efectiva del correo en la base de datos de KINYO, como consta reconocido en el procedimiento (…). Segundo.- Mejoras adoptadas en las medidas de seguridad de la compañía Que, a raíz de los hechos expuestos, la empresa KINYO ha procedido a documentar debidamente el procedimiento interno a seguir en caso de ejercicio de derechos por parte de los interesados, incluyendo el derecho de oposición. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/26 Asimismo, se ha implementado también el correspondiente pie de email el cual permite gestionar de forma efectiva las solicitudes de ejercicio de derechos planteadas por los usuarios y su respuesta. Se acredita dicho procedimiento como DOCUMENTO N.º 2 y el pie de email para las bajas como DOCUMENTO N.º 3. Que así mismo, se ha procedido a revisar el circuito que se realiza para las colaboraciones con terceros facilitadores de datos de contacto, estableciendo un procedimiento de verificación que se acompaña como DOCUMENTO N.º 4. (…) Cabe remarcar y puntualizar que (
  6. i)tras la solicitud de baja únicamente se recibieron tres

(3)correos adicionales; (
  1. ii)que dichos correos fueron enviados por la persona que no tuvo conocimiento de la petición de baja; y que, (iii) en consecuencia, en ningún caso, puede atribuirse intencionalidad alguna por parte de la empresa ni a sus empleados, ya que los hechos derivaron de una falta de coordinación puntual, no de una voluntad consciente de incumplir la normativa. Con relación a este asunto, cabe manifestar lo siguiente: • En primer lugar, que se recibieron esas comunicaciones por error, debido a una filtración de datos otra empresa del mismo sector, como el propio reclamante manifiesta en su escrito de reclamación. En base a lo anterior, el error se produjo a raíz de dicho error ajeno por parte de una tercera empresa, lo que provocó el error en el envío por parte de KINYO. Tal y como se expuso en las alegaciones presentadas, este tipo de cesiones de datos son habituales entre empresas del sector, si bien KINYO únicamente colabora con empresas con las cuales mantiene los acuerdos correspondientes, todo ello en aras a cumplir con la normativa en materia de protección de datos. Ahora bien, al no haber sido posible identificar con certeza qué empresa filtró los datos del reclamante, resulta complejo determinar con quién debería constar el contrato y/o aceptación expresa de sus términos y condiciones y, con ello, acreditar la legitimación del tratamiento de los datos por parte de KINYO. • En segundo lugar, cabe decir que por parte de la Agencia no se justifica adecuadamente la determinación y apreciación de la intencionalidad, esto es, no se aplica ningún criterio jurídico concreto y, simplemente se limita a afirmar su existencia de forma genérica, lo que provoca inseguridad jurídica. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/26 Pues bien, a la luz de lo anteriormente expuesto, si bien se podría decir que existió voluntad de enviar una comunicación, este se fundamentó en la creencia razonable, por un lado, de que se disponía de legitimación suficiente, derivada de esa interacción con otros colaboradores. Y, por otro lado, una vez se recibió la solicitud de baja, C.C.C., no volvió a enviar ningún correo, cesando inmediatamente el envío de cualquier otra comunicación (por lo tanto, al no volverse a producir, no hay intención). Los correos posteriores fueron enviados por parte de B.B.B., quién, por desconocimiento de la baja solicitada, siguió enviando los mensajes, sin conocimiento ni intención de estar incurriendo en una infracción. (…) A mayor abundamiento, y como ya se manifestó en el curso del procedimiento, si bien la obtención de información del usuario se produjo a partir de bases de datos de colaboradores que permitían el uso de esta información, en el marco de actividades profesionales propias del sector y de acuerdo con lo dispuesto en el artículo 39.
  2. c)de la LSSI. No obstante, se asume por KINYO el error a la hora de documentar la legitimación para este caso concreto. Si bien, como se ha indicado, también hubiera resultado difícil probarlo, puesto que se desconoce de qué colaborador procedía la información (y que provocó el filtrado reconocido en el expediente). En este sentido, y con el objetivo de evitar que situaciones similares puedan repetirse, se ha elaborado de forma proactiva, todo con aras de minimizar el riesgo de que este tipo de situaciones se vuelvan a producir, un protocolo actualizado de verificación el cual que permite identificar y verificar que, en cada caso, se dispone efectivamente de la legitimación necesaria para poder realizar ese envío. Dicho Protocolo se acompaña como DOCUMENTO N.º 4. Segundo.- Con relación a la inexistencia de un procedimiento que posibilite la oposición Frente a este argumento, cabe manifestar, como ya se indicó, que sí se disponía de un procedimiento articulado de forma más o menos informal, pero que el circuito no se siguió adecuadamente. Y es por ello, por lo que, B.B.B. no fue consciente de la petición de baja de A.A.A.. En virtud de lo aquí expuesto, se asume la responsabilidad, pero se manifiesta que, de cara a minimizar el riesgo de que este tipo de situaciones se vuelva a producir, se ha articulado un protocolo específico según se justifica con el DOCUMENTO Nº2 y DOCUMENTO Nº3, ya mencionados, consistentes en el PROCEDIMIENTO PARA EL EJERCICIO DE DERECHOS, de un lado, y el debido pie de e-mail para las bajas. Tercero.- Daño potencialmente causado e injerencia en la privacidad Además de lo expuesto en los apartados anteriores, nos parece relevante tener en cuenta que estamos en un caso en el cual se envió un correo (o 4 correos) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/26 electrónicos de carácter comercial a una persona que opera en representación de una empresa. Si bien, la normativa de comercio electrónico regula la protección tanto para usuarios persona física como jurídica destinatarios de estas comunicaciones, nos parece relevante exponer que el potencial daño causado, dependerá también del tipo de usuario afectado y del contenido que aparece en las comunicaciones. Por lo expuesto en el procedimiento, queda claro que el destinatario es una persona en representación de una empresa y que lo que recibe es una comunicación comercial. Por lo tanto, no hay afectación a su privacidad ni otros derechos fundamentales, cosa que rogamos se tenga especialmente en cuenta a la hora de valorar de nuevo, la graduación de la infracción puesto que este aspecto no se habría tenido en cuenta y nos parece suficientemente relevante. Cuarto.- Prolongación en el tiempo e incumplimiento reiterado (…) Cabe manifestar que la jurisprudencia española, no obstante, representada por la Sentencia del Tribunal Supremo n.º 347/2020, ha abandonado la exigencia de que el incumplimiento sea reiterado o que exista una voluntad rebelde. (…) Queda claro que, por una parte, en virtud de lo expuesto en los anteriores argumentos, el incumplimiento queda justificado por el hecho de partir de acuerdos de colaboración con terceros y que el error lo cometió una empresa que le facilitó los datos. Por otra parte, considerar de entidad suficiente el envío de tres correos electrónicos adicionales a partir de la petición, sin que el remitente de estos fuera consciente de la petición de baja del usuario afectado y con una naturaleza comercial, para empresa, no parece adecuado ni proporcionado a nuestro entender. Quinto.- Casos donde se ha reducido la sanción o eliminado 5.1. Las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD1 establecidas por el Consejo Europeo de Protección de Datos, establecen como factor atenuante la cooperación con las Autoridades siempre que: … “cuando la cooperación con la autoridad de control haya tenido el efecto de limitar o evitar las consecuencias negativas para los derechos de los particulares que de otro modo podrían haberse producido, la autoridad de control puede considerar esto un factor atenuante en el sentido del artículo 83, apartado 2, letra f), del RGPD, reduciendo así el importe de la multa. Este puede ser el caso, por ejemplo, cuando un responsable o encargado del tratamiento «ha respondido de manera particular a las solicitudes de la autoridad de control durante la fase de investigación en ese caso concreto, lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/26 que ha limitado significativamente el impacto en los derechos de las personas como resultado”. En este sentido y debido a las acciones, medidas y procedimientos adoptados por la entidad, rogamos se tenga en cuenta aplicar un atenuante en la línea de lo que considere la AEPD, en su caso (…)”. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero: De la información y de la documentación aportada en el expediente, se consideran acreditados los siguientes hechos, expuestos cronológicamente: 1º.- Con fecha 26/06/24, el reclamante recibió en su cuenta de correo electrónico ***EMAIL.2, cuatro correos procedentes del dominio corporativo ***DOMINIO.1, cuyo contenido ofrecía productos comerciales: - A las 10:27 h., desde la dirección ***EMAIL.1 EXTERNOS RETAIL SEMANA 26”. con el asunto: “HDD - A las 11:44 h., desde la dirección ***EMAIL.3 con el asunto: “¡¡¡¡¡ Actualización de Precios para Discos Externos !!!!!!”. - A las 13:57 h., desde la dirección ***EMAIL.3 con el asunto: “¡¡¡¡OFERTA TELEVISIÓN MANTA 32"!!!!”. - A las 17:02 h., desde la dirección ***EMAIL.3 OFERTAS RIELLO!!!”. con el asunto: “¡¡¡¡PROMO 2º.- El mismo día 26/06/24, a las 17:08 h., el reclamante envió un correo electrónico a la dirección ***EMAIL.3 solicitando expresamente el cese de envíos de correos electrónicos publicitarios. En dicho correo manifestaba no haber otorgado consentimiento para la recepción de dichas comunicaciones. 3º.- A las 17:12 h. del mismo día, desde la dirección ***EMAIL.3, se respondió al reclamante disculpándose por los envíos realizados y confirmando que no volvería a recibir correos electrónicos, salvo petición expresa. 4º Con fecha 01/07/24, a las 17:42 h., el reclamante recibió un nuevo correo electrónico desde la dirección ***EMAIL.1, con el asunto: “HDD Externos SEMANA 27 RETAIL”, en el que se ofrecían productos comerciales. 5º.- El mismo día 01/07/24, a las 18:23 h., el reclamante envió un segundo correo electrónico, dirigido a las direcciones ***EMAIL.1 y ***EMAIL.3 , reiterando su solicitud de oposición al envío de comunicaciones comerciales y solicitando la eliminación de su dirección de correo electrónico de las bases de datos de la empresa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/26 6º.- Con fecha 08/07/24, a las 17:44 h., el reclamante recibió un nuevo correo electrónico desde la dirección ***EMAIL.1 , con el asunto: “HDD Externos SEMANA 28 RETAIL”, ofreciendo nuevamente productos comerciales. 7º.- Con fecha 15/07/24, a las 18:30 h., el reclamante recibió otro correo electrónico desde la dirección ***EMAIL.1 , con el asunto: “HDD Externos SEMANA 29 RETAIL”, de contenido comercial similar a los anteriores. Segundo: Con fecha 10/09/2024, la empresa KINYO, S.L. remitió escrito de contestación a esta Agencia, en el que manifestó haber eliminado de su base de datos la dirección de correo electrónico del reclamante tras su segunda solicitud de supresión, de fecha 01/07/24, justificando la demora en la cancelación debido a un error de comunicación Asimismo, informó que los envíos se realizaron bajo la presunción de un interés legítimo, dado el perfil profesional del reclamante. FUNDAMENTOS DE DERECHO I Competencia. De acuerdo con lo establecido en el artículo 43.1 de la LSSI y lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." La Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Síntesis de los hechos acaecidos. Consta en la reclamación, tras solicitar el 26/06/24 que no volvieran a enviarle más comunicaciones comerciales vía correo electrónico, y haber recibido el acuse de recibo el mismo día 26/06/24, volvió a recibir un nuevo correo electrónico comercial el 01/07/24. Tras este episodio volvió a solicitar nuevamente, ese mismo día, que no volvieran a enviarle más comunicaciones comerciales. No obstante, haciendo caso omiso de esta segunda solicitud, el reclamante volvió a recibir este tipo de comunicaciones comerciales el 08/07/24 y el 15/07/24. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/26 Junto con el escrito de reclamación, la parte reclamante ha aportado documentación que fundamenta su reclamación y que acredita la persistencia en el envío de comunicaciones comerciales no solicitadas y la omisión de las solicitudes de baja por parte de la parte reclamada. En la contestación al traslado de la reclamación a la parte reclamada, solicitando un análisis y respuesta en el plazo de un mes, ésta manifiesta que la causa que provoca la demora desde el primer comunicado del receptor hasta la definitiva se debe a que el primer comunicado no llego adecuadamente al responsable de la base de datos y por tanto no se procedió a dicha supresión hasta su segunda solicitud. III Alegaciones aducidas a la incoación del expediente En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a reproducir las mismas: Primero: En el escrito de alegaciones, la entidad reclamada sostiene que la dirección de correo electrónico del reclamante fue obtenida de manera legítima durante actividades profesionales como presentaciones, charlas y showrooms, realizadas con fabricantes del sector informático, conforme al artículo 39.c de la LSSI. No obstante, La parte reclamada no ha aportado documento o prueba alguna que acredite que la dirección de correo electrónico del reclamante fue obtenida de manera lícita en el contexto de las actividades profesionales mencionadas. La mera manifestación de haber obtenido los datos durante dichas actividades no constituye prueba suficiente para justificar la legitimación para el envío de comunicaciones comerciales, conforme exige el artículo 21.1 de la LSSI, el cual prohíbe el envío de comunicaciones comerciales sin el consentimiento previo y expreso del destinatario, salvo que concurra una relación contractual previa y que las comunicaciones versen sobre productos o servicios similares a los contratados. La alegación de que los envíos se realizaron bajo la presunción de un interés legítimo del destinatario, por pertenecer al sector informático, no exime de la obligación de contar con el consentimiento previo y expreso del destinatario, conforme al art 21.1 de la LSSI. La referencia al artículo 39.c de la LSSI resulta improcedente, toda vez que dicho precepto regula aspectos sancionadores y no establece una excepción a la obligación de contar con el consentimiento previo del destinatario para el envío de comunicaciones comerciales. La parte reclamada no ha demostrado la existencia de una relación contractual previa o de un consentimiento expreso que habilite dichos envíos, como exige el artículo 21.1 de la LSSI. Por tanto, en virtud de lo expuesto, y dado que la parte reclamada no ha acreditado una relación comercial con el reclamante, ni su consentimiento previo y expreso, procede desestimar las alegaciones presentadas. Segundo: La entidad reclamada rechaza la afirmación de que no existía un mecanismo para solicitar la baja de las comunicaciones comerciales pues indica que los correos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/26 electrónicos enviados incluían la dirección de respuesta del operador comercial, lo que permitía al destinatario solicitar la baja respondiendo directamente al remitente o utilizando los datos presentes en la firma del correo. Recordar que el artículo 21.2 de la LSSI establece que, cuando las comunicaciones hubieran sido remitidas por correo electrónico, el medio para posibilitar al destinatario su rechazo a recibir comunicaciones comerciales deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. En el presente caso, de la documentación aportada en el expediente se desprende que los correos electrónicos recibidos por el reclamante incluían, en la cabecera del mensaje, las direcciones desde donde fueron enviados (***EMAIL.1 y ***EMAIL.3), sin indicar en el cuerpo del mensaje otra dirección de correo electrónico específica u otro procedimiento claramente identificado para ejercer el derecho de oposición o baja, por lo que, la única manera de ponerse en contacto con la entidad era a través de las direcciones de correo desde donde enviaron las comunicaciones. Pues bien, en el presente caso, el 26/06/24, el reclamante recibió en su cuenta de correo electrónico, cuatro correos procedentes del dominio corporativo ***DOMINIO.1, (***EMAIL.1 (un mensaje) y ***EMAIL.3 (tres mensajes), cuyo contenido ofrecía productos comerciales. Ese mismo día, (el 26/06/24), el reclamante envió un correo electrónico a la dirección ***EMAIL.3 solicitando el cese del envío de correos electrónicos publicitarios recibiendo contestación desde ***EMAIL.3 , disculpándose por los envíos realizados y confirmando que no volvería a recibir correos electrónicos, salvo petición expresa del propio reclamante. No obstante, unos días después, el 01/07/24, el reclamante volvió a recibir un nuevo correo electrónico comercial, ahora desde la dirección ***EMAIL.1 y ese mismo día, el reclamante envió un segundo correo electrónico, dirigido a las dos direcciones, ***EMAIL.1 y ***EMAIL.3, reiterando su solicitud de cese del envío de comunicaciones comerciales y solicitando la eliminación de su dirección de correo electrónico de las bases de datos de la empresa. Pues bien, haciendo caso omiso a las solicitudes de oposición y eliminación de datos, los días 08/07/24 y 15/07/24, el reclamante volvió a recibir dos nuevos correos electrónicos desde la dirección ***EMAIL.1. El artículo 22 de la LSSI dispone que el prestador del servicio debe garantizar al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento “sencillo y gratuito”, tanto en el momento de la recogida de los datos como en cada una de las comunicaciones comerciales. La mera posibilidad de responder directamente al remitente no puede considerarse un mecanismo adecuado conforme a lo dispuesto en la LSSI, puesto que no garantiza un procedimiento claramente identificado para solicitar la baja. Además, el hecho de que los correos electrónicos no incluyeran instrucciones específicas para ejercer este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/26 derecho dificulta que el destinatario pueda ejercerlo de manera sencilla y sin ambigüedades. La LSSI establece de forma categórica la prohibición de enviar comunicaciones comerciales por correo electrónico sin incluir una dirección electrónica válida específicamente destinada a ejercer el derecho de oposición o baja. La simple inclusión de la dirección del remitente en la cabecera del mensaje no puede considerarse cumplimiento de esta obligación, ya que no garantiza que dicha dirección esté habilitada para gestionar las solicitudes de baja ni ofrece al destinatario la certeza de que su solicitud será tramitada correctamente, pues puede ser, que dicha dirección sea específica para el envío automático de correos electrónicos. Pese a lo anterior, recordar que el reclamante, ante la falta de un mecanismo específico que le posibilitase ejercer su derecho, envió un correo electrónico a la dirección ***EMAIL.3 solicitando el cese del envío de correos electrónicos publicitarios recibiendo contestación disculpándose por los envíos realizados y confirmando que no volvería a recibir correos electrónicos, salvo petición expresa del propio reclamante. No obstante y pese a ello, unos días después volvió a recibir un nuevo correo comercial. Por tanto, y dado que la entidad reclamada no ha acreditado que los correos electrónicos remitidos al reclamante incluyeran una dirección específica y claramente identificada para ejercer el derecho de oposición o baja, ni un procedimiento sencillo y gratuito para hacerlo, procede desestimar las alegaciones presentadas Tercero: La empresa reconoce una breve demora entre la primera solicitud de baja y la eliminación definitiva del correo electrónico del reclamante, pero considera que actuó con la diligencia exigida y argumenta que no hubo perjuicio para el reclamante ni beneficio para la empresa. Pues bien, en este sentido recordar que el reclamante solicitó por primera vez la baja de las comunicaciones comerciales el día 26/06/24, mediante correo electrónico enviado a la dirección ***EMAIL.3 , indicando expresamente que no había otorgado su consentimiento y solicitando el cese del envío de correos electrónicos. Sin embargo, a pesar de esta solicitud, 4 días después el día 01/07/24, el reclamante recibió un nuevo correo electrónico comercial desde la dirección ***EMAIL.1 (tras recibir dicho correo, el reclamante reiteró su solicitud de baja mediante un segundo correo electrónico enviado el mismo día) pero pese a esta segunda solicitud, el reclamante continuó recibiendo comunicaciones comerciales los días 08/07/24 y 15/07/24 (12 días después 20 días después) de solicitar la baja. La demora en atender la solicitud de baja se prolongó desde la primera solicitud realizada el día 26 de junio de 2024, hasta la última comunicación comercial recibida el día 15 de julio de 2024, es decir, un período de 20 días en el que se remitieron otros tres correos electrónicos comerciales adicionales después de la primera solicitud. Esta prolongación temporal no puede considerarse una simple demora breve, sino un incumplimiento reiterado de la obligación legal de cesar de inmediato el envío de comunicaciones comerciales tras la oposición del destinatario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/26 La afirmación de que no hubo perjuicio para el reclamante carece de fundamento, toda vez que la recepción continuada de correos electrónicos comerciales no consentidos tras haber ejercido su derecho de oposición constituye una vulneración de derechos lo cual genera una afectación directa a su esfera personal y profesional. El hecho de que la reclamada no haya obtenido un beneficio económico directo como consecuencia del envío de los correos electrónicos no exime del cumplimiento de la obligación legal de atender las solicitudes de oposición o baja de manera inmediata. La normativa no condiciona la existencia de infracción a la obtención de un beneficio económico, sino al mero incumplimiento de las obligaciones legales previstas en la LSSI. Por todo lo expuesto, y teniendo en cuenta la persistencia en el envío de comunicaciones comerciales 20 días después de la primera solicitud de baja, así como la recepción de tres correos electrónicos adicionales tras dicha solicitud, procede desestimar las alegaciones presentadas al haberse incumplido de manera reiterada las obligaciones establecidas en la LSSI. Cuarto: Se cuestiona la proporcionalidad de las sanciones propuestas, alegando que, según la jurisprudencia (SAN 2462/2019 de Madrid, de 11 de junio de 2019, entre otras), en casos con mayor número de afectados y plazos más extensos, las sanciones impuestas han sido significativamente menores. Se resalta el carácter único y aislado de los hechos durante más de 20 años de actividad de la empresa mediante comunicaciones telemáticas y se solicita la sustitución de las sanciones económicas propuestas por un apercibimiento, conforme al artículo 39 ter de la LSSI. En relación con las alegaciones formuladas respecto a la proporcionalidad de las sanciones propuestas, la comparación con otros casos sancionados mediante la Sentencia de la Audiencia Nacional núm. 2462/2019, de 11 de junio de 2019, así como la solicitud de sustitución de la sanción económica por un apercibimiento conforme al artículo 39 ter de la LSSI, procede desestimar dichas alegaciones pues la referencia a la Sentencia de la Audiencia Nacional núm. 2462/2019, de 11 de junio de 2019, resulta improcedente al no haber acreditado la entidad reclamada la existencia de identidad sustancial entre los hechos y circunstancias de aquel supuesto y el presente procedimiento sancionador. El principio de proporcionalidad exige valorar cada caso en función de sus circunstancias concretas, sin que la comparación con otros procedimientos, aun con mayor número de afectados, implique necesariamente la reducción de la sanción, dado que el nivel de reprochabilidad de la conducta depende de factores específicos como la duración de la infracción, el número de comunicaciones indebidas y la reiteración en el incumplimiento tras la oposición del destinatario. En el presente caso, la infracción no se limita a un único envío de comunicaciones comerciales sin consentimiento, sino que se constata una reiteración en el envío de correos electrónicos, incluso tras la primera solicitud de baja efectuada el día 26 de junio de 2024, prolongándose la conducta infractora hasta el día 15 de julio de 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/26 Tras la oposición del reclamante, se enviaron tres correos electrónicos comerciales adicionales a pesar de las solicitudes expresas del reclamante, lo que evidencia una conducta continuada y no un hecho meramente aislado. La alegación relativa al carácter único y aislado de los hechos en los más de 20 años de actividad de la empresa no resulta determinante para atenuar la responsabilidad, dado que el cumplimiento de la normativa es exigible de manera permanente y no puede considerarse un factor atenuante el simple hecho de no haber incurrido previamente en infracciones. Por lo que respecta a la solicitud de sustitución de la sanción económica por un apercibimiento, conforme al artículo 39 ter de la LSSI. En primer lugar, debemos recordar que dicho artículo establece lo siguiente: 1. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en los artículos 39 bis y 40, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. 2. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. La decisión de acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al responsable, es una decisión discrecional del órgano competente y debe basarse en la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en los artículos 39 bis (relativo a la tipificación de las infracciones) y artículo 40 (relativo a la graduación de las sanciones) y por tanto, debe analizarse a la luz de las circunstancias concretas del caso. En el presente supuesto, dada que la infracción ha afectado al derecho del reclamante a no recibir comunicaciones comerciales no consentidas durante un período prolongado y tras varias solicitudes de baja, evidencia una falta de diligencia debida por parte de la reclamada en la gestión de sus sistemas informáticos y bases de datos, que agrava la conducta infractora. Además, el cese definitivo de los envíos se produjo tras la segunda solicitud, realizada 15 días después de la primera y por último, existe el reconocimiento de la parte reclamada de haber realizado los envíos y la demora en la supresión de los datos del reclamante por un error interno de comunicación, por lo que procede desestimar las alegaciones presentadas, resultando improcedente la sustitución de dicha sanción por un apercibimiento, conforme a lo dispuesto en el art. 39 ter de la LSSI. IV Contestación a las alegaciones presentadas a la propuesta de resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/26 Primero: En este punto, la parte reclamada sostiene que los correos electrónicos se enviaron por un error derivado de una filtración de datos atribuible a otra empresa del sector, lo que excluiría cualquier intencionalidad, y que tras la solicitud de baja únicamente se remitieron tres correos adicionales, enviados por un empleado distinto (B.B.B.) que desconocía la petición del reclamante, por lo que no puede hablarse, en este caso, de dolo ni de voluntad consciente de incumplir la normativa. Afirma asimismo que la Agencia no ha motivado jurídicamente la apreciación de intencionalidad, limitándose a afirmarla de manera genérica, y recuerda que, conforme a la jurisprudencia, la intencionalidad exige dolo o conocimiento de la ilicitud de la conducta, lo que en este caso no concurriría al haberse actuado bajo la creencia de contar con legitimación suficiente. Añade que, aunque reconoce la dificultad de acreditar la procedencia concreta de los datos —supuestamente obtenidos a través de colaboradores del sector—, en ningún caso existió voluntad consciente de infringir la normativa, y señala finalmente que, para evitar que situaciones similares puedan repetirse, la empresa ha implantado un protocolo de verificación interna destinado a asegurar la legitimación de los envíos comerciales. Pues bien, en cuanto a la legitimación del tratamiento de los datos y la existencia de intencionalidad, procede indicar que de conformidad con el artículo 21.1 de la LSSI, queda prohibido el envío de comunicaciones comerciales por correo electrónico cuando no hayan sido previamente solicitadas o expresamente autorizadas por el destinatario, salvo que exista una relación contractual previa que justifique el envío sobre productos o servicios similares. En el presente caso, la entidad reclamada no ha aportado prueba alguna que acredite la existencia de consentimiento expreso del reclamante ni de una relación contractual previa o cualquier otra causa que legitime dichos envíos. La mera invocación genérica a actividades profesionales (showrooms, charlas, presentaciones) o a una supuesta cesión de datos por parte de terceros no constituye legitimación alguna para el envío de comunicaciones comerciales. Además, la referencia al artículo 39.c LSSI resulta improcedente, puesto que dicho precepto regula aspectos sancionadores y no excepciona la obligación de recabar consentimiento expreso. Sobre la alegada filtración por parte de un tercero, tampoco se puede considerar como excepción de la responsabilidad del cumplimiento normativo en el envío de comunicaciones comerciales corresponde a la entidad remitente. El hecho de que se invoque un error o filtración atribuible a un tercero no exonera de responsabilidad a la empresa que utiliza tales datos sin consentimiento, máxime cuando no se ha acreditado ni la identidad de dicho tercero ni la existencia de un contrato o autorización válida que habilite el tratamiento de los datos cedidos. Sobre la intencionalidad en el ámbito sancionador administrativo, ésta no se limita a la existencia de dolo penal estricto, sino que comprende también la voluntad consciente de realizar una conducta que infringe la normativa, con independencia de que exista o no un propósito de causar un resultado específico. En este sentido, la reiteración de envíos publicitarios tras la primera oposición expresa del reclamante (26/06/24) demuestra un incumplimiento mantenido en el tiempo. La alegación de que C.C.C. cesó los envíos pero que continuaron por parte de B.B.B. refleja precisamente una falta de diligencia organizativa interna imputable a la entidad, que no puede trasladarse al reclamante ni exonerar a la reclamada de su deber legal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/26 Sobre la motivación de la intencionalidad en la propuesta, se debe indicar que la apreciación de intencionalidad se fundamenta en hechos constatados, esto es, la existencia de una oposición expresa (26/06/24), la confirmación de que no se enviarían más comunicaciones, y la posterior remisión de tres correos comerciales adicionales (01/07, 08/07 y 15/07/24). Estos elementos permiten concluir que la entidad actuó al menos con conciencia del incumplimiento de la normativa, lo que excluye la alegada ausencia de intencionalidad. Por último, el hecho de que la entidad haya implantado, tras la reclamación, un protocolo de verificación interna no elimina la infracción cometida ni desvirtúa la falta de legitimación existente en el momento de los hechos. Tales medidas podrán valorarse en el marco de futuras actuaciones, pero no afectan a la responsabilidad por las infracciones ya cometidas. Por todo lo expuesto, procede desestimar la alegación relativa a la legitimación de la base de datos y la inexistencia de intencionalidad, al no haber acreditado la entidad reclamada el consentimiento expreso del reclamante ni una relación contractual previa o cualquier otra base de legitimación para el envío de comunicaciones comerciales, y al quedar acreditada la persistencia en el envío de este tipo de comunicaciones tras la oposición expresa, lo que evidencia una conducta consciente e imputable a la reclamada, constitutiva de infracción del artículo 21.1 de la LSSI. Segundo: La parte reclamada sostiene que sí existía un procedimiento para posibilitar la oposición a recibir comunicaciones comerciales, aunque de forma más o menos informal, pero que dicho circuito no se siguió adecuadamente, motivo por el cual B.B.B. no tuvo conocimiento de la petición de baja del reclamante. Reconoce la responsabilidad por lo sucedido y afirma que, con el fin de evitar que se repitan situaciones similares, ha implantado un protocolo específico, aportado dos documentos (nº 2 y nº 3), consistente en un procedimiento para el ejercicio de derechos y en la inclusión de un pie de correo electrónico destinado a canalizar las solicitudes de baja. Respecto a la alegación relativa a la inexistencia de un procedimiento adecuado para posibilitar la oposición a la recepción de comunicaciones comerciales, procede señalar que el artículo 21.2 de la LSSI establece expresamente que, cuando las comunicaciones hubieran sido remitidas por correo electrónico, el medio para posibilitar al destinatario su rechazo a seguir recibiendo comunicaciones comerciales deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. En el presente caso, de la documentación obrante en el expediente se constata que los correos electrónicos remitidos por la entidad reclamada no incluían en su cuerpo una dirección electrónica válida, clara y específicamente destinada a gestionar la oposición, limitándose a mostrar en la cabecera del mensaje las direcciones de los remitentes (***EMAIL.1 y ***EMAIL.3). Tal práctica no puede considerarse cumplimiento de lo dispuesto en la LSSI, pues no garantiza un procedimiento sencillo y gratuito ni asegura que la solicitud de oposición se tramite de manera adecuada y eficaz. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/26 La alegación de que existía un procedimiento “informal” que no se siguió correctamente confirma de manera precisa la insuficiencia del sistema implantado por la entidad, en tanto que su eficacia dependía del conocimiento individual de los empleados que remitían los mensajes y no de un mecanismo objetivo, claro y automático accesible al destinatario. La normativa no admite mecanismos meramente informales, sino que impone la obligación de establecer un procedimiento explícito y operativo en cada comunicación. Finalmente, las medidas adoptadas posteriormente por la reclamada, consistentes en la aprobación de un protocolo interno y en la inclusión de un pie de correo electrónico para tramitar las bajas, no alteran la valoración de la conducta ya cometida, puesto que se trata de actuaciones sobrevenidas con carácter correctivo que no eliminan la infracción efectivamente constatada en el momento de los hechos. Tercero: La parte reclamada sostiene que los correos electrónicos enviados tuvieron como destinatario a una persona que actuaba en representación de una empresa, por lo que el posible daño derivado de su recepción sería reducido. Afirma que, dado que la normativa de comercio electrónico protege tanto a personas físicas como jurídicas, debe tenerse en cuenta que en este caso no se ha visto afectada la privacidad ni otros derechos fundamentales del reclamante, por tratarse únicamente de comunicaciones comerciales dirigidas a un profesional. En consecuencia, solicita que este aspecto sea considerado para atenuar la graduación de la infracción. En relación con la alegación referida al daño potencial y a la supuesta falta de afectación de la privacidad, procede señalar que el artículo 21 de la LSSI prohíbe expresamente el envío de comunicaciones comerciales por correo electrónico sin consentimiento previo, sin distinguir entre destinatarios que actúan en calidad personal o profesional. La norma se aplica, por tanto, a toda persona física o jurídica identificada mediante su dirección de correo electrónico, con independencia de que utilice dicha cuenta en un entorno empresarial o particular. En el presente caso, el reclamante es una persona física que ha ejercido sus derechos frente a envíos publicitarios no solicitados, lo que determina la plena aplicación de la LSSI y la exigencia de que cualquier comunicación comercial hubiera estado amparada en un consentimiento válido o en una excepción legal, circunstancias que no se han acreditado. La alegación relativa a la inexistencia de un daño en la privacidad carece de relevancia jurídica, pues el legislador no condiciona la existencia de infracción a la concurrencia de un perjuicio concreto, sino al mero incumplimiento de la obligación legal de no remitir comunicaciones comerciales sin consentimiento o cualquier otra base legal aplicable. Teniendo en cuenta que dicho incumplimiento, en la práctica, se plasma en un perjuicio, en este caso, al receptor de las comunicaciones comerciales no deseadas contraviniendo la normativa aplicable. Asimismo, la reiteración de los envíos tras la primera oposición expresa del reclamante evidencia una afectación a sus derechos como usuario de servicios de la sociedad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/26 la información, en la medida en que se ve privado de un control efectivo sobre el uso de sus datos de contacto y se le somete a una insistencia contraria a su voluntad expresamente manifestada. Por último, la invocación a una supuesta menor entidad del daño no puede justificar una reducción de la responsabilidad, ya que la graduación de la sanción se determina conforme a los criterios previstos en el artículo 40 LSSI, que no contemplan la naturaleza profesional del destinatario como factor atenuante. Cuarto: La parte reclamada sostiene que la Agencia califica como prolongación temporal e incumplimiento reiterado el hecho de que se enviaran tres correos adicionales tras la petición de baja, y argumenta que, según la doctrina jurisprudencial más reciente (STS n.º 347/2020), ya no se exige reiteración ni voluntad rebelde para apreciar un incumplimiento relevante. Afirma que en este caso el incumplimiento estaría justificado por proceder de datos facilitados por terceros colaboradores y que, en todo caso, la remisión de tres correos adicionales sin conocimiento de la baja por parte del remitente no tendría entidad suficiente para considerarse una infracción con el nivel de gravedad apreciado por la Agencia. En relación con la alegación relativa a la prolongación temporal e incumplimiento reiterado, procede indicar lo siguiente: a).- Sobre la reiteración y la prolongación en el tiempo. De los hechos probados se desprende que, tras la primera oposición expresa del reclamante de fecha 26/06/24, la entidad remitió tres nuevas comunicaciones comerciales los días 01/07, 08/07 y 15/07/24. Estos envíos posteriores demuestran un incumplimiento persistente de la obligación legal de cesar inmediatamente en el tratamiento de los datos una vez ejercido el derecho de oposición, lo que evidencia una prolongación en el tiempo de la conducta infractora. b).- Sobre la alegación de que no existió voluntad rebelde. El artículo 21 de la LSSI no exige la concurrencia de una “voluntad rebelde” ni de un ánimo obstinado de incumplir, bastando con la constatación objetiva de que, tras el ejercicio de un derecho de oposición, se continuaron remitiendo comunicaciones comerciales. La jurisprudencia invocada por la parte reclamada (STS n.º 347/2020) se refiere a un ámbito contractual distinto y no resulta aplicable al régimen sancionador administrativo, en el cual el criterio determinante es el incumplimiento de obligaciones legales expresas. c).- Sobre la justificación del incumplimiento por cesión de datos de terceros. La entidad remitente es responsable de garantizar que sus envíos comerciales se ajustan a lo previsto en la LSSI, con independencia de la procedencia de los datos. La alegación de que los datos fueron facilitados por un tercero no puede servir de justificación para el incumplimiento, máxime cuando no se ha acreditado ni la identidad de ese colaborador ni la existencia de un contrato que ampare el tratamiento. d).- Sobre la proporcionalidad y entidad de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/26 La reiteración de envíos tras la oposición del destinatario, aun cuando fueran tres correos adicionales, constituye una vulneración clara y suficiente de la normativa. El legislador no establece un umbral cuantitativo mínimo de comunicaciones para apreciar la infracción, de modo que incluso un solo envío posterior a la oposición expresa ya supone un incumplimiento. La remisión de tres correos adicionales en un período de veinte días refuerza la conclusión de que se trata de una conducta reiterada y prolongada en el tiempo, incompatible con la diligencia exigible. Por tanto, procede desestimar la alegación relativa a la inexistencia de reiteración o entidad suficiente de la conducta, al quedar acreditado que la empresa continuó enviando comunicaciones comerciales durante un período de veinte días tras la oposición expresa del reclamante, lo que constituye una prolongación temporal y un incumplimiento reiterado en los términos exigidos por el artículo 21 LSSI. Quinto: La parte reclamada solicita una reducción de la sanción alegando, en primer lugar, que conforme a las Directrices 04/2022 del Comité Europeo de Protección de Datos, la cooperación con la autoridad y la adopción de medidas correctoras debería considerarse un factor atenuante. En segundo lugar, invoca jurisprudencia de la Audiencia Nacional (resolución de 29 de octubre de 2024) en la que se redujo significativamente la multa por la adopción de medidas durante el procedimiento. Finalmente, compara el presente caso con otras resoluciones de la AEPD (PS/00255/2021, PS/00142/2021 y PS/00356/2024) en las que se impusieron sanciones más elevadas a empresas de gran tamaño por envíos reiterados durante varios meses, sosteniendo que la conducta de KINYO fue puntual, limitada temporalmente a menos de un mes y, por tanto, de menor gravedad, lo que haría desproporcionada la sanción. Respecto de la solicitud de reducción de la sanción, procede indicar lo siguiente: a).- Sobre la invocación de las Directrices 04/2022 del Comité Europeo de Protección de Datos. Dichas directrices se refieren al régimen sancionador previsto en el Reglamento General de Protección de Datos (RGPD) y no resultan directamente aplicables a las infracciones tipificadas en la LSSI, que cuentan con un marco propio en sus artículos 38 a 40. No obstante, aun cuando se admitiera su consideración analógica, la cooperación que puede valorarse como atenuante es aquella que limita o evita las consecuencias negativas para los derechos de los afectados. En el presente caso, no se ha producido tal limitación, pues tras la primera solicitud de baja el reclamante continuó recibiendo tres correos adicionales durante veinte días, lo que acredita que las medidas correctoras no fueron eficaces en el momento de los hechos. b).- Sobre la resolución de la Audiencia Nacional de 29 de octubre de 2024. El precedente citado corresponde a un caso en el ámbito del RGPD con una sanción de elevada cuantía y circunstancias muy diferentes. La reducción acordada por la Audiencia se fundamentó en la adopción de medidas efectivas que mitigaron riesgos en materia de protección de datos, circunstancia que no concurre aquí, dado que la reclamación evidencia la persistencia del envío de correos tras la oposición expresa y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/26 que la adopción de protocolos internos por la reclamada se produjo solo con posterioridad a los hechos. Por tanto, la resolución invocada no resulta comparable ni trasladable al presente supuesto. c).- Sobre la comparación con resoluciones previas de la AEPD en materia de LSSI. La parte reclamada invoca varios expedientes sancionadores en los que se impusieron sanciones de mayor cuantía por conductas más prolongadas en el tiempo. Sin embargo, el principio de proporcionalidad exige valorar cada caso en función de sus circunstancias concretas, no mediante una comparación aislada con otros expedientes. En el presente procedimiento, lo relevante es que, tras la oposición expresa del destinatario, la empresa remitió tres comunicaciones comerciales adicionales en un período de veinte días, incumpliendo de manera reiterada y prolongada la obligación legal de cesar inmediatamente los envíos. La gravedad de la infracción deriva de la persistencia en el incumplimiento pese a las solicitudes expresas del afectado, no del número absoluto de correos ni de la dimensión empresarial de la entidad. d).- Sobre la proporcionalidad de la sanción. La sanción propuesta de 10.000 euros por la infracción del artículo 21.1 LSSI y de 5.000 euros por la infracción del artículo 21.2 LSSI se encuentra dentro del marco legal previsto en el artículo 39 de la LSSI para las infracciones leves, y responde a los criterios de graduación establecidos en el artículo 40 de la LSSI, entre los que se encuentra la duración de la infracción y la persistencia en el incumplimiento pese a la oposición expresa. La sanción, por tanto, no puede considerarse desproporcionada, sino ajustada a la entidad de los hechos acreditados. Por todo lo expuesto, procede desestimar la alegación relativa a la reducción o eliminación de la sanción, al no ser aplicables las directrices y jurisprudencia invocadas en los términos alegados, y al resultar la sanción propuesta proporcionada y ajustada a los criterios de graduación establecidos en la LSSI en atención a las circunstancias específicas del caso. Por último, la parte reclamada solicita la reducción de las sanciones impuestas a la menor cuantía posible o su sustitución por una amonestación, alegando que el error en los envíos se debió a un tercero, que no existió intencionalidad, que pese a no ser perfecto sí existía un procedimiento de oposición, y que se han implantado protocolos internos que evidencian proactividad en el cumplimiento de la normativa, invocando además el principio de responsabilidad proactiva del artículo 5.2 del RGPD. Pues bien, como contestación a las solicitudes y a modo de conclusión se debe indicar: a).- Sobre la atribución de la responsabilidad a un tercero. La entidad reclamada sostiene que los envíos se produjeron por un error derivado de una supuesta filtración de datos por parte de otra empresa del sector. Sin embargo, no ha aportado prueba documental alguna que acredite la identidad de dicho tercero, ni la existencia de un contrato o autorización válida que legitimase la comunicación de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/26 datos. En cualquier caso, la responsabilidad por el cumplimiento de la LSSI recae en la entidad que remite las comunicaciones comerciales, sin que la alegación de un error de un tercero exonere de dicha responsabilidad. b).- Sobre la supuesta inexistencia de intencionalidad. Como se ha señalado en apartados anteriores, la intencionalidad en el ámbito sancionador administrativo no se restringe al dolo penal, sino que comprende la voluntad consciente de realizar una conducta que infringe la normativa. En el presente caso, la entidad remitió tres correos adicionales tras la oposición expresa del destinatario el 26/06/24, lo que constituye un incumplimiento persistente y objetivamente imputable a la organización. La alegación de que los envíos posteriores provinieron de otro empleado que desconocía la solicitud evidencia una falta de diligencia organizativa, pero no excluye la responsabilidad de la empresa. c).- Sobre la existencia de un procedimiento de oposición. Los correos electrónicos enviados no incluían en su cuerpo un mecanismo claro y específico para ejercitar el derecho de oposición, limitándose a la dirección del remitente en la cabecera del mensaje. Esta práctica no cumple con lo dispuesto en el artículo 21.2 de la LSSI, que exige la inclusión en cada comunicación de una dirección válida u otro procedimiento claramente identificado y sencillo. La alegación de que existía un circuito “informal” confirma precisamente la insuficiencia del sistema implantado. d).- Sobre la adopción de protocolos internos y la proactividad. La aportación de protocolos internos elaborados con posterioridad a los hechos no elimina la infracción cometida ni altera la valoración jurídica de la conducta. El principio de responsabilidad proactiva previsto en el artículo 5.2 del RGPD se refiere al cumplimiento de las obligaciones del responsable en materia de protección de datos personales y no resulta directamente aplicable al régimen sancionador de la LSSI. En todo caso, la proactividad debe demostrarse en el momento de los hechos y no de manera sobrevenida tras la incoación del procedimiento. e).- Sobre la solicitud de reducción o sustitución de la sanción por amonestación. La sanción impuesta se encuentra dentro de los márgenes legales previstos para infracciones leves en el artículo 39 LSSI y ha sido graduada conforme a los criterios del artículo 40 LSSI, en particular la duración de la infracción y la reiteración en el envío de correos tras la oposición expresa del destinatario. La sustitución por una amonestación (artículo 39 ter LSSI) es una facultad discrecional del órgano sancionador y exige que concurran circunstancias que lo justifiquen, lo que no sucede en este caso, dado que la conducta no fue aislada, sino reiterada durante un período de veinte días, y con tres comunicaciones posteriores a la primera solicitud de baja. Por todo lo expuesto, procede desestimar la solicitud de reducción o sustitución de la sanción por amonestación, al no haberse acreditado la legitimidad del tratamiento, existir envíos posteriores a la oposición expresa del destinatario, carecer los correos de un mecanismo válido de oposición, y haberse adoptado las medidas internas solo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/26 con posterioridad a los hechos. La sanción impuesta resulta proporcionada y ajustada a derecho conforme a los artículos 21, 38, 39 y 40 de la LSSI. V Tipificación de la infracción cometida por el envío de comunicaciones comerciales sin legitimación. El hecho de que se envíen comunicaciones comerciales sin que previamente se hubieran solicitados o expresamente autorizadas puede constituir una vulneración, por parte de la reclamada, de lo establecido en el art. 21.1 de la LSSI, pues establece: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas. VI Sanción por la infracción del artículo 21.1 La citada infracción se encuentra tipificada como “leve” en el art. 38.4.
  3. d)de la LSSI, que califica como tal: “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. A tenor de lo establecido en el artículo 39.1.
  4. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 €. Por otra parte, el artículo 40 de la LSSI establece los criterios para la graduación de la cuantía de las sanciones: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  5. a)La existencia de intencionalidad.
  6. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  7. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  8. d)La naturaleza y cuantía de los perjuicios causados.
  9. e)Los beneficios obtenidos por la infracción.
  10. f)Volumen de facturación a que afecte la infracción cometida.
  11. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. Tras las evidencias obtenidas, se considera que procede graduar la sanción a imponer de acuerdo con las siguientes circunstancias, que establece el art. 40 de la LSSI: - La existencia de intencionalidad.- (apartado a), pues la reclamada, pese a recibir hasta dos correos electrónicos con la petición de no volver a recibir más C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/26 comunicaciones comerciales, la reclamada siguió enviando comunicaciones comerciales a la reclamante. Con arreglo a dichos criterios, se estima adecuado imponer una sanción de 10.000 euros (diez mil euros), por la infracción del artículo 21.1 de la LSSI. VII Tipificación de la infracción cometida por la inexistencia de un mecanismo que posibilite la oposición a recibir comunicaciones comerciales. Además de lo anterior, se constata que en los correos comerciales enviados no existe un mecanismo que posibilite al usuario realizar su oposición a recibir comunicaciones comerciales, lo que puede constituir una vulneración de lo establecido en el artículo 21.2 de la LSSI, por parte de la entidad reclamada, pues establece lo siguiente: “2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” VIII Sanción por infracción del artículo 21.2 La citada infracción del artículo 21.2 de la LSSI, se encuentra tipificada como leve en el art. 38.4.
  12. d)de dicha norma, que califica como tal, “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. A tenor de lo establecido en el artículo 39.1.
  13. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 €. Por su parte, el artículo 40 de la LSSI establece los criterios para la graduación de la cuantía de las sanciones, indicados en el FD V. Tras los indicios observados se estima adecuado imponer una sanción de 5.000 euros (cinco mil euros), por la infracción del artículo 21.2 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/26 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a KINYO, S.L. con NIF.: B60553088 las siguientes sanciones: - Por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  14. d)de la citada norma, por el envío de comunicaciones comerciales vía correo electrónico sin haberlas solicitado o expresamente autorizado, una sanción de 10.000 euros (diez mil euros) - Por la infracción del artículo 21.2 de la LSSI, tipificada como leve en el artículo 38.4.
  15. d)de la citada norma, por la inexistencia de un mecanismo que posibilite al usuario realizar su oposición a recibir más comunicaciones comerciales en los propios correos electrónicos, una sanción de 5.000 euros (cinco mil euros). Siendo la sanción total que pudiera corresponder de 15.000 euros (quince mil euros). SEGUNDO: NOTIFICAR la presente resolución a la entidad KINYO, S.L. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  16. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/26 interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  17. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.