← España

PS-00575-2017

1/17 Procedimiento Nº PS/00575/2017 RESOLUCIÓN: R/00949/2018 En el procedimiento sancionador PS/00575/2017, instruido por la Agencia Española de Protección de Datos a la entidad A.A.A., vista la denuncia presentada por B.B.B., C.C.C., D.D.D., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fechas 10/05/2017, 06/09/2017 y 30/06/2017 tuvieron entrada en esta Agencia escritos de FACUA Madrid, en representación de C.C.C. (denunciante 1), D.D.D. (denunciante 2) y B.B.B. (denunciante 3), denunciando a Happy Social Media LTD., (en adelante HSM), por los siguientes hechos: envío de correos electrónicos publicitarios habiéndose opuesto a su recepción. - Denunciante 1, señala que los hechos tuvieron lugar desde el 13/2/2017 hasta 26/6/2017. Y, entre otra, anexa la siguiente documentación:  Copia de carta certificada enviada por la denunciante a HAPPY SOCIAL MEDIA con fecha 19/9/2016, sin acuse de recibo ni respuesta.  Correo electrónico solicitando la baja por parte de la denunciante 1 con fecha 6/4/2016.  Correos publicitarios enviados a la denunciante 1 con fechas 13/2/2017, 20/2/2017, 27/4/2017, 4/5/2017, 17/5/2017, 23/5/2017, 26/5/2017, 5/6/2017, 12/6/2017, 19/6/2017, 26/6/2017. - Denunciante 2, señala que los hechos tuvieron lugar desde el 14/6/2016 hasta el 16/8/2017. Y, entre otra, anexa la siguiente documentación:  Correo electrónico solicitando la baja por parte de la denunciante 2 con fecha 13/2/2017.  Correos publicitarios enviados a la denunciante 2 con fechas: 14/6/2016, 8/6/2016, 9/8/2016, 21/6/2016, 21/8/2016, 9/9/2016, 22/9/2016, 25/10/2016, 26/1/2017, 7/2/2017, 13/2/2017, 14/2/2017, 1/6/2017, 5/6/2017, 2/8/2017, 7/8/2017, 16/8/2017. - Denunciante 3, señala que los hechos tuvieron lugar desde 2014 hasta 2/10/2017. Y, entre otra, anexa la siguiente documentación:  Correos electrónicos solicitando la baja por parte de la denunciante 3 con fechas 30/6/2017, 3/7/2017, 10/7/2017, 17/7/2017, 3/8/2017.  Correos publicitarios enviados a la denunciante 3 con fechas: 26/6/2017, 30/6/2017, 3/7/2017, 17/7/2017, 24/7/2017, 2/8/2017, 7/8/2017, 4/9/2017. 18/9/2017, 2/10/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 SEGUNDO: Tras la recepción de la denuncia, los Servicios de Inspección de esta Agencia realizaron actuaciones previas de investigación para el esclarecimiento de los hechos denunciados. 1. Denunciante 1 aporta copia de 12 correos electrónicos recibidos en su cuenta de correo ***EMAIL.1 con fecha posterior a las solicitudes de baja realizadas tanto por correo certificado como correo electrónico. 2. Los correos enviados a denunciante 1 el 13/2/2017 y 20/2/2017 han sido enviados desde la ***IP.1 y corresponden al proveedor de hosting Axarnet Comunicaciones, S.L. que identifica1 al titular de dicha IP como EVIDALIA WEB, S.L., al que como se adjunta en diligencia de 16/10/2017 se le solicita información siendo esta rechazada de forma automática al vencer el plazo de diez días hábiles. 1. Los correos electrónicos recibidos por denunciante 1 entre el 27/4/2017 y 26/6/2017 han sido enviados desde las IPs ***IP.2 y ***IP.3, que pertenecen al proveedor de servicios CPC SERVICIOS INFORMATICOS, S.L., (en adelante CPC). CPC identifica2 al titular de dichas IPs en esas fechas como HSM. CPC aporta los logs de correos electrónicos enviados a la denunciante, coincidentes en esas fechas: 2017-04-27 ***EMAIL.2 2017-05-04 ***EMAIL.2 2017-05-10 ***EMAIL.2 2017-05-17 ***EMAIL.2 2017-05-23 ***EMAIL.2 2017-05-26 ***EMAIL.2 2017-06-01 ***EMAIL.3 2017-06-05 ***EMAIL.2 2017-06-05 ***EMAIL.3 2017-06-12 ***EMAIL.2 2017-06-19 ***EMAIL.2 2017-06-26 ***EMAIL.2 2. HSM consta como disuelta el 13/12/2016 en el registro mercantil de Reino Unido, como se hace constar en la diligencia fechada 16/10/2017. 1 Registrado con número de entrada ***REG.1 2 Registrado con números de entrada ***REG.2 y ***REG.3 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 3. Los correos electrónicos recibidos por la denunciante 2 entre el 01/06/2017 y 21/08/2017 han sido enviados desde la dirección IP ***IP.3 anteriormente identificada por CPC. 4. Los correos electrónicos recibidos por denunciante 3 entre el 26/06/2017 y 02/10/2017 han sido enviados desde la dirección IP ***IP.3 anteriormente identificada por CPC. 5. CPC proporciona3 los siguientes datos del titular:  Teléfonos de contacto o ***TELF.1 o ***TELF.2  IPs desde donde se accedió: o 03/07/2017 ***IP.4 o 17/09/2017 ***IP.5 6. Telefónica Móviles España, S.A.U. (en lo sucesivo TELEFONICA MOVILES), identifica4 al titular de la línea ***TELF.2 como Asociación Española para la Enseñanza Online. 7. Telefónica de España, S.A.U, (TELEFONICA), identifica al titular de las direcciones IP en las fechas establecidas como Asociación Española para la Enseñanza Online, con teléfono asociado ***TELF.3. 8. En el Registro Nacional de Asociaciones aparece la Asociación Española para la Enseñanza Online inscrita el 15/12/2016 y con domicilio (C/...1). 9. Se efectúa una inspección presencial en el domicilio de Asociación Española para la Enseñanza Online facilitado por TELEFONICA MOVILES. Dicha inspección se realiza ante A.A.A. (en lo sucesivo A.A.A.), que realiza las siguientes manifestaciones: a. La entidad responsable de ***WEB.1 es HSM ubicada en Inglaterra. Aporta información legal extraída de la propia página web, que se adjunta al presente acta de inspección como Doc.1. b. Actualmente, de forma desinteresada, es consultora honoraria gratuita de HSM. Ocasionalmente se conecta al panel de administración del servidor de la empresa HSM en Inglaterra, que supone redireccionará a Consultor PC para, como asesora española, supervisar gratuitamente la calidad de los cursos on line de community manager, pero en ningún momento ha enviado correos comerciales, ya que además de no mantener relación laboral con la entidad HSM, no es su cometido. c. También es presidenta de la Asociación Española Para la Enseñanza On Line. Pero esta asociación no tiene actividad alguna, ni CIF ni relación con HSM. 3 Registrado con número de entrada ***REG.4 4 Registrado con número de entrada ***REG.5 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 d. Según indica, A.A.A., desconoce el procedimiento para darse de baja en las newsletters de la entidad HSM, pero se ofrece para hacer de mediadora con HSM para facilitar a la Agencia Española de Protección de Datos, detalle del procedimiento para darse de baja de las newsletters y analizar si constan solicitudes de baja de los correos ***EMAIL.4, ***EMAIL.5 y ***EMAIL.1 . TERCERO: Con fecha 04/12/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a A.A.A., por presunta infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 38.4.

  1. d)de la citada norma, pudiendo ser sancionada con multa de hasta 30.000 euros, de acuerdo con el artículo 39.1.
  2. c)de la LSSI. CUARTO: Notificado el acuerdo de inicio, A.A.A. mediante escrito de fecha 01/02/2018 aporto escrito de poder de representación y ampliación del plazo para alegaciones que fue concedido mediante escrito del instructor de 02/02/2018; asimismo en esa misma fecha personada en la AEPD la denunciada se le entrego copia del expediente. EL 09/02/2018 la denunciada presento escrito solicitando nueva copia del expediente por extravió de la entregada y nueva ampliación del plazo, que le fue denegado mediante escrito de 14/02/2018. El 15/02/2018 la representación de la denunciada presento escrito de alegaciones formulando en síntesis que se procediera a su archivo. QUINTO: Con fecha 19/02/2018 se inició el período de práctica de pruebas, acordándose las siguientes: - Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/03768/2017. - Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento PS/00575/2017 presentadas por la representación de la denunciada. SEXTO: En fecha 24/04/2018, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara a A.A.A. por infracción del artículo 21.1 de la LOPD, tipificada como leve en el artículo 38.4.
  3. d)de dicha norma, con multa de 2.000 € (dos mil euros) de conformidad con lo establecido en el artículo 39.1.
  4. c)de la citada Ley. Asimismo, se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de A.A.A. mediante escrito de fecha 10/05/2018 reiteraba las alegaciones realizadas con anterioridad, que en la propuesta se ha variado la calificación jurídica infringiendo el articulo 89.3 LPAC y mostraba su disconformidad con lo señalado en la propuesta y se procediera al archivo del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 HECHOS PROBADOS PRIMERO. Con fechas 10/05/2017, 06/09/2017 y 30/06/2017 tuvieron entrada en esta Agencia escrito de FACUA Madrid, en representación de C.C.C. (denunciante 1), y los de D.D.D. (denunciante 2) y B.B.B. (denunciante 3), denunciando a Happy Social Media LTD., (en adelante HSM), por el envío de correos electrónicos publicitarios no deseados habiéndose opuesto a su recepción. SEGUNDO. Denunciante 1 ha aportado copia de carta certificada enviada por la denunciante a HSM con fecha 19/9/2016, en la que formula reclamación como consecuencia de la publicidad no deseada sobre cursos que viene recibiendo en su dirección de correo electrónico; que dichos correos continúan a pesar de que ya manifestó su oposición a recibir dicho tipo de ofertas así como su deseo de oponerse y cancelar dicha suscripción. También ha aportado copia del correo electrónico dirigido a ***EMAIL.2 solicitando la baja con fecha 6/4/2016 y copias de los correos publicitarios remitidos por ***EMAIL.2 a su dirección de correo electrónico con fechas 13/2/2017, 20/2/2017, 27/4/2017, 4/5/2017, 17/5/2017, 23/5/2017, 26/5/2017, 5/6/2017, 12/6/2017, 19/6/2017, 26/6/2017. TERCERO. Denunciante 2 ha aportado copia del correo electrónico dirigido a ***EMAIL.2 solicitando la baja con fecha con fecha 13/2/2017. Asimismo, aporta copias de los correos publicitarios remitidos por ***EMAIL.2 a su dirección de correo electrónico con fechas 14/6/2016, 8/6/2016, 9/8/2016, 21/6/2016, 21/8/2016, 9/9/2016, 22/9/2016, 25/10/2016, 26/1/2017, 7/2/2017, 13/2/2017, 14/2/2017, 1/6/2017, 5/6/2017, 2/8/2017, 7/8/2017, 16/8/2017. CUARTO. Denunciante 3 ha aportado copia de tres correos electrónicos dirigidos a ***EMAIL.2 solicitando la baja con fechas 30/6/2017, 3/7/2017, 10/7/2017, 17/7/2017, 3/8/2017. Asimismo, aporta copia de los correos publicitarios remitidos por ***EMAIL.2 a su dirección de correo electrónico con fechas 26/6/2017, 30/6/2017, 3/7/2017, 17/7/2017, 24/7/2017, 2/8/2017, 7/8/2017, 4/9/2017. 18/9/2017, 2/10/2017 ofertándole como hacer publicidad en Facebook e Instagram, como hacer un Plan de Social Media paso a paso, etc. y han sido enviados desde la IP ***IP.3 que pertenece al proveedor de servicios CPC. QUINTO. Los correos enviados a Denunciante 1 de fechas 13/2/2017 y 20/2/2017 han sido enviados desde la ***IP.1 y corresponden al proveedor de hosting Axarnet Comunicaciones, S.L. que identifica al titular de dicha IP como EVIDALIA WEB, S.L. con domicilio en Valencia. SEXTO. Los correos electrónicos recibidos por Denunciante 1 entre el 27/4/2017 y 26/6/2017 han sido enviados desde las IPs ***IP.3 y ***IP.2. que pertenecen al proveedor de servicios CPC. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 Los correos electrónicos recibidos por el Denunciante 2 entre el 01/06/2017 y 21/08/2017 han sido enviados desde la dirección IP ***IP.3, que pertenecen al proveedor de servicios CPC. Los correos electrónicos recibidos por el Denunciante 3 entre el 26/06/2017 y 02/10/2017 han sido enviados desde la dirección IP ***IP.3, que pertenecen al proveedor de servicios CPC. SEPTIMO. CPC ha identificado al titular de dichas IPs en esas fechas como HSM, entidad que fue disuelta el 13/12/2016 según consta en el registro mercantil de Reino Unido, y aporta los logs de correos electrónicos enviados a la Denunciante 1 entre el 27/4/2017 y 26/6/2017 por ***EMAIL.2 y***EMAIL.3 CPC también ha proporcionado los teléfonos de contacto del titular, ***TELF.1 y ***TELF.2 y las IPs desde donde se accedió: el 03/07/2017 desde la IP ***IP.4 y el 17/09/2017 desde la IP ***IP.5. OCTAVO. TELEFONICA MOVILES, ha identificado al titular de la línea ***TELF.2 como Asociación Española para la Enseñanza Online. ORANGE ha identificado al titular del teléfono ***TELF.1 que desde el 01/04/2017 es ALPANU CN, SL cuyo domicilio es (C/...2), coincidente con el aportado por la denunciada a efectos de notificaciones en la inspección realizada en su domicilio y el lugar donde se notificó el acuerdo de inicio. TELEFONICA DE ESPAÑA ha identificado al titular de las direcciones IPs anteriores en las fechas señaladas como Asociación Española para la Enseñanza Online, con teléfono asociado ***TELF.3. NOVENO. Asociación Española para la Enseñanza Online está inscrita en el Registro Nacional de Asociaciones el 15/12/2016. DECIMO. En el Acta de Inspección E/03768/2017/I-02, llevado a cabo el 23/11/2017 en el domicilio de la denunciada como administradora de la empresa que creo la página ***EMAIL.2, se señala lo siguiente: “A.A.A. realiza las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: 1. La entidad responsable de ***WEB.1 es HSM ubicada en Inglaterra… 2. Actualmente, de forma desinteresada, es consultora honoraria gratuita de HSM. Ocasionalmente se conecta al panel de administración del servidor de la empresa HSM en Inglaterra, que supone redireccionará a CPC para, como asesora española, supervisar gratuitamente la calidad de los cursos on line de community manager, pero en ningún momento ha enviado correos comerciales, ya que además de no mantener relación laboral con la entidad HSM, no es su cometido. 3. También es presidenta de la Asociación Española Para la Enseñanza On Line. Pero esta asociación no tiene actividad alguna, ni CIF ni relación con HSM. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 4. Según indica, A.A.A., desconoce el procedimiento para darse de baja en las newsletters de la entidad HSM, pero se ofrece para hacer de mediadora con HSM para facilitar a la Agencia Española de Protección de Datos, detalle del procedimiento para darse de baja de las newsletters y analizar si constan solicitudes de baja de los correos ***EMAIL.4, ***EMAIL.5 y ***EMAIL.1.” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI, también en la redacción dada por la mencionada Ley de Telecomunicaciones, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. A su vez, el apartado
  6. d)del anexo de la LSSI define al “Destinatario del servicio” o ”destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
  7. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
  8. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad”. Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
  9. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
  10. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
  11. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
  12. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. III En el presente caso, a la luz de los hechos probados en el procedimiento ha quedado acreditado que la denunciada resulta responsable del envío de correos publicitarios remitidos entre el 04/06/2017 y el 02/10/2017 a los denunciantes, al encontrarse prescritos los anteriores, desde la dirección ***EMAIL.2 a las cuentas de correo electrónico: ***EMAIL.4, ***EMAIL.5 y ***EMAIL.1 con la finalidad de promocionar y ofertar cursos entre otros los denominados bajo la leyenda “como hacer publicidad en Facebook e Instagram”, “como hacer un Plan de Social Media paso a paso”, etc. correos que fueron remitidos a través de IPs cuyo proveedor de servicios eran CPC y TELEFONICA. Además, consta acreditado que pese a que las denunciantes se dirigieron a la citada cuenta de correo ejercitando su derecho a no recibir correos publicitarios no deseados (incluso la denunciante 1 representada por FACUA se dirigió a HSM mediante carta certificada el 19/09/2016), A.A.A. continuó remitiendo comunicaciones comerciales a los denunciantes sin su autorización o circunstancia que dispensara del consentimiento, habida cuenta de que éstos solicitaron que se abstuviera de tales remisiones, que procediera a la cancelación de sus datos y, por ende, el cese de tales envíos. Y todo ello, a pesar de que como consta en el hecho probado séptimo la entidad HSM fuera disuelta el 13/12/2016 según consta en el registro mercantil de Reino Unido. Pues bien, CPC aporta los logs de los correos electrónicos con destino ***EMAIL.1 correspondiente a la denunciante 1 entre el 27/4/2017 y 26/6/2017 por ***EMAIL.2 y ***EMAIL.3 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 En la propia Acta de Inspección de 23/11/2017, llevada a cabo en el domicilio de la denunciante que coincide según los datos del Acta con el de la Asociación Española de Enseñanza On line se señala que A.A.A. en calidad de “administradora de la empresa antigua dueña que creó la página web ***EMAIL.2”...“A.A.A. realiza las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: 1. La entidad responsable de ***WEB.1 es HSM ubicada en Inglaterra… 2. Actualmente, de forma desinteresada, es consultora honoraria gratuita de HSM. Ocasionalmente se conecta al panel de administración del servidor de la empresa HSM en Inglaterra, que supone redireccionará a CPC para, como asesora española, supervisar gratuitamente la calidad de los cursos on line de community manager, pero en ningún momento ha enviado correos comerciales, ya que además de no mantener relación laboral con la entidad HSM, no es su cometido. Hay que señalar que a pesar de lo manifestado por la denunciada HSM se hallaba disuelta desde el 13/12/2016; sin embargo, a pesar de la ausencia patente de la entidad en el trafico jurídico continuaba como consultora de la entidad y se siguió conectando con la misma a través del panel de administración del servidor quien redirecciónaba posteriormente a CPC. Como botón de muestra CPC ha informado que los correos electrónicos recibidos por el denunciante 2 entre el 27/4/2017 y 26/6/2017 (con posterioridad a la disolución de HSM), fueron enviados desde las IPs ***IP.3 y ***IP.2; también los correos electrónicos recibidos entre el 01/06/2017 y 21/08/2017 fueron enviados desde la dirección IP ***IP.3. Estas IPs pertenecen al proveedor de servicios CPC. También los correos electrónicos recibidos por el denunciante 3 entre el 26/06/2017 y 02/10/2017 han sido enviados desde la dirección IP ***IP.3 identificada por CPC. CPC ha identificado al titular de dichas IPs en esas fechas como HSM, entidad disuelta el 13/12/2016 y, además aporta los logs de correos electrónicos enviados a la denunciante entre el 27/4/2017 y 26/6/2017 por ***EMAIL.2 y ***EMAIL.3 Además, CPC ha proporcionado los teléfonos de contacto del titular, ***TELF.1 y ***TELF.2 y las IPs desde donde se accedió (El 03/07/2017 desde la IP ***IP.4y el 17/09/2017 desde la IP ***IP.5). Pues bien, TELEFONICA identifica al titular de la línea ***TELF.2 y de las IPS anteriores como Asociación Española para la Enseñanza Online. ORANGE identifica al titular de la línea ***TELF.1 como ALPANU CN, SL cuyo domicilio es (C/...2), coincidente con el aportado por la denunciada a efectos de notificaciones en la inspección realizada en su domicilio y dirección en la que se notificó el acuerdo de inicio del presente procedimiento. Hay que recalcar que Asociación Española para la Enseñanza Online está inscrita en el Registro Nacional de Asociaciones desde el 15/12/2016. La denunciada es también presidenta de dicha asociación, pero no tiene actividad alguna. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 Por tanto, resulta llamativo que una asociación que se encuentra inscrita en el Registro Nacional de Asociaciones desde 2016 y que no tiene actividad alguna, tenga necesidad de contratar dos IPs. Lo que parece indicar el intento de la denunciada por velar y oscurecer su actividad tras entidades que no tienen actividad o disueltas. La denunciada no ha justificado que los e-mails enviados se efectuaran mediando autorización expresa o solicitud previa del destinatario de los mismos. Atendidas las circunstancias expuestas, resulta de aplicación el criterio mantenido por la Audiencia Nacional en la Sentencia de fecha 17 de mayo de 2007, Recurso 157/2005, en el que, respecto de un caso que también afectaba al incumplimiento de lo previsto en el artículo 21 de la LSSI, se arguyó que: “En caso de que los afectados hubieran negado haber otorgado dicho consentimiento, que la Ley no exige que sea escrito, correspondería al denunciado probar su existencia, como ha reiterado esta Sala en relación con el tratamiento inconsentido de datos.” Todas estas circunstancias hacen decaer cualquier legitimación de la denunciada para el envío de comunicaciones comerciales por medios electrónicos. Por tanto, la conducta de la denunciada vulnera lo dispuesto en el artículo 21.1 de la LSSI que prohíbe de forma expresa los envíos no solicitados o expresamente autorizados. IV Se hace necesario hacer referencia a la virtualidad de la prueba indiciaria cuya admisión en el procedimiento administrativo sancionador se admite en la Sentencia del Tribunal Constitucional núm. 45/1997 (Sala Primera), de 11 de marzo (RTC 1997,45). Así los requisitos necesarios para su admisión vienen desarrollados, con cita de la doctrina del Tribunal Supremo, por la Sentencia del TSJ de Andalucía, núm. 255/2003 de 27 de enero, que dice: “Sobre ella precisar que la jurisprudencia constitucional y la de la Sala 2ª del TS han perfilado los requisitos necesarios para que la prueba indiciaria pueda ser apreciada como tal y que pueden resumirse en los siguientes extremos: 1º- Que el hecho base no sea único, pues uno solo podría inducir a error … 2º- Que estos hechos estén directamente acreditados …; y 3º Que la inferencia no quebrante las reglas de la lógica, de otra disciplina o de la experiencia general…” Por lo que se refiere al primer requisito, constan numerosos indicios respecto de la remisión de los e-mails oponiéndose a la recepción de los citados correos publicitarios por los denunciantes: 1. La carta certificada aportada por FACUA y los correos electrónicos remitidos por los denunciantes a la dirección ***EMAIL.2 oponiéndose al envío de correos publicitarios y comerciales no solicitados. 2. La reiteración de la denunciada remitiendo correos publicitarios con posterioridad a los citados correos en los que se solicitaba la baja. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 3. La información aportada por el proveedor CPC indicando que el titular de las IPs en esas fechas como HSM, entidad que sin embargo había sido disuelta el 13/12/2016 según consta en el registro mercantil de Reino Unido. 4. Los logs desde los que se enviaron los e-mails a la denunciante 1 entre el 27/4/2017 y 26/6/2017 ***EMAIL.2 y ***EMAIL.3 en esas mismas fechas que pertenecían a HSM. 5. Los e-mails recibidos por el denunciante 2 entre el 27/4/2017 y 26/6/2017 enviados desde las IPs ***IP.3 y ***IP.2; asi como los e-mails recibidos entre el 01/06/2017 y 21/08/2017 que fueron enviados desde la dirección IP ***IP.3; IPs que pertenecen al proveedor de servicios CPC. 6. Los e-mails recibidos por el denunciante 3 entre el 26/06/2017 y 02/10/2017 enviados desde la dirección IP ***IP.3 identificada por CPC. 7. Lo señalado en el Acta de Inspección indicándose que la denunciada continuaba como consultora de la entidad ya disuelta y que se siguió conectando con la misma a través del panel de administración del servidor quien redirecciónaba posteriormente a CPC y que llevada a cabo la misma en el domicilio de la denunciada como administradora de la empresa que creo la página ***EMAIL.2. 8. TELEFONICA que ha informado que el titular de la línea ***TELF.2 y de las IPS desde donde se enviaron e-mails pertenecían a la Asociación Española para la Enseñanza Online. 9. ORANGE que ha informado que el titular de la línea ***TELF.1 como ALPANU CN, SL cuyo domicilio es (C/...2), coincide con el aportado por la denunciada a efectos de notificaciones en la inspección realizada en su domicilio. 10. La denunciada, presidenta de la Asociación Española para la Enseñanza Online inscrita en el Registro Nacional de Asociaciones desde el 15/12/2016; dicha asociación no tiene actividad ni CIF. En cuanto al segundo requisito, hay que señalar que los indicios apuntados están plenamente acreditados y finalmente, en cuanto al último, las deducciones y evidencias de ningún modo quebrantan las reglas de la lógica, de la disciplina, ni de la experiencia general. V Es cierto como alega el representante de la denunciada que en la parte conclusiva de la Propuesta de Resolución se hace referencia a la infracción del artículo 6.1 de la LOPD; sin embargo, no lo es menos que a la luz de los antecedentes y fundamentos de la misma se desprende que tal alusión se ha debido a un simple error material que como tal exige su rectificación de conformidad con el artículo 109.2 de la Ley 39/2015, pero en modo alguno como manifiesta aquel supone un cambio en la calificación jurídica de los hechos. VI El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación”. La definición de prestador del servicio se contiene en el apartado
  13. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De acuerdo con lo establecido en los apartados 3.
  14. c)y 4.
  15. d)del artículo 38 de la LSSI actualmente en vigor, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  16. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
  17. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción de carácter grave a los efectos de la LSSI. De los hechos y circunstancias acreditados en el procedimiento sancionador y con arreglo a lo dispuesto en los citados preceptos, la conclusión que se desprende es que la conculcación del artículo 21 de la LSSI que se imputa a A.A.A. se ajusta al tipo de infracción calificada como leve en el artículo 38.4.
  18. d)de la vigente LSSI, ya que el envío de los e-mails sin contar con el consentimiento previo y expreso para ello debe ser calificado de comunicaciones comerciales no solicitadas por medios electrónicos por parte de la referida persona. VI Según establece el art. 39.1 las infracciones leves, con multa de hasta 30.000 €, fijando los criterios para su graduación el artículo 40 de la misma norma, que dispone lo siguiente: “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17
  19. a)La existencia de intencionalidad.
  20. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  21. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  22. d)La naturaleza y cuantía de los perjuicios causados.
  23. e)Los beneficios obtenidos por la infracción.
  24. f)Volumen de facturación a que afecte la infracción cometida.
  25. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes”. De conformidad con la instrucción del presente procedimiento sancionador, se determina la sanción a imponer en la cuantía de 2.000 € (dos mil euros) de acuerdo con los siguientes criterios que establece el art. 40 de la LSSI, el previsto en el apartado
  26. a)La existencia de intencionalidad, en relación con el elemento subjetivo en la comisión de la infracción y la diligencia desplegada en el cumplimiento de la normativa que regula los derechos de los usuarios de los servicios de la sociedad de la información, puesto que remitir correos electrónicos similares a los recibidos por los denunciantes, sin autorización previa y expresa, era contrario a la LSSI. Además, queda acreditado que los tres denunciantes se dirigieron a la denunciada para que omitiera el envío de comunicaciones comerciales y publicitarios no deseadas a lo que la denunciada hizo caso omiso. Por otra parte, hay que señalar que la falta de diligencia respecto de la intencionalidad y su conexión con el principio de culpabilidad, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. La Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  27. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. Por su parte, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible, y en la valoración del grado de dicha diligencia, ha de ponderarse especialmente la profesionalidad o no del sujeto, y en el presente caso no puede dejar de observarse que la denunciante es conocedora de los mandatos de la LSSI, y porque de la información que se deduce de los –emails enviados se desprende que buena parte del objeto de actividad de la entidad, es la prestación de servicios de la sociedad de la información definidos en la citada ley, lo que le hace tributaria del conocimiento de la norma que regula dicho sector, es decir la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 LSSI, por lo que ha de insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto ( STS de 5 de junio de 1998). En segundo lugar, se contempla como circunstancia agravante la contenida en el apartado
  28. b)El plazo de tiempo durante el que se ha cometido la infracción, del artículo 40 de la LSSI, puesto que se trata de numerosos correos publicitarios remitidos entre el 04/06/2017 y el 02/10/2017 a los denunciantes, al encontrarse prescritos los anteriores, desde la dirección ***EMAIL.2 a las cuentas de correo electrónico: ***EMAIL.4, ***EMAIL.5 y ***EMAIL.1 con la finalidad de promocionar y ofertar cursos. Por tanto, de conformidad con los criterios de graduación establecidos en el artículo 40 de la LSSI, tanto favorables como adversos, se impone una sanción de 2.000 euros de la que A.A.A. debe responder. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a A.A.A. por una infracción del artículo 21.1 de la LSSI, tipificada como como leve en el artículo 38.4.
  29. d)de la citada norma, siendo sancionada con multa de 2.000 euros, de acuerdo con el artículo 39.1.
  30. c)de la LSSI. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  31. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  32. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.