PS-00592-2013

1/16 Procedimiento Nº PS/00592/2013 RESOLUCIÓN: R/00382/2014 En el procedimiento sancionador PS/00592/2013, instruido por la Agencia Española de Protección de Datos a la entidad CONSIGNALIA, S.L., vista la denuncia presentada por la ASOCIACION ANDALUZA DE COMERCIO ELECTRONICO, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 25 de enero de 2013 tiene entrada en esta Agencia a través de su sede electrónica una denuncia presentada por Don A.A.A., en nombre y representación de la ASOCIACIÓN ANDALUZA DE COMERCIO ELECTRÓNICO, en adelante la denunciante, en la que manifiesta que han estado recibiendo comunicaciones promocionales en la cuenta de correo electrónico ....@andce.... que no han sido autorizadas ni solicitadas expresamente. El denunciante aporta copia de cinco correos electrónicos recibidos en dicha cuenta entre el 7 y el 10 de enero de 2013 junto con sus cabeceras completas. También adjunta copia de un escrito remitido por CONSIGNALIA, S.L. a Protección de Datos en Andalucía en relación al envío de correos electrónicos no consentidos a la cuenta ....@protecciondedatosenandalucia...., de la que el denunciante indica también es titular la referida Asociación, si bien no acredita dicha circunstancia ni presenta copia de los envíos a los que se refiere el citado escrito. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia han tenido conocimiento de los siguientes extremos: 1. Entre el 7 y el 10 de enero de 2013, la cuenta de correo ....@andce.... recibió cinco correos electrónicos remitidos desde la cuenta info@vip.............. , cuya dirección IP de origen era en todos los casos ***IP.1. Los correos electrónicos contenían información comercial referente a productos y/o servicios de las firmas Planeta DeAgostiny (envío de 07/01/2013), Privalia (envío de 08/01/2013), Altaya (envío de 08/01/2013), Casual Club(envío de 09/01/2013) y Mynaturalbody (envío de 10/01/2013). Ninguno de los correos electrónicos enviados incluye una dirección electrónica válida para que el destinatario de los mismos pueda oponerse al envío de posteriores comunicaciones comerciales por vía electrónica. 2. En el sitio web www.vip-register.......... se identifica a CONSIGNALIA, S.L. como la responsable del sitio web. El propósito del citado sitio web es permitir suscribirse a una lista de destinatarios a quienes deseen recibir información promocional por correo electrónico. En el último punto de la página de Términos y condiciones de uso se indica que “Los usuarios del servicio Vip-register que lo soliciten pueden excluirse de este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 servicio de forma sencilla y gratuita, dirigiendo una comunicación por escrito a Consignalia, S.L., usuarios del sitio web http://www.vip-register.........., o remitiendo un correo electrónico al siguiente enlace.”. El enlace referenciado en el párrafo anterior no dirige a una cuenta de correo sino al formulario de contacto del sitio web. 3. El dominio vip-register.com está registrado a nombre de TORRES DE GESTION DE NEGOCIO Y EMPRESAS, S.L. y Don B.B.B., asociado a la sociedad WEB COMMERCE, S.L., consta como contacto administrativo, técnico y de facturación. En el Registro Mercantil Central Don B.B.B. consta como administrador único de las entidades TORRES DE GESTION DE NEGOCIO Y EMPRESAS, S.L., TORRES DE GESTION DE NEGOCIO Y EMPRESAS, S.L. y CONSIGNALIA, S.L. 4. El servidor de correo asociado al dominio vip-register.com, identificado como mail.vip-register.com tiene la dirección IP ***IP.1. 5. El 1 de abril de 2013 se remitió desde la AEPD una solicitud de información al domicilió indicado por CONSIGNALIA, S.L. en el sitio web www.vip-register........... La solicitud fue devuelta por el servicio de correos tras haber intentado entregarla los días 4 y 5 de abril de 2013. A través del formulario de contacto del sitio web www.vip-register.......... se solicitó una dirección de notificación válida, pero no se ha recibido respuesta a dicha solicitud. 6. Finalmente, tras contactar con el administrador único de CONSIGNALIA, S.L. a través del teléfono móvil que figuraba en la información obtenida en el servicio de consulta de registro de dominios “whois”, dicho administrador remitió un correo electrónico con fecha 20 de septiembre de 2013 en el que, en referencia al envío de los correos electrónicos denunciados, manifestaba lo siguiente: 6.1. “…no disponemos del consentimiento expreso del titular de la dirección ....@andce.... , por lo que procedimos a enviar comunicaciones comerciales de forma errónea. Este error fue detectado con fecha 02/02/2013 y procedimos a solucionarlo, le adjunto incidencia registrada en nuestro sistema de incidencias tal y como establece el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal.”. 6.2. “… obtuvimos la dirección de correo electrónico de la página web www.andce.es que es la página oficial de la Asociación Andaluza de Comercio Electrónico.”. Indican que, al recopilar “…las mejores fuentes de información para recibir asesoramiento en cuanto a cursos, novedades, artículos de opinión de todo lo que hace referencia al sector del comercio electrónico” se introdujo por error dicha dirección de correo electrónico en el sistema de envío de comunicaciones comerciales.” 6.3. “Por lo que hace referencia al usuario disponemos de una solicitud expresa el pasado día 25/01/2013 solicitando la cancelación a dicha suscripción. Nuestros sistemas funcionaron correctamente y el titular de la citada cuenta de correo electrónico no ha vuelto a recibir comunicación publicitaria alguna.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 El correo electrónico aporta una captura de pantalla del sistema de incidencias citado en el punto 6.1 en el que consta una incidencia abierta el 2 de febrero de 2013, con fecha de incidencia de 3 de diciembre de 2012. La descripción de la incidencia especifica que se trata de la “Inclusión en la lista de envíos de campañas publicitarias de la web www.vip-register.......... de usuarios que no tenemos su consentimiento.”. La incidencia se cerró el mismo día 2 de febrero de 2013 tras “Eliminar de la BBDD todos los usuarios que no han dado su consentimiento expreso.” TERCERO: Con fecha 5 de noviembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CONSIGNALIA, S.L. por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como grave en el artículo 38.3.

1. c)de la citada Ley. CUARTO: Notificado el citado Acuerdo de inicio, la representación la representación de CONSIGNALIA presentó alegaciones solicitando el sobreseimiento del procedimiento con fundamento, sustancialmente, en los siguientes argumentos: - Las comunicaciones comerciales dirigidas a sus clientes adjuntan siempre a pie del envío un enlace para poder ejercer los derechos de acceso, rectificación, cancelación y oposición de datos de carácter personal, habiéndose ejercido por el usuario el derecho a oponerse al envío de comunicaciones comerciales por vía electrónica el día 25/01/2013 a través de uno de los enlaces que el correo electrónico incluye. - En los términos y condiciones de la página web www.vipregister.......... se facilita un formulario de contacto a través del cual el usuario puede ejercer los derechos anteriormente citados. - El día 02/02/2013 se detectó una incidencia en el procedimiento de inclusión en la lista de envíos de comunicaciones comerciales de la web www.vip-register.......... de cuentas de correo electrónico de las que no se disponía de consentimiento expreso. - Los mensajes denunciados se enviaron de forma errónea, por lo que no existió voluntad de incumplir la legislación vigente, como muestra la subsanación de la incidencia detectada el día 02/02/2013 y la colaboración mostrada con la AEPD facilitando la información de forma diligente y transparente. QUINTO: Con fecha 27 de noviembre de 2013 se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, en el que se dieron por reproducidos a efectos probatorios la denuncia interpuesta por la Asociación denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante la entidad denunciada, el Informe de actuaciones previas de Inspección que forman parte del expediente E/01498/2013, las alegaciones al acuerdo de inicio PS/00592/2013 presentadas por CONSIGNALIA, S.L. y la documentación que a ellas acompaña. Asimismo, con esa misma fecha, y a efectos probatorios, se acordó solicitar a CONSIGNALIA, S.L. la siguiente información y/o documentación: 1) acreditación de la autorización expresa o solicitud previa de la Asociación denunciante para la utilización C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 del correo electrónico ....@andce.... para la remisión de las comunicaciones comerciales objeto de denuncia o, en su caso, de la existencia de relación contractual anterior entre ambas partes; 2) acreditación de que los cinco correos electrónicos enviados a la Asociación denunciante entre el 7 y el 10 de enero de 203 ofrecían una dirección electrónica válida a los efectos de oponerse a la recepción de nuevos envíos; 3) acreditación del ejercicio del derecho de oposición por parte de la Asociación denunciante con fecha 25/01/2013, con justificación del enlace exacto utilizado; 4) Impresión de los datos que figuran registrados en sus sistemas informáticos relativos al titular del correo electrónico ....@andce....; 5) remisión de impresión del registro de la incidencia en el procedimiento de inclusión en la lista de envíos de comunicaciones comerciales de la web www.vip-register........... Con fechas 19 de diciembre de 2013 y 8 de enero de 2014 se reiteró por la instructora la solicitud de la práctica de las pruebas requeridas a CONSINALIA, S.L., al haber sido devuelto por Caducado en Lista el envío de fecha 27/11/2013 efectuado al domicilio de la entidad que aparecía en el escrito de alegaciones y por “Desconocido” el envío de 19/12/2013 dirigido al domicilio que figura en el Registro Mercantil Central. Igualmente, con esa misma fecha se acordó solicitar a la Asociación Andaluza de Comercio Electrónico la práctica de las siguientes pruebas: 1) remisión de copia impresa íntegra de los cinco correos electrónicos denunciados, de tal forma que sea posible la visualización de toda la información contenida en los mismos (imágenes, enlaces o cualquier otro objeto); 2) confirmación de si con fecha 25 de enero de 2013 ejerció, o no, ante la entidad denunciada el derecho de oposición, especificando, en su caso, el mecanismo utilizado para tal ejercicio y remitiendo copia de la solicitud efectuada; 3) indicación de las fechas y mecanismos en que esa Asociación haya podido solicitar, al margen de la fecha anteriormente citada, la baja de correos electrónicos publicitarios ante la entidad denunciada, aportando documentación acreditativa de lo expresado. Con fecha 16 de diciembre de 2013 se registra de entrada en esta Agencia escrito de la Asociación Andaluza de Comercio Electrónico adjuntando, según indican, documento de 24/01/2013 con el cuerpo del correo, solicitud de baja efectuada el 25 de enero de 2013 a través de un enlace en el correo y copia de correo electrónico de contestación a la solicitud de baja Con fecha 23 de enero de 2014 se registra de entrada en esta Agencia escrito de la representación de CONSIGNALIA, S.L. reiterándose en las manifestaciones efectuadas durante las actuaciones previas de inspección respecto de que no disponían del consentimiento expreso del titular de la dirección ....@andce.... y la subsanación del error con fecha 2 de febrero de 2013. Señalan que a raíz de la detección de la incidencia se eliminó de sus sistemas toda la información referente a dicho correo electrónico, lo que incluía los correos electrónicos enviados al titular. Atendido que el enlace es único para cada cliente y correo electrónico no pueden reproducir el enlace enviado a la cuenta de correo titularidad de la Asociación denunciante mailto: ....@andce.... en cada comunicación. Adicionalmente a dicho enlace único se dispone del enlace genérico http://vip-register............ para dar de baja cualquier comunicación. Aportan información obtenida en sus registros de LOG del servidor y de la herramienta de comunicación de email sobre la solicitud de baja de la Asociación denunciante con fecha 25/01/2013. SEXTO: Con fecha 31 de enero de 2014 se formuló propuesta de resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionase a CONSIGNALIA, S.L. con una multa de 30.001 euros (Treinta mil un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 euros) por la infracción del artículo 21.1 de la LSSI, tipificada como grave en el artículo 38.3.
2. c)de dicha norma SÉPTIMO: Con fecha 6 de febrero de 2014 se registra de entrada escrito del representante de la entidad imputada solicitando contactar telefónicamente con la instructora del procedimiento al entender que la sanción impuesta, además de inasumible en función de la facturación de la empresa, es excesiva, ya que los hechos se producen por un error operativo que fue detectado, subsanado y reconocido. Con fecha 24 de febrero de 2014 se registra nuevo escrito del representante de CONSIGNALIA calificado como recurso de reposición, cuando en realidad se trata de un escrito de alegaciones a la propuesta de resolución, en el que se hace hincapié en los siguientes extremos: 1) La inclusión del correo del denunciante en la lista de envío de comunicaciones comerciales no fue intencionada ni dolosa, siendo prueba de ello la notificación y resolución de la incidencia técnica producida en los procedimientos internos que originó el envío de las comunicaciones comerciales no consentidas. El correo se obtuvo con fines informativos para contactar con la asociación y recibir asesoramiento referente a la normativa de la LOPD y LSSI. 2) El denunciante pudo ejercer su derecho de oposición mediante el procedimiento sencillo y gratuito que se le ofrece para ello, como demuestra el LOG del servidor adjuntado en su momento como prueba. En relación con esta cuestión puntualizan que el formulario al que se refiere el apartado segundo, punto 2, de los antecedentes envía un correo electrónico a su responsable para que actúe a petición del usuario. 3) CONSIGNALIA, S.L. es una pequeña empresa familiar de reciente creación con un escaso volumen de facturación, conforme prueba la documentación aportada correspondiente al ejercicio 2013, por lo que la sanción propuesta resulta extraordinariamente lesiva para sus intereses. 4) Se insiste en que se atendieron los requerimientos de información de la AEPD de fecha 01/04/2013 a través de los correos electrónicos que prueban la existencia de comunicación verbal y escrita con el inspector actuante con fecha 29/04/2013. HECHOS PROBADOS PRIMERO: Con fecha de 25 de enero de 2013 la ASOCIACIÓN ANDALUZA DE COMERCIO ELECTRÓNICO denunció a la entidad CONSIGNALIA, S.L. por el envío de comunicaciones comerciales no consentidas a su dirección de correo electrónico ....@andce.... . SEGUNDO: Entre el 7 y el 10 de enero de 2013 CONSIGNALIA, S.L. envío desde la cuenta de correo info@vip.............. un total de cinco comunicaciones comerciales a la dirección de correo electrónico ....@andce.... de la Asociación denunciante. Los mencionados envíos contenían información comercial referente a productos y/o servicios de las firmas Planeta DeAgostiny (envío de 07/01/2013), Privalia (envío de 08/01/2013), Altaya (envío de 08/01/2013), Casual Club (envío de 09/01/2013) y Mynaturalbody (envío de 10/01/2013). (folios 3 al 12) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 TERCERO: En los correos aportados aparecen enlaces que remiten a la dirección http://vip-register............1 de CONSIGNALIA, S.L. (folios 3 al 12) CUARTO: En los “Términos y Condiciones” del sitio web www.vip-register.......... se indica que Vip-register es una división de CONSIGNALIA, S.L., entidad responsable de dicho sitio de Internet. (folios 25 al 28) En dicho documento se señala que: “Consignalia, S.L. presta, entre otros, sus servicios en el campo del permission e-mail marketing y marketing directo, y conoce la inseguridad y desconfianza que una red abierta como Internet genera en sus usuarios. Por ello, Consignalia, S.L. tiene como uno de sus objetivos esenciales y prioritarios ofrecer un servicio lo más seguro y confidencial posible, salvaguardando la privacidad de las comunicaciones y los datos personales de sus usuarios.” En el mismo documento aparece que: “El servicio Vip-register consiste en ofrecer al usuario, información y publicidad sobre productos y servicios incluidos en las áreas de interés que el usuario ha señalado al darse de alta en el Servicio Vip-register así como información y publicidad sobre los productos y servicios en los que, atendiendo a su perfil, y según el criterio de Vip-register, éste pudiera estar también interesado.” En el apartado relativo a Comunicaciones electrónicas de dicho documento se indica que “Los usuarios del servicio Vip-register que lo soliciten pueden excluirse de este servicio de forma sencilla y gratuita, dirigiendo una comunicación por escrito a Consignalia, S.L., usuarios del sitio web http://www.vip-register.........., o remitiendo un correo electrónico al siguiente enlace.”., comprobándose que dicho enlace dirige al formulario de contacto del sitio web. (folios 25 al 28 y 64 al 75.) QUINTO: Don B.B.B. ,administrador único de las entidades TORRES DE GESTION DE NEGOCIO Y EMPRESAS, S.L., TORRES DE GESTION DE NEGOCIO Y EMPRESAS, S.L. y CONSIGNALIA, S.L., figura como contacto administrativo, técnico y de facturación del dominio vip-register.com, el cual está registrado a nombre de TORRES DE GESTION DE NEGOCIO Y EMPRESAS, S.L. (folios 15 y 16 y 30 al 37) SEXTO: CONSIGNALIA, S.L. ha reconocido no contar con el consentimiento expreso de ASOCIACIÓN ANDALUZA DE COMERCIO ELECTRÓNICO para la utilización de la dirección de correo electrónico ....@andce.... para el envío de comunicaciones comerciales, habiendo indicado también que obtuvieron el citado dato de la página web oficial de dicha Asociación ( www.andce.es). (folios 46, 90 y 131) SÉPTIMO: Con fecha 2 de febrero de 2013 CONSIGNALIA, S.L. subsanó la incidencia de fecha 3 de diciembre de 2012 consistente, según figura en su registro de incidencias, en la “Inclusión en la lista de envíos de campañas publicitarias de la web www.vipregister.......... de usuarios que no tenemos su consentimiento”, procediendo a “Eliminar de la BBDD todos los usuarios que no han dado su consentimiento expreso” (folio 55). OCTAVO: Con fecha 25 de enero de 2013 la ASOCIACIÓN ANDALUZA DE COMERCIO ELECTRÓNICO solicitó la baja de los envíos comerciales dirigidos a su cuenta de correo electrónico ....@andce.... , no constando en la actualidad datos relativos a dicho usuario en los registros informáticos asociados vip-register.com (folios 109 al 113). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 FUNDAMENTOS DE DERECHO I El artículo 43.2, segundo párrafo, de la LSSI, otorga a la Agencia Española de Protección de Datos la facultad para imponer sanciones por la comisión de la infracción del artículo 21 de la citada Ley. II A los efectos de examinar si los hechos objeto de denuncia pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, modificado por el Real Decreto-Ley 13/2012, de 30 de marzo, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección electrónica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI, también en la redacción dada por el citado Real Decreto-Ley 13/2012, de 30 de marzo, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección . Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. A su vez, el apartado
3. d)del anexo de la LSSI define al “Destinatario del servicio” o ”destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información.”. De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. La Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), modificada por la Directiva 2009/136/CE del Parlamento Europeo y del Consejo, de 25 de noviembre, introdujo en el conjunto de la Unión Europea el principio de “opt in”, es decir, la necesidad de contar con el consentimiento previo del destinatario para el envío de comunicaciones electrónicas con fines comerciales. De este modo, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
4. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
5. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
6. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
7. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
8. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales. ” (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
9. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV En la presente resolución se imputa a CONSIGNALIA, S.L. el envío entre el 7 y el 10 de enero de 2013 de cinco comunicaciones comerciales no consentidas a la ASOCIACIÓN ANDALUZA DE COMERCIO ELECTRÓNICO. De la documentación obrante en el procedimiento se constata que dichos correos electrónicos se enviaron en su totalidad por la entidad denunciada desde la cuenta de correo electrónico info@vip.............. a la dirección de correo electrónico ....@andce.... de la Asociación denunciante. Todos ellos contenían información publicitaria sobre productos y servicios comercializados por diferentes empresas Dichos envíos, todos ellos de naturaleza comercial, se realizaron, según ha reconocido la propia entidad imputada, sin contar con el consentimiento expreso y previo de la Asociación denunciante, ya que han manifestado que la dirección de correo electrónico utilizada para enviar los mensajes publicitarios denunciados se obtuvieron de la página web de la mencionada Asociación. Sobre este particular hay que señalar que la aparición del correo electrónico de la Asociación denunciante en su propia página web no habilita a la empresa remitente de los envíos a utilizar tales señas electrónicas con fines publicitarios, toda vez que el artículo 21.1 de la LSSI establece que dichos envíos requieren de solicitud previa o autorización expresa del destinatario de los mismos, no entendiéndose como otorgado tal consentimiento por la simple difusión de las señas electrónicas de los destinatarios en una página Web. En un supuesto semejante al que ahora nos ocupa, si bien los datos habían sido obtenidos en una base de datos empresarial adquirida, a su vez, a una tercera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 empresa, la Audiencia Nacional señalaba en su Sentencia de fecha 23 de julio de 2013, correspondiente al Recurso nº 371/2012, lo siguiente: “CUARTO.- La primera cuestión a resolver en el presente litigio reside en si la adquisición legítima de los datos correspondientes a la empresa denunciante, de una tercera empresa, permitían a la denunciada (y ahora actora) la posterior remisión del correo publicitario que finalmente envió y por el que fue sancionada. Esta concreta cuestión y alegación concordantes fueron respondidas en la resolución de 18 de mayo de 2012, decisoria del recurso de reposición formulado. Allí se indicaba que la compra de la base de datos no implica su utilización para la remisión de comunicaciones comerciales, pues ésta es una acción independiente y autónoma de la adquisición de la base de datos, que además responde únicamente a la voluntad de la entidad denunciada. Agregaba por otra parte la resolución recurrida que la constancia de las direcciones electrónicas de las empresas en la red Internet no habilita para utilizarlas para el envío de comunicaciones comerciales, salvo que se den los supuestos del artículo 21 de la Ley de Servicios de la Sociedad de la Información. Es decir, que una entidad puede tener su dirección de correo electrónico en una web a los efectos de "contacto" y fundamentalmente para ofrecer sus productos y actuar en el tráfico jurídico, pero que «ello no implica una autorización ad limitum para ser receptora de publicidad, pues precisamente ese derecho a no recibir comunicaciones comerciales por medios electrónicos es el que protege el artículo 21 de la Ley de Servicios de la Sociedad de la Información ». Pues bien, procede desestimar el recurso por esta primera razón impugnatoria, dado que, en efecto, la legitimidad de la posesión de los datos por parte de una concreta empresa no obsta a la posterior necesidad del recabado de un consentimiento específico para la remisión de comunicaciones comerciales. Así se obtiene del art. 21.1 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico: «Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas». La desestimación del recurso por el fundamento que se acaba de analizar debe llevarnos también a la misma consecuencia con respecto a la afirmación de la obtención de aquella información (los datos de la empresa) de una fuente accesible al público (la página web de la denunciante). Y es que, con independencia de que se trate o no en efecto de una fuente accesible al público en los términos del art. 6.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, lo cierto es que aquella obtención pudiera legitimar, sin expreso consentimiento, el tratamiento de los datos de que se trate, pero no hacerlo con la remisión de comunicaciones comerciales. Esto entraña una actividad singular y diferente, que es requerida de consentimiento autónomo por el art. 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico. Por lo tanto, dado que los datos correspondientes a la cuenta de correo electrónico ....@andce.... se obtuvieron de la propia página web de la Asociación denunciante, cabe concluir que CONSIGNALIA, S.L. no contaba con la cobertura del consentimiento expreso y previo del destinatario de los mensajes denunciados que requieren loa envíos publicitarios efectuados por medios de comunicación electrónica, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 en este caso por correo electrónico. La entidad imputada insiste en sus alegaciones a la propuesta de resolución en el cumplimiento por su parte de la obligación de incluir un mecanismo sencillo y gratuito para poder darse de baja. En relación con esta cuestión, se recuerda que en la mencionada propuesta ya se precisaba lo siguiente al respecto: “si bien en el acuerdo de inicio se indicaba que los correos electrónicos comerciales denunciados no ofrecían al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales al no incluir en los mismos ninguna dirección electrónica válida, tal y como exigen los párrafos segundo y tercero del artículo 21.2 de la LSSI cuando los envíos se han realizado por correo electrónico, sin embargo de la valoración conjunta de las pruebas practicadas y de la información recabada durante la instrucción del procedimiento se observa que los cinco correos denunciados incluían un enlace a la dirección http://vip-register............1 . Por lo tanto, hay que considerar cumplida dicha obligación ya que en los mencionados correos electrónicos figuraba la reseñada dirección electrónica, la cual remitía a la página web del prestador del servicio en cuyos “Términos y Condiciones” aparecían las instrucciones para ejercer tal derecho de oposición a la recepción de comunicaciones comerciales por vía electrónica. Ello comporta que CONSIGNALIA, S.L. no ha incurrido en la infracción de los párrafos segundo y tercero del artículo 21.2 de la LSSI, ya que los cinco mensajes comerciales denunciados contenían una dirección electrónica válida a través de la cual poder oponerse a la recepción de correos comerciales.” En definitiva, en el presente caso, a la luz de los elementos fácticos obrantes en el procedimiento, CONSIGNALIA, S.L. no ha acreditado contar con la autorización expresa del denunciante que ampararía la remisión de los cinco correos comerciales objeto de imputación, ni tampoco ha justificado que los citados mensajes respondiesen a una solicitud previa de su destinatario. V Frente al alegato de inexistencia de dolo en su actuación, esta Agencia considera que aunque no se está ante una conducta dolosa, CONSIGNALIA, S.L. resulta responsable de la comisión de la infracción imputada por no haber actuado con la diligencia que le resulta exigible para asegurarse del cumplimiento de los requisitos recogidos en el artículo 21.1 de la LSSI, máxime si se tiene en cuenta que al tratarse de una empresa que presta servicios en el campo de permission e-mail marketing y marketing directo está habituada al uso de los medios de comunicación electrónica con fines publicitarios en el desarrollo de su actividad empresarial. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En este supuesto se ha comprobado que a pesar de que la entidad conocía desde el 03/12/2012 la existencia de un error en el procedimiento de inclusión en la lista de envíos de comunicaciones comerciales de la web www.vip-register.........., que no se subsanó hasta el 02/02/2013, conforme consta en la impresión del registro de incidencias aportado, procedió a enviar cinco comunicaciones comerciales a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 Asociación denunciante sin constatar si contaba con el consentimiento previo y expreso del destinatario de las mismas. VI Sin perjuicio de lo expuesto en los Fundamentos de Derecho anteriores, de lo actuado ha podido acreditarse que la Asociación denunciante no solicitó a CONSIGNALIA, S.L. la baja de los envíos comerciales dirigidos a su cuenta de correo electrónico hasta el 25 de enero de 2013, utilizando para ello el enlace habilitado en los correos electrónicos enviados por la remitente. También se ha comprobado que con esa misma fecha le fue confirmada por CONSIGNALIA, S.L. la cancelación de la suscripción solicitada (folios 111 al 113). Por lo tanto, no consta que con anterioridad a la formulación de la denuncia realizada ante esta Agencia también con fecha 25 de enero de 2013, la Asociación denunciante hubiera manifestado su voluntad de no recibir nuevas comunicaciones comerciales en la cuenta de correo electrónico ....@andce.... Fijada la cuestión anterior, resulta conveniente citar que en un supuesto similar al que ahora nos ocupa la Audiencia Nacional, en la Sentencia de fecha 15 de julio de 2011, después de establecer la naturaleza comercial de los cinco envíos objeto de análisis en la misma, procedió a estimar parcialmente el recurso contenciosoadministrativo número 256/2010 tipificando la conducta del recurrente como infracción leve, al entender lo siguiente: “Una vez sentado lo anterior, la segunda cuestión que se plantea es si la recurrente actuó con el consentimiento del afectado para la remisión de la citada comunicación comercial dada la condición de accionista y cliente del denunciante. El artículo 21 de la LSSI establece la "Prohibición de comunicaciones comerciales no solicitadas realizadas a través de correo electrónico o medios de comunicación electrónica equivalentes. 1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente." Es cierto que el señor XXX es accionista y cliente de la entidad Bosques Naturales, S.A., pero los datos proporcionados por el mismo a la citada entidad lo fueron en tal condición y para tal relación sin que la recurrente haya podido acreditar que tuviese la solicitud o expresa autorización para la remisión de comunicaciones comerciales a través de correo electrónico. En el presente caso se imputa a Bosques Naturales la comisión de una infracción prevista en el artículo 38.3.
10. c)de la LSSI por el envío, en el plazo de un año, de más de tres comunicaciones comerciales por correo electrónico, y no por el envío masivo como parece entender la parte actora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 Ha quedado acreditado, y así lo recoge la Agencia de Protección de Datos, que en cada uno de los mails remitidos se ponía en conocimiento del denunciante la posibilidad de oponerse a recibir nuevas comunicaciones con un fácil procedimiento consistente en presionar el "clic" que se incluía en la comunicación, sin que el denunciante hubiese activado tal sistema y ello pudo ser interpretarse como conformidad con los posteriores envíos. Siendo así, procede tipificar la infracción como leve, conforme lo preceptuado en el artículo 38.4.
11. d)de la LSSI e imponer una multa de 6.000 €.” Esta Agencia entiende que dicha doctrina resulta de plena aplicación al supuesto que nos ocupa, ya que al no existir constancia de que CONSIGNALIA, S.L. tuviera conocimiento, en las fechas en que se efectuaron los envíos, de la voluntad de la Asociación destinaria de los mensajes denunciados de oponerse a la recepción de nuevas comunicaciones comerciales en sus señas electrónicas, resulta verosímil que la entidad imputada pudiera entender que la ausencia de oposición al primero de los envíos citados, remitido el 7 de enero de 2013, suponía conformidad con los siguientes correos comerciales electrónicos. En consecuencia, la entidad imputada incumplió la prohibición recogida en el artículo 21.1 de la LSSI al resultar responsable del envío de una comunicación comercial no autorizada a la cuenta de correo titularidad de la Asociación denunciante sin contar con su consentimiento previo y expreso. VII De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
12. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente o el envío, en el plazo de un año, de más de tres comunicaciones comerciales por los medios aludidos a un mismo destinatario, cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
13. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o más de tres a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción tipificable como grave a los efectos de la LSSI. A partir del conjunto de hechos y circunstancias constatadas, el presente supuesto se ajustaría al tipo de infracción establecido en el artículo 38.4.
14. d)de la LSSI, calificado como infracción leve, al tratarse, según se ha justificado en el anterior fundamento de derecho, del envío de un correo electrónico de naturaleza comercial C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 no autorizado por parte de CONSIGNALIA, S.L a la dirección de correo electrónico ....@andce.... , sin que dicha entidad contara con el consentimiento previo y expreso para ello de la Asociación denunciante, sin que tampoco resulte de aplicación la excepción contemplada en el primer párrafo del artículo 21.2 de la LSSI al no haber quedado probada la existencia de una relación contractual previa entre ambas partes en los términos recogidos en dicho precepto, que hubiera podido amparar su envío sin mediar dicho consentimiento. Por lo tanto, se considera que la entidad imputada carecía de legitimación para enviar la citada comunicación comercial electrónica a la Asociación denunciante, vulnerando con ello la prohibición establecida en el artículo 21.1 de la LSSI. VIII A tenor de lo establecido en el artículo 39.1.
15. c)de la LSSI, las infracciones leves podrán ser sancionadas con multa de hasta 30.000 €, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma que dispone: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
16. a)La existencia de intencionalidad.
17. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
18. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
19. d)La naturaleza y cuantía de los perjuicios causados.
20. e)Los beneficios obtenidos por la infracción.
21. f)Volumen de facturación a que afecte la infracción cometida”. Con arreglo a los señalados criterios de graduación de las sanciones recogidos en el citado artículo 40 de la LSSI, y, en especial, los relativos a la ausencia de intencionalidad, falta de constancia de que la Asociación denunciante haya sufrido perjuicios derivados de la recepción de los citados correos comerciales o se hayan obtenido por la entidad imputada beneficios con motivo de la comisión de la infracción del artículo 21.1 de la LSSI, se estima procedente imponer una sanción de 600 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CONSIGNALIA, S.L. , por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
22. d)de la LSSI, una multa de 600 € (Seiscientos euros), de conformidad con lo establecido en los artículos 39. 1.
23. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a CONSIGNALIA, ASOCIACION ANDALUZA DE COMERCIO ELECTRONICO. S.L. y a la TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es