← España

PS-00610-2021

1/8  - Procedimiento Nº: PS/00610/2021 (EXP202102988) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, BEAUTY & AESTHETIC BALEARIC, SL., con CIF.: B57975948, (en adelante, “la parte reclamada”), en virtud de denuncia presentada por D. A.A.A., (en adelante, “la parte reclamante”), por la presunta vulneración de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y teniendo como base los siguientes: ANTECEDENTES: PRIMERO: Con fecha 23/08/21, tuvo entrada en esta Agencia, escrito presentado por la parte reclamante, en la que indicaba, entre otras, lo siguiente: “Formulo denuncia contra BEAUTY & AESTHETIC BALEARIC SL por remitir 3 emails el 02/08/2021 haciendo publicidad sobre una aplicación, y ofreciendo sus servicios. Dicho email carece de posibilidad de darse de baja en la suscripción y, por otro lado, en ningún momento he autorizado a esta empresa a utilizar mis datos con estos fines, ni con ninguno otros, ni tampoco se han utilizado en el marco de la ejecución de un contrato, ya que en fecha 02/08/2021 esta parte no era cliente de esta”. Junto al el escrito de reclamación, se acompañaba los tres Correos electrónicos enviados desde la dirección, <<Buddyfit>>: buddy@yourbuddyfit.com, con el asunto: “Clínicas Dorsia te ha invitado a unirte a la comunidad Buddyfit con una suscripción gratuita de 6 meses”. Enviados el 02/08/21, a diferentes horas, a la dirección de correo electrónico del reclamante. SEGUNDO: Con fecha 11/10/21, por parte de esta Agencia se escrito a la entidad reclamada solicitando información con respecto a la reclamación presentada, de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD. TERCERO: Con fecha 11/11/21, se recibió en esta Agencia, escrito de contestación de la entidad reclamada, en el cual se indicaba lo siguiente: “Que por parte de la entidad se han iniciado las averiguaciones pertinentes al objeto de esclarecer lo ocurrido y de manera inmediata se han suprimido los datos del reclamante para la no recepción de comunicaciones comerciales y publicidad. Así mismo, se ha puesto en marcha la revisión de los protocolos y medidas implantadas en la entidad al objeto de mejorar su procedimiento. De igual manera y con el fin de reforzar las medidas adoptadas, se ha estudiado la posibilidad de realizar formaciones de concienciación del tratamiento de datos personales a todo el personal de la entidad. Se acompaña como DOC. Nº 2, documento que evidencia el borrado de los datos del reclamante. En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante. Que esta entidad no tiene C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 constancia de haber recibido por parte del reclamante solicitud para el ejercicio de los derechos ARCO-POL y en consecuencia no se ha podido facilitar ninguna respuesta. Se considera por esta parte que la principal causa que ha motivado la incidencia ha sido un error humano e informático. Así mismo, será necesario más formación en el tratamiento de los datos personales y en este caso en concreto en la posibilidad o no del envío de ofertas comerciales y publicidad a los pacientes según hayan prestado o no su consentimiento expreso. Se adjunta Parte de Incidencia como DOC. Nº 3 en el que se hacen constar los datos solicitados. Que tal como se ha indicado al inicio de las alegaciones, la medida más urgente a adoptar es la adecuada formación en la materia y en el tratamiento de datos personales dirigido a toda la plantilla de la entidad. Se está trabajando en ello para confirmar su contenido, destinatarios y fechas de realización. Así mismo, se establecerán controles periódicos como la revisión de incidencias, el cumplimiento de medidas adoptadas y la comprobación mediante cuestionarios del conocimiento de los protocolos implantados para ello. Se acompaña el Protocolo del ejercicio de los Derechos ARCO-POL”. Junto al escrito de contestación, la entidad adjuntó el contrato de asistencia sanitaria, firmado entre la entidad BEAUTY & AESTHETIC BALEARIC SL, CIF: B57975948 y el reclamante con fecha de formalización el 20/05/

  1. QUINTO: Con fecha 17/12/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. SEXTO: Con fecha 04/01/22, por parte de la Directoria de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador a la entidad reclamada, al apreciar indicios razonables de vulneración de la Ley LSSI, por la presunta infracción del artículo 21, respecto del envío de correos electrónicos sin un mecanismo que posibilitase ejercer el derecho de oposición a recibir nuevos correos electrónicos, con una sanción inicial de 1.000 euros. SEPTIMO: Notificado el acuerdo de inicio a la entidad reclamada el 11/01/22, esta mediante escrito de fecha 25/01/22 formuló, en síntesis, las siguientes alegaciones: “Que, en el acuerdo notificado, se acuerda iniciar procedimiento sancionador a la entidad BEAUTY & AESTHETIC BALEARIC SL por infracción del artículo 21) de la LSSI, respecto del envío de correos electrónicos sin un mecanismo que posibilite su rechazo. Que, de acuerdo con dichos argumentos, esta parte muestra su desacuerdo, habida cuenta que los documentos aportados por el reclamante en su reclamación como anexos ante esta AEPD no están completos y como consecuencia no se ha contemplado un elemento de interés para dirimir este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Que nos referimos a que no estén completos porque estudiado el correo electrónico que envía Clínicas Dorsia- Buddyfit al reclamante, podemos observar que al final de este existe un enlace a la Política de Privacidad en el que en su apartado 1 de datos del responsable del tratamiento y en el apartado 15 sobre los Derechos del interesado, aparece la dirección de correo electrónico destinada a para ejercer los derechos correspondientes. (protocol@pec.gpdp.it). Adjuntamos como DOC. Nº 1 el correo electrónico completo para su comprobación. Que la AEPD en su artículo de 21 de julio de 2021 denominado “Publicidad no deseada” dirigido a los ciudadanos, establece: “Si recibes publicidad a través del correo electrónico o a través de medios electrónicos equivalentes (spam), como los mensajes SMS o de WhatsApp, debes tener en cuenta que te pueden enviar publicidad por estos medios si existe una relación contractual previa, siempre que tus datos de contacto se hayan obtenido de forma lícita y se trate de publicidad de productos o servicios similares a los que tienes contratados. Ahora bien, deberán ofrecerte la posibilidad de oponerte a recibir publicidad a través de un medio sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones que te dirijan. Así, puedes utilizar el medio que se indica en la comunicación electrónica publicitaria que hayas recibido. Este procedimiento puede consistir, entre otros, en la remisión de un correo electrónico a la dirección electrónica indicada, el envío de un SMS, la selección de un enlace o la llamada a un número telefónico gratuito. Si no sabes dónde dirigirte para ejercer este derecho, puedes solicitar la información a la persona responsable que esté tratando tus datos con fines publicitarios o consultar la información que aquél ofrece sobre protección de datos en su página web”. Que, según lo descrito anteriormente por la AEPD, el procedimiento de acceso para ejercer los derechos de los destinatarios puede consistir en un correo electrónico, un enlace o ponerse en contacto con la persona remitente de la publicidad e incluso se puede consultar su página web en lo relativo a la protección de datos. Así mismo en la Ley LSSI, se exige “dar la posibilidad al destinatario a oponerse al tratamiento de sus datos con fines promocionales de forma gratuita y sencilla”. Pues bien, de acuerdo con ello, podemos observar que en el correo electrónico publicitario enviado al reclamante, existe una dirección de correo electrónico del remitente en el que se puede acceder perfectamente y de modo sencillo para solicitar la baja de este tipo de correos publicitarios. Así mismo, el remitente queda perfectamente identificado e indica también un contacto telefónico en el que el reclamante hubiese podido utilizar. Y a mayor abundamiento, existe la posibilidad de acceder al enlace de la Política de Privacidad del mismo cuerpo del correo al objeto de conocer el tratamiento de datos que realiza el remitente y poder ejercer sus derechos ARCO-POL mediante el correo electrónico indicado para ello (protocol@pec.gpdp.it). A continuación, reproducimos SIC dichas evidencias contenidas en el DOC. Nº 1 aportado por esta parte. Que, por todo ello, esta parte entiende que, con el envío del correo electrónico publicitario a la parte reclamante, no se ha vulnerado el Articulo 21 de la LSSI en cuanto a “no dar la posibilidad al destinatario de oponerse al tratamiento de sus datos para el recibo de publicidad”, ya que el reclamante tenía varias vías de acceso que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 decidió no utilizar antes de presentar la reclamación ante esta AEPD para oponerse a la recepción de publicidad, no agotando las vías disponibles para ello (tanto la información de derechos en la recogida de datos y en las posteriores comunicaciones publicitarias). Que la normativa de aplicación exige que el remitente de la publicidad tiene que “dar la posibilidad de un procedimiento sencillo y gratuito”, pero nada se contempla ni por esta AEPD ni por la normativa de aplicación de que dicho procedimiento se defina de una exhaustiva manera ni con unos requisitos de obligado cumplimiento. Por lo que entendemos que contemplándose en el correo electrónico publicitario remitido al reclamante (Doc. Nº 1): los datos identificativos del remitente (con email y contacto telefónico), y un enlace a la política de privacidad de tratamiento de datos para el directo ejercicio de derechos, son elementos más que suficientes para entender que mi representado ha cumplido con la condición exigida por la ley dando la posibilidad al reclamante de ejercer sus derechos por varias vías posibles incluso pudiendo ser revocado en cualquier momento con una simple notificación al prestador, quien, para ello, le indicaría el procedimiento habilitado. Que a mayor abundamiento y respecto de la supuesta vulneración del artículo 21) de la LSSI por parte de BEAUTY & AESTHETIC BALEARIC SL, consideramos falta de legitimación pasiva contraviniendo los derechos reconocidos en el artículo 24 de la CE, puesto que según los anexos aportados por el reclamante y el Doc. Nº 1 aportado por esta parte, el remitente que actúa en nombre de Clínicas Dorsia por la relación contractual entre ambas partes, es Buddyfit S.r.l y en consecuencia en el supuesto caso que se esté infringiendo con la normativa en materia de protección de datos respecto del envío de correos electrónicos sin un mecanismo que posibilite su rechazo, esta responsabilidad recaería sobre el colaborador externo que presta este servicio. Que se considera que la imputación de responsabilidad por los hechos que han dado origen al expediente sancionador de referencia es infundada, así como que se haya vulnerado el artículo 24 CE”. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados lo siguiente: HECHOS PROBADOS 1º.- Según el reclamante, ha recibido 3 correos electrónicos publicitarios de la entidad reclamada, pero dichos emails carecen de posibilidad de darse de baja de la suscripción. También denuncia que, en ningún momento ha autorizado a esta empresa a utilizar sus datos personales con estos fines, pues no tiene ningún tipo de relación con ellos. Junto al el escrito de reclamación, se acompañaba los tres Correos electrónicos enviados desde la dirección, <<Buddyfit>>: buddy@yourbuddyfit.com, con el siguiente mensaje publicitario, enviado el 02/08/21: buddyfit ¡HOLA! C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Dorsia clínicas minerva Clínicas Dorsia te ha invitado a unirte a la comunidad Buddyfit con una suscripción gratuita de 6 meses. A partir de ahora, no tendrás más excusas: ¡entrenar será algo fácil, accesible y divertido! Por favor, recuerdo utilizar el mismo correo electrónico en lo cual te llego esta invitación: B.B.B.@hotmail.com Si el botón no funciona, copia el siguiente enlace en tu navegador: https://opp.buddyfit.club/signup 2º.- A la solicitud de información de esta Agencia, la entidad reclamada manifestó entre otras que, no tenía constancia de haber recibido por parte del reclamante solicitud para el ejercicio de su derecho de oposición y en consecuencia no se había podido facilitar ninguna respuesta, por lo que consideraba la posibilidad de que hubiera ocurrido un error informático. No obstante, la entidad adjuntó el contrato de asistencia sanitaria, firmado entre ellos y el reclamante, con fecha de formalización el 20/05/
  2. 3º.- Iniciado el expediente sancionador, en el periodo de alegaciones, la entidad reclamada aporta copia de los correos electrónicos publicitarios enviados donde aparece la siguiente información: buddyfit ¡HOLA ¡ Dorsia clínicas minerva Clínicas Dorsia te ha invitado a unirte a la comunidad Buddyfit con una suscripción gratuita de 6 meses. A partir de ahora, no tendrás más excusas: ¡entrenar será algo fácil, accesible y divertido! Por favor, recuerdo utilizar el mismo correo electrónico en lo cual te llego esta invitación: B.B.B.@hotmail.com Si el botón no funciona, copia el siguiente enlace en tu navegador: https://opp.buddyfit.club/signup © 2022 All Rights Reserved | Buddyfít is a registered trademark of Buddyfít S.r.l. Piazza Borgo Pila 39, Genova | VAT 02609180993 | REA GE –
  3. Visita <<buddyfit.club>> | <<Privacy Policy>> Buddyfit.- C.C.C. // (…) (+34) ***TELÉFONO.1 Carrer de Galíleu 303 — 08028 Barcelona - Spain buddyfit.club 4º.- En estos correos, se observan los datos identificativos del remitente: su email y el contacto telefónico, además de un enlace a la política de privacidad de la página web de su titularidad: https://www.buddyfit.club/es. 5º.- Si se accede a la “Política de Privacidad”, a través del enlace indicado en los correos electrónicos <<Privacy Policy>> se redirige al usuario a una página web https://www.buddyfit.club/es/privacy-policy donde se le informa entre otras, cómo puede ejercer sus derechos en lo que respecta a sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 FUNDAMENTOS DE DERECHO I-Competencia Es competente para resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley LSSI. II- Síntesis de los hechos: Según el reclamante, la entidad BEAUTY & AESTHETIC BALEARIC SL., le remitió tres emails con mensajes publicitarios, pero dichos emails carecían de la posibilidad de darse de baja en la suscripción. Indicaba además que, en ningún momento había autorizado a la Clínica a utilizar sus datos personales con fines publicitarios. Junto al el escrito de reclamación, se acompañaba copia de los tres correos electrónicos recibidos con mensajes publicitarios donde se podía comprobar que no existía en los mismos, ningún mecanismo o enlace que posibilitase ejercer el derecho de oposición. Por su parte, la entidad reclamada manifiesta que no tenía constancia de haber recibido solicitud del reclamante para el ejercicio de este derecho y en consecuencia no se había podido facilitar ninguna respuesta a esta reclamación. Por otra parte, manifestaba que la causa habría podido motivar la incidencia era un posible error humano o informático. No obstante, lo anterior, junto al escrito de contestación, la entidad reclamada adjuntó el contrato de servicio firmado con el reclamante el 20/05/
  4. Una vez iniciado el expediente sancionador por infracción del artículo 21) de la LSSI, respecto del envío de correos electrónicos sin un mecanismo que posibilitase ejercer el derecho de oposición, la entidad reclamada alegó que, los documentos aportados por el reclamante en su reclamación no estaban completos y como consecuencia de ello, esta Agencia no podía comprobar los mecanismos existentes para oponerse a recibir nuevos correos electrónicos publicitarios. En dichas alegaciones, la entidad reclamada presenta copia de los correos electrónicos publicitarios enviados donde aparecen los datos identificativos del remitente: su email y el contacto telefónico, además de un enlace a la política de privacidad de la página web de su titularidad: https://www.buddyfit.club/es, donde se informa entre otras, cómo se pueden ejercer los derechos de los usuarios en lo que respecta a sus datos personales. III.- Sobre el envío de correos electrónicos con mensajes publicitarios sin ningún mecanismo que posibilite su rechazo: El artículo 21 de la LSSI, dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 “
  5. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas.
  6. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” Por tanto, de conformidad con las evidencias de las que se dispone, se constata que existía una relación contractual previa entre el reclamante y la entidad reclamada por la que esta tenía legitimidad para el envío de comunicaciones publicitarias y además, la entidad afirma que, en los correos electrónicos enviados, existe un procedimiento para ejercer el derecho de oposición al recibir nuevos correos electrónicos publicitarios consistente en la inclusión de una dirección de correo electrónico válida donde se puede ejercitarse este derecho (artículo 21.2 de la LSSI). Por tanto, en el presente caso, después del análisis realizado, de los documentos aportados por la parte reclamada y las circunstancias concurrentes, no se evidencia vulneración de la legislación vigente. A la vista de lo expuesto se procede a emitir la siguiente: RESUELVE: ARCHIVAR: el presente procedimiento sancionador a la entidad BEAUTY & AESTHETIC BALEARIC, SL., con CIF.: B57975948 por presunta infracción del artículo 21 de la LSSI. NOTIFICAR: la presente resolución a la entidad BEAUTY & AESTHETIC BALEARIC , SL., con CIF.: B57975948 e informar a la reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.