PS-00634-2015

(2), 15, 20 y 27 y 30 de enero de 2015 Días 3, 2, 5, 6, 12, 14, 17

(2)y 19

(2), 20, 26, 27 de febrero de 2015 Días 3

(2), 9, 10, 11, 12, 16, 17, 18, 23 25, 26

(2)y 27 y 30 de marzo de 2015 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 2. Las comunicaciones presentadas, que contenían un enlace de baja, contienen información comercial relativa a ofertas de productos y servicios de distintas compañías, como por ejemplo de empresas de telefonía o de seguros. 3. El denunciante ha aportado junto a su denuncia impresión de confirmación de baja con el siguiente texto “LoAdoro Sus datos se han dado de baja correctamente, sentimos las molestias ocasionadas”. 4. A los efectos de comprobar el funcionamiento del mecanismo de baja y a partir de uno de los correos electrónicos aportados por el denunciante, se procedió por la Inspección de Datos, con fecha 9 de marzo de 2015, a pinchar en el enlace que figura en el correo electrónico de esa fecha , comprobando que se ejecuta en el navegador una llamada a la dirección de internet http://marketinq.............. la cual incluye la dirección de correo electrónico del denunciante, obteniendo como resultado la siguiente respuesta: “loadoro sus datos se han dado de baja correctamente, sentimos las molestias ocasionadas." 5. Consta en los repertorios públicos de dominios de Internet que el dominio ***DOMINIO.2 está registrado a nombre de Don B.B.B., persona que figura en el Registro Mercantil como administrador mancomunado de la sociedad ROCK INTERNET, S.L. , mientras que el dominio ***DOMINIO.1 está registrado a nombre de ROCK INTERNET, S.L. 6. En respuesta a la solicitud de información realizada por la AEPD, los representantes de ROCK INTERNET, S.L., en lo sucesivo también ROCK INTERNET remitieron un escrito en el que manifestaron, en referencia a los envíos de los correos electrónicos comerciales en cuestión, que: 6.1. El consentimiento del usuario fue obtenido mediante la aceptación de la política de privacidad de la página www.streamail.es donde fue registrada la dirección .....@hotmail.com. Aportan una captura de pantalla del portal con el formulario de registro en blanco. Dicho portal está descrito explícitamente en la portada de la misma como una página de servicio de "permission marketing"; "Streamail es un servicio de permission marketing por email de la compañía Arkeero S.L. Este servicio se brinda de conformidad con las normas de operación y disposiciones periódicamente publicadas. Descubre las mejores ofertas y promociones de moda y belleza, ocio y viajes, formación agrupamos las ofertas de todos los portales de diferentes sectores y te las enviamos personalizadas. Recibe un único email al día para recibir las ofertas que más se adaptan a ti. Regístrate cuanto antes y comienza a disfrutar de este servicio gratuito de manera indefinida para nuestros usuarios. Todas las ofertas, todas las promociones, TODO EN MODA, BELLEZA, VIAJES, OCIO, FORMACIÓN." El formulario de alta que figura en la página web está programado para aceptar únicamente inscripciones de aquellos usuarios que hayan seleccionado la casilla correspondiente a la siguiente frase "Acepto la Política de privacidad del portal y la de nuestros Patrocinadores - Política AntiSpam". 6.2. No existe relación contractual entre la empresa y el destinatario de los envíos. 6.3. ROCK INTERNET, S.L., adquirió los activos de Arkeero Media, S.L., mediante un contrato privado celebrado el 25 de abril de 2014 y elevado a público mediante escritura autorizada ese mismo día por Notario de Madrid, con el número 509 de su protocolo. Entre dichos activos se encontraban, entre otros, la marca comercial Arkeero y el fichero núm. *******1, del que forman parte los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 datos objeto del Requerimiento. Dicho contrato fue aportado y obra en poder de la AGPD por la tramitación del expediente ******/2014 que terminó con la inscripción del cambio de titularidad del fichero en el Registro General de la AEPD. 6.4. Con fecha 30 de marzo de 2015, ROCK INTERNET, S.L., procedió a dar de baja los datos del usuario titular de la dirección .....@hotmail.com en virtud de una solicitud de baja a través de los enlaces que contienen todos los correos publicitarios enviados por la empresa para tramitar automática e inmediatamente la baja. TERCERO: Con fecha 17 de noviembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ROCK INTERNET, S.L., por la presunta infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como grave en el artículo 38.3.

1. c)de dicha norma, pudiendo ser sancionada con multa de 30.001 € hasta 150.000 €, de acuerdo con el artículo 39.1.
2. b)de la LSSI. Notificado el citado Acuerdo de inicio con fecha 23 de noviembre de 2015, en contestación a la solicitud formulada por ROCK INTERNET, S.L., con fecha 14 de diciembre de 2015 la Instructora del procedimiento acordó ampliar el plazo de presentación de alegaciones hasta un máximo de siete días. CUARTO: Con fecha 15 de diciembre de 2015, se registra de entrada en esta Agencia escrito de ROCK INTERNET, S.L. exponiendo que para comprobar el proceso de baja necesitaría acceder a los correos electrónicos, en su formato electrónico original, cuyas capturas de pantalla de baja fueron aportadas por el denunciante, así como el usado por la AEPD en fecha 9 de marzo de 2015. Asimismo, solicitaba que se suspendiese el plazo para presentar alegaciones al acuerdo de inicio mientras se hiciesen tales comprobaciones con los correos solicitados. QUINTO: Tras remitir la copia de la documentación solicitada, ROCK INTERNET, S.L., presentó alegaciones en las que, al amparo de lo dispuesto en el artículo 8 del Real Decreto 1398/1993 y el artículo 39 bis de la LSSI reconoce espontáneamente su responsabilidad. Añade que esa entidad no tiene interés en remitir correos electrónicos no deseados. Los hechos por los que se inició este procedimiento se deben a un fallo en el proceso de baja automática que tienen implementados para todos sus correos. El fallo se repitió hasta el día 30 de marzo de 2015, fecha en que el afectado pudo darse de baja. ROCK INTERNET, S.L., utiliza una plataforma de un proveedor externo para programar el envío de campañas publicitarias, precisamente para garantizar que cada correo lleva el enlace de baja. El afectado no ejerció el derecho de cancelación u oposición ni se dirigió a la entidad de otra forma. La infracción se califica como grave por el número de correos enviados. Se puede observar que el número de envíos es progresivo porque se desconocía la voluntad de darse de baja y los intentos fallidos y se realizaron en la confianza de contar con su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 Sender Email Global, S.L., informó que los intentos de baja frustrados se debían a un error humano al configurar las campañas de publicidad. ROCK INTERNET, S.L., no detectó el error, ni tampoco Sender les comunicó el problema. Se ha realizado una nueva aplicación para que no vuelvan a producirse las incidencias objeto del procedimiento. Alegan como circunstancias a tener en consideración a la hora de moderar la cuantía de la sanción: reconocimiento espontaneo de la responsabilidad; no ha existido intencionalidad y todo se ha debido a un error humano puntual con medidas posteriores de mejora que solucionaron el problema; carácter no intencional e involuntario de los hechos; ROCK INTERNET, S.L., nunca ha sido sancionado y no consta reincidencia; el perjuicio causado ha sido la recepción de 46 correos tras solicitar la baja once veces; no han obtenido ningún beneficio. Solicitan en base al reconocimiento de responsabilidad y la concurrencia de otras circunstancias atenuantes el archivo del expediente. Subsidiariamente, solicitan se aperciba a la empresa con arreglo a lo previsto en el artículo 39 bis 2 de la LSSI o se imponga una multa en su importe más bajo aplicando el artículo 40 de la LSSI. SEXTO: Con fecha 18 de abril de 2016 se extiende Diligencia para hacer constar que con esa misma fecha se incorpora al procedimiento impresión de la siguiente documentación: - Información obrante en el Registro General de Protección de Datos relativa a los ficheros inscritos por ROCK INTERNET, S.L., entre los que figura el fichero denominado “Arkeero Members”, con la finalidad de “Gestión de los Clientes y Usuarios Registrados, así como el envío de información y/o publicidad a los mismos sobre productos y /o servicios propios o de terceros. “ - Impresión de la “Política de privacidad” de la página web htttp://www.streamail.es, en la que consta que ROCK INTERNET es titular de streamail.es, y del formulario de suscripción del boletín de noticias con información publicitaria de “Streamail” HECHOS PROBADOS PRIMERO: Con fecha de 15 de diciembre de 2014, se recibió en esta Agencia una denuncia de Don A.A.A. exponiendo que continúa recibiendo en su dirección de correo electrónico .....@hotmail.com numerosas "ofertas publicitarias" procedente de diferentes cuentas de correo electrónico del dominio ***DOMINIO.1, situación que acontece después de haber solicitado reiteradamente la baja. (folios 1 a 23) SEGUNDO: ROCK INTERNET, S.L. es titular del dominio streamail.es en el que se aloja la página web http://www.streamail.es, adquirida, según sus manifestaciones, con fecha 25 de abril de 2014 a la mercantil ARKEERO MEDIA, S.L. (folios 218 al 220 y 298) TERCERO: ROCK INTERNET, S.L. ha aportado captura de pantalla en la que la dirección de correo electrónico .....@hotmail.com figura asociada a los datos del usuario A.A.A., registrado de alta con fecha 16 de julio de 2014 desde la dirección IP ***IP.1 en la página web http://www.streamail.es, dedicada al servicio de “permission C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 marketing” por email. (folio 230) En la política de privacidad de dicho sitio, cuya aceptación previa es necesaria para poder darse de alta en el boletín de noticias “Streamail”, consta que los datos facilitados se utilizarán, entre otras finalidades y medios, para la remisión de ofertas publicitarias de productos y servicios propios y de terceros por correo electrónico relacionadas con las áreas de interés que el usuario haya podido señalar, en su caso, y/o de otros sectores de actividad en los que pudiera estar interesado, cuya relación se cita. (folios 298 al 301 ) CUARTO: ROCK INTERNET, S.L. utiliza los servicios de la plataforma de envíos vía email y SMS de la entidad Sender Email Global, S.L. para la gestión y envío de campañas publicitarias cuyo contenido y destinatarios son fijados por ROCK INTERNET. Esta aplicación informática permite generar un enlace para que los destinatarios de los correos electrónicos publicitarios puedan darse de baja de la recepción de los mismos. (folios 278 y 281) Según información facilitada por Sender Email Global, S.L. a su cliente ROCK INTERNET, S.L. para que la baja se ejecute correctamente contra la base de datos del usuario, cuando éste crea el mensaje en la plataforma debe configurar en parámetros url la variable del campo email del enlace de baja, que en este caso era http://marketing..............1, no constando en el programa que el cliente ROCK INTERNET, S.L. haya configurado dicha variable en ningún mensaje creado. (folios 281, 282, 286 al 288) La plataforma marketing.senderglobal.com fue deshabilitada por Sender Email Global, S.L. en enero de 2015 para ser sustituida por una versión nueva denominada webapp.senderglobal.com (folio 288) QUINTO: En los registros de Sender Email Global, S.L. consta que, en las fechas que se señalan a continuación, se utilizó el enlace de baja incluido en las comunicaciones comerciales remitidas por ROCK INTERNERT, S.L. a la cuenta de correo del denunciante: Días 21, 26 y 27 de noviembre de 2014 Días 1, 2, 3, 5

(2), 7, 8 y 10 de diciembre de 2014 Días 9 y 30 de marzo de 2015, la primera de ellas correspondiente a la prueba efectuada desde la Inspección de Datos de la AEPD. Las citadas solicitudes de baja fueron contestadas 120, 122 y 282) confirmando la baja. (folios 20, SEXTO: El denunciante ha acreditado haber recibido en su cuenta de correo electrónico .....@hotmail.com un total de 41 comunicaciones comerciales enviadas entre el 4 de diciembre de 2014 y el 30 de marzo de 2015 desde distintas direcciones de correo electrónico de los dominios ***DOMINIO.2 o ***DOMINIO.1. Dichos envíos se remitieron al denunciante con las siguientes fechas: (folios 24 al 120) Días 4, 8, 9, 10, 22 y 26 de diciembre de 2014 Días 9, 12

(2), 15, 20 y 27 y 30 de enero de 2015 Días 2, 3, 5, 6, 12, 14, 17

(2)y 19

(2), 20, 26, 27 de febrero de 2015 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 Días 3

(2), 9, 10, 11, 12, 16, 17, 18, 23 25, 26

(2)y 27 y 30 de marzo de 2015 Todas las comunicaciones comerciales aportadas ofrecían un enlace de baja para poder oponerse a la recepción de las comunicaciones comerciales. SÉPTIMO: El dominio ***DOMINIO.1 está registrado a nombre de ROCK INTERNET, S.L.. y el dominio ***DOMINIO.2 está registrado a nombre de Don B.B.B., administrador mancomunado de la sociedad ROCK INTERNET, S.L. (folios 232 al 234) OCTAVO: Con fecha 30 de marzo de 2015, ROCK INTERNET registró la baja la dirección de correo electrónico del denunciante en el fichero en el que se gestiona el envío de comunicaciones comerciales de la compañía (folios 230 y 276) FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),

1. d)e
2. i)y 38.4 d),
3. g)y
4. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II El artículo 8.1 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que el denunciado ha reconocido voluntariamente su responsabilidad en la comisión de los hechos notificados en el acuerdo de inicio del procedimiento sancionador, procede resolver el procedimiento iniciado. III A los efectos de examinar si los hechos objeto de imputación vulneran lo dispuesto en el artículo 21.1 de la LSSI conviene realizar una breve exposición del marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medido de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, (LSSI) , establece lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI, también en la redacción dada por la mencionada Ley General de Telecomunicaciones, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. De este modo la LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
5. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
6. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. IV Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
7. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 El concepto de comunicación comercial, de acuerdo con la definición recogida en el Anexo f), párrafo primero de la LSSI, engloba todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. Por otro lado, la LSSI en su Anexo
8. a)define “Servicio de la Sociedad de la Información” como “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios”. Añade el referido apartado que el envío de comunicaciones comerciales es un servicio de la sociedad de la información, siempre que represente una actividad económica. Según el apartado
9. d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
10. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. V En el presente supuesto, de la valoración conjunta de los elementos de prueba obrantes en el procedimiento, si bien se desprende que existen indicios que justificarían que el denunciante se registró de alta, vía formulario, en la página web http://www.streamail.es de ROCK INTERNET con fecha 16 de julio de 2014 desde la dirección IP ***IP.1 y aceptó la política de privacidad del portal, autorizando con ello la recepción de comunicaciones comerciales en su cuenta de correo electrónico, no es menos cierto que ROCK INTERNET ha seguido enviando comunicaciones comerciales al correo electrónico del denunciante después de que éste se opusiera entre los días 21 de noviembre y 10 de diciembre de 2014 diez veces al tratamiento de sus señas electrónicas a través del enlace incluido en los boletines publicitarios que recibía de esa empresa, acciones a las que hay que añadir la practicada por la AEPD con fecha 9 de marzo de 2015 al solicitar la baja de los envíos accediendo a la URL del enlace de baja. Aunque las once solicitudes de oposición fueron contestadas por la reseñada entidad confirmando la baja de los datos, del análisis de las fechas de los envíos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 remitidos por ROCK INTERNET, cuya copia ha aportado el denunciante, se evidencia que éste recibió entre el 4 de diciembre de 2014 y el 30 de marzo de 2015 un total de 41 comunicaciones comerciales no autorizadas en su cuenta de correo electrónico. Finalmente, el día 30 de marzo de 2015 se hizo efectiva en la base de datos de Streamail, de la que es titular ROCK INTERNET, la solicitud de baja efectuada por el denunciante con esa misma fecha. (folio 230). En relación con el número de comunicaciones que finalmente se imputa se puntualiza que como la LSSI no fija un plazo determinado al prestador de servicios de la sociedad de la información para tramitar las solicitudes de oposición recibidas a través del procedimiento determinado en el artículo 21.2 de dicha norma, se considera que, de conformidad con lo previsto en el artículo 17 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en adelante LOPD, y el artículo 35.2 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, de aplicación subsidiaria conforme a lo dispuesto en el artículo 19.2 de la LSSI, los envíos remitidos al denunciante con fechas 25 y 27 de noviembre y 1, 2 y 3 de diciembre de 2014 se encontraban dentro del plazo de diez días hábiles a contar desde el siguiente a la recepción de la primera solicitud de baja, de fecha 21 de noviembre de 2014. Ello no obstante los mensajes de respuesta automática de ROCK INTERNET confirmando al denunciante que “sus datos se han dado de baja correctamente”. Es decir, la entidad imputada no procedió a dar de baja definitiva la cuenta de correo electrónico del afectado en sus sistemas hasta pasados cuatro meses después de la primera fecha de confirmación de la baja. Es decir, esa empresa carecía de legitimación ex artículo 21.1 LSSI para el envío de las 41 comunicaciones comerciales citadas. En este mismo sentido, se pronuncia la Audiencia Nacional en su sentencia de fecha 18 de octubre de 2013, Rec. nº 162/2012, en un caso en el que, como nos ocupa, también se remitieron comunicaciones comerciales por medios electrónicos con posterioridad de haberse confirmado la baja del usuario por parte del remitente: “En el supuesto que nos ocupa, ha quedado acreditado que la entidad recurrente remitió más de 47 e-mails publicitarios a la denunciante desde octubre hasta diciembre de 2010, con posterioridad a la solicitud y confirmación de la cancelación de los datos de la denunciante, por lo que ha de considerarse infringido el citado precepto, al no contar con el consentimiento de la destinaria. Por otro lado, aunque en este supuesto hubiese existido una relación comercial previa con la destinataria, ésta no le habilita a remitir publicidad comercial cuando el cliente ha manifestado, como es el caso que nos ocupa, su expreso deseo de no recibirla, pues la excepción prevista en el apartado segundo del citado art. 21 de la Ley 34/2002, de 11 de julio, establece expresamente la posibilidad de ofrecer al destinatario “la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija”. Más en el presente supuesto en que se había procedido a la cancelación de los datos de la denunciante. Carece de relevancia, por tanto, el sistema que para los envíos publicitarios tuviera establecido la entidad recurrente, pues no se trata tanto de cuestionar el tratamiento indebido de datos sino de impedir el envío de publicidad no consentida, para lo cual la empresa dispuso de tiempo suficiente para articular los mecanismos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 correctores necesarios para evitar que se siguiera mandando publicidad comercial a la denunciante” A la luz de las consideraciones anteriores, la remisión de los 41 envíos comerciales reseñados por parte de ROCK INTERNET incumplía la prohibición de remitir comunicaciones comerciales que no hubieran sido expresamente autorizadas o previamente solicitadas por el destinatario de las mismas establecida en el artículo 21.1 de la LSSI, ya que como se ha razonado se trataba de envíos publicitarios no consentidos por el denunciante, puesto que éste había manifestado con anterioridad a la recepción de los envíos estudiados su oposición a continuar recibiendo publicidad en su cuenta de correo electrónico, dándose además la circunstancia de que a cada solicitud de baja el afectado recibía la confirmación de que se había producido la misma. VI En este caso ROCK INTERNET reconoce su responsabilidad por haber realizado los envíos señalados en el acuerdo de inicio al correo electrónico del denunciante de forma sistemática e insistente, justificando que tales hechos se debieron a un fallo de programación en el proceso de configuración personalizada de la baja automática que la entidad tenía implantado para sus correos electrónicos comerciales. En este tipo de supuestos en los que se ha producido un error informático la Audiencia Nacional viene entendiendo que existe culpa en la conducta del proveedor de servicios de la sociedad de la información responsable de la remisión de tales envíos publicitarios. Así, resulta oportuno traer a colación la Sentencia de la Audiencia Nacional de fecha 19 de enero de 2015, Rec. 178,2013, en la que sobre esta cuestión señalaba: “La concurrencia de un supuesto error informático como justificante de la remisión indebida de correos electrónicos no puede ser admitida por esta Sala y ellos pues son muchas las sentencias en las que se han insistido en que los errores informáticos no son suficientes para eliminar la antijuridicidad de las conductas sancionadas. Así en las sentencias dictadas en los recursos 110/2013 ó 368/2012. La existencia de un supuesto error informático, que también alega la parte recurrente en su escrito de demanda, no es suficiente para entender justificada la conducta de la recurrente y ello pues los referidos errores informáticos generan responsabilidad en quien los padece cuando producen daños a los titulares de otros bienes jurídicos, como ,en el caso presente, es el derecho a no recibir comunicaciones no deseadas (así se ha dicho por esta Sala en multitud de sentencias de entre las que cabe citar las correspondientes a los recursos 110/2013 ó 368/2012.)” A su vez, en la Sentencia de la Audiencia Nacional de fecha 27 de mayo de 2010, Sala de lo Contencioso-Administrativo, sec. 1º rec. 421/2010, se afirmaba que: “El argumento de la buena fe es claramente insuficiente sobre todo en un caso como el presente en que se trata de una gran empresa que maneja multitud de datos y que debió actuar con más prudencia para justificar la legalidad de los tratamientos efectuados. La inexistencia de dolo, tan escuetamente planteada en el escrito de contestación a la demanda, no puede ser suficiente para justificar la estimación de la demanda pues procede aplicar lo dicho por el artículo 130 de la Ley 30/92 según el cual: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia". Esta simple inobservancia contemplada en el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJ-PAC) no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. ROCK INTERNET ha llevado a cabo la conducta infractora sin que, en el curso de la tramitación del procedimiento, se haya puesto de manifiesto la concurrencia de circunstancias que permitan excluir la culpabilidad en la conducta de dicha empresa, en especial si se tiene en cuenta que el denunciante utilizó el medio habilitado por la empresa en los propios envíos comerciales para manifestar su oposición a la recepción de nuevos boletines con información publicitaria. Resulta irrelevante a los efectos analizados que el denunciante hubiera autorizado inicialmente la recepción de comunicaciones comerciales en su cuenta de correo electrónico, puesto que los envíos estudiados se efectuaron con posterioridad a que éste hubiera manifestado su oposición al uso de dicho dato con fines comerciales, resultando también irrelevante que no manifestará dicha negativa y la situación irregular por otros medios. No debe olvidarse que el denunciante no está obligado a poner de manifiesto al remitente las bajas frustradas respecto de un derecho que le asiste como destinatario de un servicio de la sociedad de la información, sino que ROCK INTERNET, en su condición de proveedor del servicio de la sociedad de la información, es la obligada a adoptar, en razón de la diligencia que le resulta exigible y a fin de evitar la remisión vía electrónica de comunicaciones comerciales no consentidas, las medidas de control y cuidado necesarias para asegurar el correcto funcionamiento del mecanismo de baja ofrecido al destinatario de los envíos. Dicha empresa no ha justificado que en la fecha de los hechos contase con procedimientos de actuación que posibilitasen controlar la tramitación real y efectiva en la base de datos correspondiente de las bajas solicitadas a través de la herramienta de email marketing de Sender Email Global, S.L., al igual que no ha probado contar con protocolos de actuación para detectar rápidamente anomalías como el fallo técnico de programación que impidió el cese de los envíos de las comunicaciones comerciales no consentidas. Estas cautelas, de haber estado vigentes en las fechas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 los hechos, hubieran permitido detectar y solventar el fallo con mayor prontitud. Por todo lo cual, la AEPD considera que a la reseñada empresa le era exigible otra conducta diferente de la que observó, ya que no desplegó la diligencia y el deber de cuidado que le eran exigibles en orden a hacer efectivas las solicitudes de baja del denunciante en sus propios ficheros, limitándose a responder automáticamente a las peticiones de oposición realizadas por éste sin comprobar su correcta materialización. Esta falta de medidas preventivas para asegurarse de que los envíos comerciales remitidos al denunciante contaban con el consentimiento de su destinatario, lleva a considerar la existencia del elemento de culpabilidad en la conducta de ROCK INTERNET en el ilícito administrativo imputado. VII El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación”. La definición de prestador del servicio se contiene en el apartado
11. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De acuerdo con lo establecido en los apartados 3.
12. c)y 4.
13. d)del artículo 38 de la LSSI actualmente en vigor, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
14. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
15. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción de carácter grave a los efectos de la LSSI. A partir del conjunto de hechos y circunstancias constatadas en el procedimiento sancionador y con arreglo a lo dispuesto en los citados preceptos, la conclusión que se despende es que la conculcación del artículo 21.1 de la LSSI que se imputa a ROCK INTERNET se ajusta al tipo de infracción calificada como grave en el artículo 38.3.
16. c)de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 la vigente LSSI. Del estudio de las fechas de los envíos remitidos por ROCK INTERNET revela que dicha sociedad remitió al email del denunciante entre el 4 de diciembre de 2014 y el 30 de marzo de 2015, como mínimo, una comunicación comercial semanal, número que se elevó a dos, tres o cuatro comunicaciones comerciales según las semanas analizadas. Esta periodicidad permite calificar la conducta observada como “envío insistente o sistemático” de comunicaciones comerciales no solicitadas por medios electrónicos por parte de la referida entidad. En consecuencia, resulta que esa compañía remitió a la cuenta de correo electrónico del denunciante un total de 41 correos electrónicos comerciales en un plazo próximo a cuatro meses, los cuales se enviaron sin contar con el consentimiento previo y expreso del usuario del dato y sin mediar una relación contractual previa entre ambas partes. VIII En virtud de lo dispuesto en apartados
17. b)y
18. c)del artículo 39.1 de la LSSI, las infracciones graves podrán ser sancionadas con multa desde 30.001 hasta 150.000 € y las infracciones leves con multa de hasta 30.000 €, estableciéndose los criterios para su graduación en los artículos 39 bis y 40 de la misma norma, y cuyo tenor literal es el siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
24. a)La existencia de intencionalidad.
25. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
26. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
27. d)La naturaleza y cuantía de los perjuicios causados.
28. e)Los beneficios obtenidos por la infracción.
29. f)Volumen de facturación a que afecte la infracción cometida.
30. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” IX En el presente supuesto no procede apercibir a la imputada en sustitución de la imposición de la sanción derivada del presente procedimiento sancionador al no cumplirse el presupuesto
31. b)recogido en el artículo 39 bis 2 de la LSSI, cuya concurrencia constituye requisito necesario para que el órgano sancionador pueda adoptar dicha resolución. Así, consta que con fecha 16 de febrero de 2016 la Directora de la AEPD resolvió el procedimiento sancionador PS/00487/2015, mediante resolución nº R/00207/2016 firme en vía administrativa en la actualidad, en virtud de la cual sancionaba a ROCK INTERNET con multa 1.200 € como responsable de una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
32. d)de dicha norma. A su vez, la aplicación de la moderación cualificada de las sanciones prevista en el artículo 39 bis 1 de la LSSI debe aplicarse con exquisita ponderación. En el presente supuesto no resultan de aplicación los supuestos b), c),
33. d)y
34. e)recogidos en la previsión contenida en artículo 39 bis 1 de la LSSI, al no apreciarse la concurrencia de los mismos a los efectos de establecer la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad. Especialmente, se entiende que no resulta de aplicación el criterio del artículo 39.bis.1.
35. b)por regularización diligente de la situación irregular. En este caso, se rechaza que esa empresa haya adoptado espontáneamente las medidas correctoras pertinentes a los efectos de regularizar la situación antes de la incoación del expediente sancionador con fecha 17 de noviembre de 2015. Así, la implementación de una nueva aplicación no se debió a una decisión de esa empresa, sino a que Sender Email Global, S.L., propietaria de la herramienta informática utilizada por ROCK INTERNET para la gestión de los envíos publicitarios y las bajas de los mismos, deshabilitó en enero de 2015 la plataforma marketing.senderglobal.com sustituyéndola por una nueva versión, que era, precisamente, la que estaba en funcionamiento cuando se hizo efectiva la baja solicitada por el denunciante con fecha 30 de marzo de 2015. Es decir, la regularización de la situación no se originó a raíz de ninguna medida adoptada por esa empresa, sino que fue debido a las características de la nueva versión de la plataforma tecnológica de envíos, que según la imputada no requiere la programación antes necesaria. Además, después de casi cuatro meses de la primera confirmación de baja remitida al denunciante con fecha 21 de noviembre de 2014, éste continuaba recibiendo correos electrónicos comerciales no consentidos de esa empresa, tal y como prueba que la última comunicación comercial aportada por el denunciante fuera de fecha 30 de marzo de 2015. Junto a lo cual hay que añadir la remisión de otras diez confirmaciones de baja remitidas al denunciante en las fechas señaladas en el Hecho Probado Quinto que tampoco se gestionaron correctamente, excepción hecha de la última solicitud. En lo que afecta al supuesto contemplado en el artículo 39 bis 1.d), el reconocimiento de los hechos como fruto de un fallo técnico de programación de la configuración del enlace de baja no constituye un reconocimiento espontáneo de culpabilidad en su conducta, puesto que se ha producido después de haber obtenido copia del procedimiento y haber solicitado la información que consideró procedente a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 la empresa propietaria de la plataforma de envíos que le comunicó que no había configurado correctamente el enlace de baja proporcionado. Se trata, por tanto de un reconocimiento voluntario de su responsabilidad en la comisión de los hechos que le fueron notificados al recibir el acuerdo de inicio del expediente, cuyos efectos son los indicados en el Fundamento de Derecho II de esta resolución. Sentado lo anterior, a los efectos de ponderación de la sanción a imponer en el procedimiento sancionador que nos ocupa se aprecia que se produce una cualificada disminución de la culpabilidad de la imputada por la concurrencia del supuesto recogido en el artículo 39 bis 1.
36. a)de la LSSI, puesto que se conjugan, en forma significativa, los criterios d),
37. e)y
38. f)del artículo 40 de la LSSI. En consecuencia, la sanción a imponer deberá establecerse dentro de la escala relativa a la clase de infracciones leves fijadas en el artículo 39.1.
39. c)de la LSSI, que establece una multa de hasta 30.000 euros. En aplicación de los criterios de graduación de las sanciones recogidos en el artículo 40 de la LSSI, y con arreglo al principio de proporcionalidad, en este supuesto, se considera que operan como agravantes los criterios a),
40. b)y
41. c)del mismo. Respecto de los dos primeros criterios citados, aunque no ha existido intencionalidad en la conducta de esa compañía, sin embargo, ha mostrado una relevante falta de rigor al no tener implantadas, con anterioridad a la realización de los envíos objeto de estudio, medidas de control y seguimiento del funcionamiento de la operativa de bajas en orden a garantizar la correcta actualización de las mismas en el fichero empleados para cursar los boletines comerciales enviados al afectado, dando lugar a la remisión de 41 comunicaciones electrónicas no autorizadas a la cuenta de correo electrónico del denunciante durante un plazo de tiempo que alcanzó prácticamente cuatro meses, en concreto entre el 4 de diciembre de 2014 y el 30 de marzo de 2015, ello a pesar de haberse utilizado el enlace de baja para solicitar la oposición hasta en once ocasiones, funcionando correctamente sólo la última. En cuanto al criterio
42. c)ya se ha puesto de manifiesto la reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme. Todo lo cual, tiene especial relevancia al ser una empresa que como titular del sitio web www.streamail.es, ligado a actividades de permission e-mail marketing directo, publicidad on line, marketing de resultado y de afiliación, utiliza en forma habitual los medios de comunicación electrónica para el envío de promociones y ofertas de sus servicios y de terceros, estando, por tanto, obligada a conocer y cumplir las exigencias recogidas en el artículo 21 de la LSSI, y debiendo velar por el correcto funcionamiento de la operativa habilitada para tramitar los derechos de los usuarios en orden a asegurar que no reciban comunicaciones comerciales no deseadas en sus señas electrónicas. A su vez, se consideran que los criterios d),
43. e)y
44. f)del citado artículo 40 actúan como atenuantes, ante la falta de constancia de que el denunciante haya sufrido perjuicios derivados de la recepción de los citados correos comerciales electrónicos o la imputada haya obtenido beneficios o visto afectado positivamente su volumen de facturación por la comisión de la infracción del artículo 21.1 de la LSSI. A tenor de todo lo expuesto, se entiende como ajustado a la gravedad de los hechos objeto de análisis la imposición a ROCK INTERNET de una sanción de 20.000 € con arreglo a lo previsto en los artículos 39.bis 1.
45. a)y 40 de la LSSI y 131 de la LRJ-PAC. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ROCK INTERNET, S.L. por una infracción del artículo 21.1 de la LSSI, tipificada como grave en el artículo 38.3.
46. c)de la LSSI, una multa de 20.000 € (Veinte Mil euros), de conformidad con lo establecido en los artículos 39 1.
47. b)y c), 39 bis 1.
48. a)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a ROCK INTERNET, S.L. y a Don A.A.A. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es