1/11 Procedimiento Nº: EXP202515026 (PS/00639/2025) RESOLUCION DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos (en lo sucesivo, AEPD) y en base a los siguientes: ANTECEDENTES PRIMERO: En fecha 15 de julio de 2025 se interpuso reclamación ante la AEPD. La reclamación se dirige contra la entidad THE WAY MEDIA MARKETING AND DIGITAL SERVICES, S.L. con NIF.: B44789139 (en adelante, la parte reclamada), por la presunta vulneración de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI). La parte reclamante manifiesta en su escrito de reclamación que recibe comunicaciones comerciales por parte de la entidad reclamada sin haber otorgado su consentimiento, afirmando que no ha mantenido contacto previo con la misma ni ha facilitado sus datos personales. Señala asimismo que, aun en el hipotético caso de haberlos proporcionado, niega expresamente haber consentido el envío de publicidad. Indica que recibió un correo electrónico de dichas características también el día 6 de julio de 2025 y que viene recibiendo este tipo de comunicaciones con una periodicidad aproximada de una semanal desde hace varios meses. Junto al escrito de reclamación, se acompaña la siguiente documentación: - Fechado el 15/07/2025, correo electrónico de carácter comercial, remitido desde la dirección ***EMAIL.1, dirigido al correo ***EMAIL.2, con el asunto: “A.A.A., Tu préstamo está en riesgo—¡actúa ahora!”, cuyo contenido consiste en una comunicación publicitaria en la que se promociona la contratación de préstamos personales online. SEGUNDO: Con fecha 22 de septiembre de 2025, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, (en lo sucesivo, LOPDGDD), por parte de esta Agencia, se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que se exponía en el escrito de reclamación. El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), mediante notificación electrónica, con el siguiente resultado: “Ha sido expirada por caducidad, al superarse el plazo establecido para la comparecencia, a fecha de 13/10/25 00:00.”, según consta en el certificado existente en el expediente. No consta ningún tipo de respuesta del reclamado a dicho traslado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/11 TERCERO: Con fecha 15 de octubre de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 22 de diciembre de 2025 la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta vulneración del artículo del artículo 21.1 de la LSSI, tipificada como leve en el art. 38.4.
- d)de la citada norma, con una sanción inicial de 1.400 euros (mil cuatrocientos euros). QUINTO: Con fecha 6 de enero de 2026, la parte reclamada presentó escrito de alegaciones en el que manifestaba lo siguiente: “PREVIO.- FALTA DE CONOCIMIENTO DE LA RECLAMACIÓN Con carácter previo, debe ponerse de manifiesto que esta parte no ha tenido conocimiento alguno de la reclamación interpuesta por D. A.A.A. ni del traslado mencionado en el Hecho Segundo del Acuerdo, hasta la recepción de la presente incoación sancionadora. Esta falta de acceso a la notificación no obedece a una falta de diligencia de esta parte, sino a circunstancias que sugieren una anomalía técnica en la puesta a disposición, basándonos en los siguientes puntos: 1. Gestión profesionalizada del buzón electrónico La gestión y vigilancia de las notificaciones electrónicas de la sociedad está encomendada profesionalmente a la asesoría y gestoría ***EMPRESA.1, entidad encargada de trasladar de inmediato cualquier comunicación administrativa. Dicha entidad ha confirmado que dicha notificación jamás fue recibida ni visualizada en el buzón gestionado, por un error suyo, a estos efectos se adjunta el doc. nº 1 en el que se reconoce el fallo por parte de dicha asesoría/gestoría. A estos efectos se solicita a la Agencia Española de Protección de Datos que pueda volver a poner a disposición de esta mercantil la reclamación, en tanto la gestoría no puede acceder al envío original al haber transcurrido más de 30 días. 2. Acreditación de la diligencia habitual Resulta inverosímil y contrario a la lógica que esta parte ignorase deliberadamente este requerimiento, dado que THE WAY MEDIA MARKETING AND DIGITAL SERVICES, S.L. mantiene una conducta de colaboración activa con esta Agencia. Prueba de ello es que esta mercantil es parte en los expedientes EXP202518660 y EXP202513967, notificados también en septiembre y noviembre de 2025, los cuales fueron debidamente contestados en tiempo y forma. Este hecho demuestra la voluntad de cumplimiento de mi representada y ahonda en lo extraño y anómalo que resulta que, habiendo atendido requerimientos simultáneos, no se atendiera el presente, lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/11 refuerza la hipótesis de un error no achacable a la diligencia de esta mercantil, especialmente por la siguiente alegación. ÚNICO.- FALTA DE LEGITIMIDAD PASIVA Y AUSENCIA DE CULPABILIDAD: INEXISTENCIA DE VÍNCULO CON EL REMITENTE (PHISHING/SPOOFING). Entrando en el fondo del asunto, se imputa a esta parte el envío de un correo comercial no consentido. Sin embargo, del propio análisis de lo manifestado en el Acuerdo (a falta de que esta parte pueda obtener el expediente completo de la reclamación y la documentación probatoria) se desprende que mi representada carece de legitimidad pasiva para ser sancionada, por no ser la autora ni remitente de la comunicación de acuerdo a los siguientes motivos: 1. Discrepancia evidente en el dominio remitente El Acuerdo (a este respecto debe manifestarse que esta parte carece de la reclamación que causa el presente Acuerdo y, por ende, de la documentación que se acompañó a dicha reclamación) identifica como prueba de cargo un correo remitido desde: ***EMAIL.1. Es decir que aunque el ‘’usuario’’ sea ‘’***EMAIL.1’’ el servidor de correo (dominio) es ‘’***DOMINIO.1’’. Es un hecho notorio y fácilmente verificable que mi representada opera en el tráfico mercantil bajo el dominio corporativo ***DOMINIO.2, como así muestra la página web (***WEB.1), en los Expedientes de reclamaciones referidos en el anterior Hecho o la Política de Privacidad incluida en la misma: No obstante, el correo denunciado proviene del dominio ***DOMINIO.1, sobre el cual mi representada: No tiene titularidad, no tiene control y no tiene capacidad de envío. 2. Indicios de Suplantación de Identidad (Phishing/Spoofing) El uso de una dirección de correo ajena (***DOMINIO.1) que simula en su alias o nombre de usuario el nombre comercial de mi cliente ("***DOMINIO.2"), constituye una técnica clásica de suplantación o spoofing Dicha captura se corresponde con el resultado de introducir en un navegador web la dirección ‘’***WEB.2’’. A mayor abundamiento en este aspecto el WHOIS (es decir, quién es el ‘’dueño’’ de una página web) revela lo siguiente: (https://nic.es/sgnd/dominio/publicDetalleDominio.action): El titular, B.B.B., no tiene (ni ha tenido) ningún tipo de relación con THE WAY MEDIA MARKETING AND DIGITAL SERVICES, S.L. En definitiva, no debería existir prueba alguna en el expediente (cabeceras técnicas del email o dirección IP de origen) que vincule el envío técnico de ese correo con los servidores o la infraestructura de THE WAY MEDIA MARKETING. Sancionar por un correo enviado desde un dominio ajeno vulneraría el Principio de Culpabilidad (art. 28 de la Ley 40/2015), dado que no se puede atribuir responsabilidad administrativa a quien no ha realizado la acción típica (el envío). No existe nexo causal entre mi representada y el correo recibido por el denunciante. Todo ello debe entenderse sin perjuicio del interés que tiene esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/11 mercantil de que se esclarezca quién envío el correo electrónico que causa el presente expediente, para tomar las acciones legales oportunas contra el verdadero remitente por suplantar la identidad …”. SEXTO: Con fecha 27 de febrero de 2026 se formuló propuesta de resolución en el sentido de que por la Presidencia de la Agencia Española de Protección de Datos se procediese al ARCHIVO del presente procedimiento sancionador a la entidad THE WAY MEDIA MARKETING AND DIGITAL SERVICES, S.L. por la presunta infracción del artículo 21.1 de la LSSI, tipificada como leve en el art. 38.4.d). La notificación de la citada propuesta de resolución se realizó conforme a las normas establecidas en la LPACAP, mediante notificación electrónica el 27/02/2026 según consta en el expediente. Transcurrido el plazo otorgado en la propuesta de resolución para la presentación de alegaciones, la parte reclamada no ha presentado alegaciones. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero.- THE WAY MEDIA MARKETING AND DIGITAL SERVICES, S.L., con NIF B44789139, es una entidad mercantil que desarrolla actividades de marketing y servicios digitales y opera en el tráfico mercantil bajo la denominación comercial “***DOMINIO.2”, según consta en la documentación obrante en el expediente. Segundo.- Consta en el expediente un correo electrónico aportado por la parte reclamante, fechado el 15/07/2025, remitido desde la dirección ***EMAIL.1 y dirigido a la dirección de correo electrónico ***EMAIL.2, con el asunto literal “A.A.A., Tu préstamo está en riesgo—¡actúa ahora!” y cuyo contenido consiste en un mensaje en el que se promociona la contratación de préstamos personales online, incluyendo expresiones dirigidas a incentivar una actuación inmediata por parte del destinatario. En la comunicación electrónica se incluyen referencias expresas a la denominación “***DOMINIO.2”, identificada como el servicio a través del cual se ofrecen créditos online, así como el dominio ***WEB.1. Asimismo, en el pie del mensaje figura la mención “© Copyright 2022–2023 ***DOMINIO.2. Todos los derechos reservados The Way Media Marketing & Digital Services S.L.”, identificándose a THE WAY MEDIA MARKETING AND DIGITAL SERVICES, S.L., con NIF B44789139 y domicilio en (…), como entidad vinculada al servicio descrito. En dicho pie se indica igualmente que ***DOMINIO.2 ofrece un servicio de intermediación financiera entre los consumidores y los bancos. En la citada comunicación existe un enlace <<créditos online rápidos y flexibles>> el cual redirige al usuario a una página bloqueada con el siguiente menaje: “Hemos bloqueado el acceso a esta URL debido a su política. La URL ha sido clasificada como Pesca de información y fraude. Si cree que es un error, haga clic en aquí para enviar este sitio a SophosLabs para que lo evalúe”: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/11 También incluye un enlace identificado como “Política de Privacidad” a través del cual se redirige al usuario a la página (…) donde se identifica el responsable del sitio como: The Way Media Marketing & Digital Services SL, NIF B44789139; (…). Correo electrónico: (…) Tercero.- Del análisis técnico del correo electrónico aportado al expediente, incluyendo sus cabeceras completas y el código fuente del mensaje, consta que la comunicación fue remitida desde la dirección ***EMAIL.1, utilizando como dominio remitente efectivo ***DOMINIO.1, y cursada a través de una infraestructura profesional de envío masivo identificada bajo el servidor (…), (Proofpoint), desde la dirección IP (…). Las cabeceras técnicas incorporadas al mensaje reflejan la superación de los mecanismos estándar de autenticación del dominio remitente (SPF: pass; DMARC: bestguesspass; compauth: pass), constando técnicamente autorizado el envío del correo desde dicha infraestructura por el dominio ***DOMINIO.1, sin que del examen de los elementos técnicos obrantes en el expediente se desprendan indicios de suplantación técnica del citado dominio por un tercero. Asimismo, consta que en el cuerpo de la comunicación se incluye un enlace identificado como «créditos online rápidos y flexibles», que redirige a una dirección web externa correspondiente al dominio zesxu.wgnx.org, cuyo acceso aparece bloqueado por los sistemas de seguridad del equipo terminal desde el que se realizó la comprobación, mostrando el mensaje: “Hemos bloqueado el acceso a esta URL debido a su política. La URL ha sido clasificada como Pesca de información y fraude”, sin que dicho dominio externo resulte identificable con la entidad reclamada ni con su dominio corporativo ***WEB.1, según la documentación incorporada al expediente. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la LSSI y lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." La Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/11 Síntesis de los hechos acaecidos La parte reclamante manifiesta que viene recibiendo, desde hace varios meses y con una periodicidad aproximada de un correo electrónico semanal, comunicaciones de carácter promocional que atribuye a la entidad reclamada, sin haber otorgado consentimiento para el envío de publicidad. Afirma no haber mantenido contacto previo con dicha entidad ni haberle facilitado sus datos personales, negando expresamente haber consentido el envío de comunicaciones comerciales, incluso en el supuesto de que tales datos hubieran sido proporcionados. Junto a su reclamación, aporta como documentación un correo electrónico de contenido promocional fechado el 15 de julio de 2025, remitido desde la dirección ***EMAIL.1 y dirigido a ***EMAIL.2, en el que se promociona la contratación de préstamos personales online. Indica, asimismo, haber recibido un correo de características similares el 6 de julio de 2025, así como otras comunicaciones análogas con periodicidad semanal durante los meses anteriores. Por su parte, la entidad reclamada sostiene que no es responsable de la comunicación denunciada, alegando que el correo electrónico aportado como prueba de cargo fue remitido desde un dominio ajeno a su control (***DOMINIO.1), distinto de su dominio corporativo (***DOMINIO.2), sobre el que afirma no ostentar titularidad, control, administración ni capacidad de envío. Aduce que el uso de una dirección de correo perteneciente a un dominio externo que incorpora en su alias o nombre de usuario la denominación comercial “***DOMINIO.2” resulta compatible con un supuesto de suplantación de identidad (phishing o spoofing). En apoyo de dicha alegación, señala que la titularidad del dominio ***DOMINIO.1 corresponde a una persona física sin relación alguna con THE WAY MEDIA MARKETING AND DIGITAL SERVICES, S.L., según la información obtenida a través de consultas públicas de registro de dominios, y sostiene que no consta en el expediente prueba técnica que vincule el envío del correo con sus servidores o infraestructuras. En consecuencia, invoca el principio de culpabilidad, negando la existencia de nexo causal entre su actuación y la comunicación recibida por el reclamante, manifestando asimismo su voluntad de colaboración y su interés en que se esclarezca el origen real del correo electrónico objeto del expediente. III Contestación a las alegaciones al acuerdo de inicio Único.– Sobre la alegación relativa a la falta de legitimidad pasiva y a la ausencia de culpabilidad por supuesta suplantación de identidad (phishing/spoofing). La entidad reclamada sostiene, en síntesis, que carece de legitimidad pasiva y de responsabilidad en relación con la comunicación objeto del expediente, al no haber sido autora ni remitente de la misma. Afirma que el correo electrónico fue enviado desde un dominio ajeno a su esfera de control (***DOMINIO.1), distinto de su dominio corporativo (***DOMINIO.2), circunstancia que, a su juicio, resulta compatible con un supuesto de suplantación de identidad (phishing o spoofing). Añade que no concurre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/11 prueba técnica concluyente que permita vincular el envío del mensaje, ni el destino del enlace incluido en él, con su infraestructura tecnológica o con una actuación imputable a la entidad, invocando a tal efecto el principio de culpabilidad y solicitando el archivo. La alegación formulada por la entidad reclamada debe ser estimada, a la vista de los elementos objetivos que constan en el expediente y del marco normativo aplicable. De la documentación obrante en las actuaciones resulta que el correo electrónico objeto del presente expediente, recibido el 15 de julio de 2025 en la dirección ***EMAIL.2, con el asunto “Tu préstamo está en riesgo—¡actúa ahora!”, presenta un contenido de carácter promocional orientado a la oferta de préstamos personales online y se articula formalmente bajo la denominación “***DOMINIO.2”, identificada como el servicio a través del cual se ofrecen créditos online. En el pie del mensaje figura la mención “© Copyright 2022–2023 ***DOMINIO.2. Todos los derechos reservados The Way Media Marketing & Digital Services S.L.”, identificándose expresamente a THE WAY MEDIA MARKETING AND DIGITAL SERVICES, S.L., con NIF B44789139 y domicilio en (…), como entidad vinculada al servicio descrito, indicándose, asimismo, que ***DOMINIO.2 ofrece un servicio de intermediación financiera entre consumidores y entidades bancarias. El correo incorpora igualmente un enlace a la “Política de Privacidad”, que redirige a la página web (…), en la que se identifica como responsable a The Way Media Marketing & Digital Services, S.L. Ahora bien, junto a dichos elementos formales, en el cuerpo de la comunicación se incluye un enlace identificado como «créditos online rápidos y flexibles», el cual redirige al usuario a una dirección web cuyo acceso es bloqueado por los sistemas de seguridad del equipo terminal, mostrando el siguiente mensaje: “Hemos bloqueado el acceso a esta URL debido a su política. La URL ha sido clasificada como Pesca de información y fraude”. Dicho enlace corresponde a una URL externa (zesxu.wgnx.org), que no resulta identificable ni con la entidad reclamada ni con su dominio corporativo. Del análisis del código del correo electrónico aportado al expediente, junto con el cuerpo del mensaje, se desprende que este fue remitido desde la dirección ***EMAIL.1, utilizando como dominio remitente efectivo ***DOMINIO.1, y enviado a través de una infraestructura profesional de envío masivo identificada bajo el servidor (…), perteneciente a la plataforma Proofpoint, desde la dirección (…). Las cabeceras técnicas reflejan, asimismo, la superación de los mecanismos estándar de autenticación (SPF: pass; DMARC: bestguesspass; compauth: pass), lo que pone de manifiesto que el dominio ***DOMINIO.1 autorizó técnicamente el envío del correo desde dicha infraestructura, sin que existan indicios de una suplantación técnica de dicho dominio para el envío del mensaje por un tercero. Lo relevante en el presente supuesto es que el enlace principal incorporado en el mensaje redirige a una URL opaca, externa y estructuralmente ajena al dominio corporativo de la entidad reclamada, la cual es clasificada y bloqueada por los sistemas de seguridad del equipo terminal como posible “pesca de información y fraude”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/11 La estructura de dicha URL —correspondiente a un dominio externo no identificable con la entidad reclamada, con una ruta extensa, codificada y carente de transparencia — presenta elementos objetivos compatibles con técnicas de redirección potencialmente engañosas, características de escenarios de phishing o spoofing, orientados a inducir a error al destinatario y a eludir los mecanismos ordinarios de detección. Estas técnicas se basan, precisamente, en la utilización de direcciones web diseñadas para generar una apariencia de legitimidad y desviar al usuario hacia entornos ajenos al control de la entidad cuya identidad se simula, pudiendo emplearse cualquier dominio, con independencia de su extensión, cuando quien ostenta su control lo utiliza con fines fraudulentos. En el presente caso, la coexistencia, en un mismo mensaje, de referencias corporativas aparentemente legítimas y de un enlace externo bloqueado por razones de seguridad introduce una duda razonable sobre la autoría material y el control efectivo del conjunto de la comunicación. En este contexto, no puede considerarse suficientemente acreditado el nexo causal entre la entidad reclamada y el envío de la comunicación en los términos exigidos para fundamentar una imputación sancionadora, al no haberse desvirtuado de forma concluyente la hipótesis de una actuación ajena a su voluntad y a su ámbito de control. En consecuencia, a la vista de los elementos concurrentes, debe concluirse que el presente supuesto presenta características objetivas compatibles con un escenario de suplantación de identidad (phishing o spoofing), en el que se combinan referencias formales a una entidad legítima con la inclusión de enlaces de redirección externos, opacos y ajenos a su dominio corporativo, cuyo acceso resulta bloqueado por sistemas de seguridad al ser clasificados como potencialmente fraudulentos. En particular, la URL a la que redirige el enlace principal contenido en el mensaje — correspondiente a un dominio externo no identificable con la entidad reclamada, con una estructura extensa, codificada y carente de transparencia— constituye un indicador técnico relevante de riesgo, típicamente asociado a técnicas de redirección utilizadas en campañas de phishing. En este contexto, y aun cuando el mensaje incorpore elementos gráficos, denominativos o referencias corporativas coincidentes con la identidad de la entidad reclamada, no ha quedado acreditado de forma suficiente y concluyente que THE WAY MEDIA MARKETING AND DIGITAL SERVICES, S.L. haya tenido el control efectivo del envío ni de la infraestructura técnica utilizada, ni que haya intervenido en la generación o explotación del enlace fraudulento detectado. La concurrencia de dichos elementos introduce, al menos, una duda razonable e insuperable sobre la autoría material y el dominio funcional de la comunicación, que impide afirmar la existencia del nexo causal exigido para una imputación sancionadora conforme al principio de culpabilidad. Por todo ello, no resultando acreditado que la entidad reclamada haya realizado la conducta típica ni que el envío de la comunicación sea imputable a su actuación u omisión, procede estimar las alegaciones formuladas y acordar el archivo del procedimiento, sin perjuicio de que, en su caso, puedan acordarse actuaciones adicionales de investigación o comprobación que resulten oportunas, dirigidas a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/11 esclarecer los hechos puestos de manifiesto en las presentes actuaciones y a determinar, en su caso, la posible intervención de terceros. III Artículo 21 de la LSSI El hecho de que se envíen comunicaciones comerciales sin que previamente se hubieran solicitados o expresamente autorizadas puede constituir una vulneración, de lo establecido en el artículo 21 de la LSSI, pues establece que: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” En el presente caso, si bien ha quedado acreditada la recepción por parte del reclamante de una comunicación de carácter comercial en los términos descritos en los hechos probados, no ha resultado acreditado que dicha comunicación sea imputable a la entidad reclamada en los términos exigidos por el ordenamiento jurídico sancionador. En efecto, de las actuaciones practicadas se desprende que el correo electrónico fue remitido desde un dominio ajeno al ámbito de control de la entidad reclamada (***DOMINIO.1), a través de una infraestructura técnica igualmente desvinculada de la misma, sin que exista prueba suficiente que permita establecer un nexo causal entre dicha entidad y el envío de la comunicación controvertida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/11 Asimismo, concurren en el mensaje elementos técnicos y estructurales —en particular, la inclusión de un enlace que redirige a un dominio externo no identificable con la entidad reclamada y calificado como potencialmente fraudulento por sistemas de seguridad— que resultan compatibles con escenarios de suplantación de identidad o utilización indebida de la imagen corporativa por terceros. Por lo tanto, de acuerdo con la legislación aplicable la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador incoado contra la entidad THE WAY MEDIA MARKETING AND DIGITAL SERVICES, S.L., con NIF B44789139, por la presunta infracción del artículo 21.1 de la LSSI, tipificada en el artículo 38.4.
- d)de la citada norma. SEGUNDO: Notificar la presente resolución a la entidad THE WAY MEDIA MARKETING AND DIGITAL SERVICES, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/11 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es