PS-00646-2015

1/30 Procedimiento Nº PS/00646/2015 RESOLUCIÓN: R/00941/2016 En el procedimiento sancionador PS/00646/2015, instruido por la Agencia Española de Protección de Datos a las entidades FEVER LABS INC, anteriormente KZEMOS INC, y KZEMOS TECHNOLOGIES, S.L., vista la denuncia presentada por Don C.C.C., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 20 de mayo de 2015 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por Don C.C.C., en adelante el denunciante, en la que manifiesta lo siguiente: 1. No ha autorizado o solicitado el envío de correos electrónicos comerciales de FEVER LABS INC, en adelante FEVER. 2. Los días 6, 16 y 19 de mayo de 2015 recibió en la dirección de correo G.G.G. sendos correos comerciales no solicitados de FEVER El denunciante aporta la siguiente documentación: - Copias de los correos denunciados junto con las cabeceras de los mismos. - Copia de los correos remitidos a la dirección I.I.I. con fecha 7 de mayo de 2015, a las 1;10 y 10:57, manifestando en el primero que ya había avisado de que dejarán de enviar spam y que se iba a proceder a denunciar ante la AEPD, reiterando esta advertencia en el segundo e indicando que este tipo de envío es contrario a la LOPD. - Copia de las respuestas recibidas a dichos correos desde la dirección I.I.I. acusando recibo en una de ellas e informando en otra que el email recibido no era spam de FEVER y que el denunciante no estaba suscrito a su lista de mailing, sino que los emails envía algún amigo del destinatario que usa la aplicación FEVER invitándole a que la pruebe. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia han tenido conocimiento de los siguientes extremos: 1. El denunciante recibió en su cuenta de correo G.G.G. tres correos electrónicos los días 6, 16 y 19 de mayo de 2015 procedentes de la cuenta de correo J.J.J.. Según consta en las cabeceras, dichos correos fueron remitidos desde el servidor denominado outbound-mail.SENGRID.net. Los correos electrónicos contenían el siguiente texto: “Teresa te ha regalado 5€ y quiere que vengas. Introduce el código R.R.R. para conseguir tu descuento. Descarga FEVER y descubre los mejores planes de tu ciudad”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/30 Los correos electrónicos no ofrecen ningún mecanismo de baja para oponerse a su recepción. 2. El día 14 de septiembre de 2015 se realizó una visita de inspección en la dirección de la empresa que consta como dirección para atender los derechos ARCO en la Condiciones Generales de la página web www. J.J.J., poniéndose de manifiesto los siguientes hechos durante la misma, recogidos en el Acta de Inspeccion: 2.1. La sede en la que se realiza la inspección es un centro de trabajo de la empresa de desarrollo de software KZEMOS TECNOLOGIES, S.L., que está participada por FEVER. El representante de FEVER visita esta sede una vez al mes, aunque no tiene ninguna relación con la empresa española. 2.2. FEVER es propietaria de una aplicación para dispositivos móviles denominada FEVER, que es una plataforma para ayudar a los usuarios a descubrir entretenimiento en la ciudad que seleccionen. Para hacer uso de la aplicación el usuario debe de instalarla en el dispositivo y registrarse. La base de datos de los usuarios está físicamente ubicada en la sede de FEVER en USA. 2.3. Dicha aplicación dispone de una opción, a través de la cual un usuario registrado puede enviar una invitación a sus contactos para que haga uso de la aplicación y la empresa le regala un crédito de 5€ de bienvenida. 2.4. Los correos electrónicos mostrados por los inspectores no han sido enviados por FEVER, ya que éstos han sido enviados por un usuario de la aplicación que ha invitado al destinatario y por tanto la dirección de correo del destinatario solo se encuentra en los contactos del terminal del usuario. El correo es enviado directamente por el usuario haciendo uso de un servidor de correo electrónico denominado SENDGRID, perteneciente a una empresa con la que FEVER tiene contratado el servicio. El contenido del correo es generado en el terminal del usuario y en ningún momento pasa por los servidores de FEVER. 2.5. FEVER solo registra en su base de datos los datos de los usuarios que han instalado la aplicación en su terminal y han cumplimentado el proceso de registro. 2.6. FEVER dispone de una lista de direcciones de correo de las personas que se han dirigido a la entidad solicitando la baja de comunicaciones comerciales. 2.7. Los inspectores realizaron las siguientes comprobaciones: 2.7.1.Desde un teléfono facilitado por el representante de FEVER que tiene la aplicación FEVER instalada se registra un nuevo contacto llamado “PRUEBA” con la dirección de correo electrónico prueba@ J.J.J.. Se accede la opción de “INVITAR” y se despliega una pantalla con la relación de contactos del teléfono. Se selecciona el contacto PRUEBA y se pulsa la opción de INVITAR. 2.7.2.Se comprueba que en el buzón de correo electrónico prueba@ J.J.J. se ha recibido un correo de invitación de igual contenido a los recibidos por el denunciante y que los mismos han sido enviados desde el servidor SENDGRID.NET. 2.7.3.Se solicita el acceso a la base de datos de usuarios de la aplicación y se realiza la búsqueda del correo G.G.G. no obteniendo ningún resultado. 2.7.4.Se realiza una búsqueda de los usuarios con el código “ Q.Q.Q.” Y “ C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/30 R.R.R.” obteniendo información relativa a dos usuarios de la aplicación. El primero consta como nombre “ M.M.M.” y el segundo consta como nombre “ O.O.O.”. También consta la dirección de correo electrónico de ambos usuarios siendo el de la primera de ellas D.D.D. lo que hace sospechar que los dos perfiles de usuario corresponden a la misma persona. También consta como ciudad de actividad en ambos casos Sevilla, que coincide con la ciudad del domicilio aportado por el denunciante. 2.7.5.Se solicita acceso al fichero de direcciones de correo electrónico de personas que han solicitado la baja de publicidad, comprobando que consta la dirección de correo G.G.G.. El representante de FEVER manifiesta que el titular de la dirección de correo electrónico G.G.G. nunca ha solicitado la baja de sus datos, no obstante, ante la recepción de un correo electrónico en el que informa de que va a interpones una denuncia ante la Agencia Española de Protección de Datos han decidido incluirle en la lista de bajas. 2.7.6.Se solicita acceso a las comunicaciones mantenidas con el titular de la dirección de correo K.K.K. comprobando la existencia de dos correos electrónicos de fecha 7 de mayo de 2015 en los que el remitente manifiesta que va a proceder a denunciar la recepción de los correos publicitarios ante la Agencia Española de Protección de Datos. 3. El día 4 de noviembre de 2015 se personó en la Agencia Española de Protección de Datos quien se identificó como Consejero Delegado de FEVER realizando las siguientes manifestaciones:  FEVER LABS INC, también denominada KZEMOS INC es una empresa americana y propietaria la compañía KZEMOS UK LTD (ubicada en Reino Unido) y participa en la compañía KZEMOS TECHNOLOGIES, S.L. (ubicada en España).  Actualmente FEVER LABS INC participa aproximadamente con un 75 % de la compañía española KZEMOS TECHNOLOGIES, S.L., siendo el otro 25% participación de ATRESMEDIA CORPORACIÓN DE MEDIOS DE COMUNICACIÓN, S.A. Para acreditar los extremos manifestados dicha persona aportó copia de la “Escritura Pública de Aumento de Capital por Compensación de Créditos y Declaración de Pérdida de Unipersonalidad de la Compañía KZEMOS TECHNOLOGIES, S.L.” y copia del contrato de prestación de servicios suscrito entre FEVER LABS INC y KZEMOS TECHNOLOGIES, S.L. 4. Con fecha 4 de noviembre de 2015 se efectuó la siguiente comprobación desde la Subdirección General de Inspección de Datos: Tras instalar la aplicación FEVER en un terminal móvil con sistema operativo ANDROID y registrarse en la misma, se constata que dispone de una opción denominada “ L.L.L.” y al seleccionar la misma se abre la agenda de contactos del teléfono para seleccionar a los amigos a invitar y en la parte inferior de la pantalla aparece el siguiente literal: “ A.A.A.”. TERCERO: Con fecha 15 de noviembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a las mercantiles C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/30 KZEMOS INC y KZEMOS TECHNOLOGIES, S.L. por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 38.4.

1. d)de dicha norma, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1.
2. c)de la LSSI. CUARTO: Notificado el citado Acuerdo de inicio, el representante legal de la empresa KZEMOS INC presentó alegaciones en las que, en síntesis, se señalaba: - Que aunque la empresa es estadounidense no cuestionan la aplicación de la normativa española ni la competencia de la AEPD. Aportan documentación registral conforme KZEMOS INC modificó su denominación social por la de FEVER LABS INC. - Los hechos denunciados ocurrieron con posterioridad a que fueran rechazados los servicios profesionales que el denunciante, como abogado experto en nuevas tecnologías ofreció, vía telefónica, a FEVER LABS, lo que ha generado la creencia de que se ha creado un escenario forzado para provocar la apertura del expediente sancionador contra FEVER LABS. - FEVER LABS INC, en adelante FEVER LABS, es titular del sitio web www. J.J.J. así como de la Aplicación FEVER, conforme aparece en los Términos de Uso y Política de Privacidad del citado portal y se manifiesta en cualquier comunicación o elemento relacionado con la Aplicación. También contrató el servicio SendGrid utilizado por los usuarios de la Aplicación para facilitar a sus amigos unirse a sus planes. - Atendido que si el proceso de invitación se realizase a través de los servidores de FEVER LABS se conculcaría la normativa española en materia de protección de datos y de comunicaciones comerciales, la entidad contrató a un tercero para permitir que los usuarios fueran quienes realizaran los envíos directamente, decidiendo su realización, la persona destinataria y el momento. FEVER LABS no resulta responsable de esas comunicaciones, ya que la plataforma SendGrid no le permite acceder a los datos de los amigos de los usuarios de la aplicación, ni al momento en el que se realizará el envío, ni a los amigos que han recibido una invitación, teniendo sólo acceso a los amigos que se registren en la Aplicación al aceptar la invitación. En este sistema de envíos sólo están implicados el responsable del envío, que es el usuario de la aplicación , y el servicio técnico, que es SendGrid, resultando semejante a los envíos efectuados desde la cuenta del correo electrónico de una persona que invita a un amigo a participar en un evento o conocer un servicio, con la única diferencia de que para facilitar el proceso FEVER LABS ha integrado un sistema de mensajería dentro de la Aplicación, motivo por el cual debe aparecer en la cabecera técnica del mensaje los datos de los servidores de SendGrid en vez de los del correo personal del usuario. En consecuencia, no puede exigírsele el cumplimiento de la LSSI al no haber realizado los envíos denunciados. - En relación con dicha plataforma, y como única facultad permitida por ésta, la entidad se reservó la facultad de bloquear técnicamente el envío de determinados mensajes incluyendo en una lista negra a las personas que hubiesen manifestado su voluntad de no ser invitados por ningún amigo. Si C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/30 bien no tenían tal obligación, ya que las comunicaciones provenían de la usuaria, reconocen el desliz de no haber incluido el correo electrónico del denunciante en la “blacklist” tras su primera petición. - Defienden la ausencia de culpa de FEVER LABS en relación con la acción estudiada, afirmando que que no es el sujeto obligado a cumplir las formalidades establecidas en la LSSI. Mantienen que la empresa no tenía posibilidad de obrar de modo distinto, ya que el responsable de la comunicación era la usuaria, que utilizaba un sistema de mensajería habilitado por FEVER LABS, pero sobre el que no tenía control ni capacidad de acceso a sus datos. - Solicitan la resolución del expediente con un apercibimiento al concurrir el supuesto contemplado en el artículo 39 bis .1.
3. c)de la LSSI. Subsidiariamente, al resultar de aplicación los criterios recogidos en el artículo 40 de la LSSI para la graduación de la cuantía de las sanciones se solicita que la multa a imponer se aplique en el menor grado y cuantía previstos por la norma, ya que concurre ausencia de intencionalidad, se trata de un caso puntual no prolongado en el tiempo de un usuario con una finalidad malintencionada, inexistencia de reincidencia o perjuicio alguno para el denunciante y ausencia de beneficios a raíz de la presunta infracción. QUINTO: Notificado el citado Acuerdo de inicio, el representante legal de la empresa KZEMOS TECHNOLOGIES, S.L. , en adelante KZEMOS TECHNOLOGIEZ, presentó escrito de alegaciones solicitando el archivo por ausencia de responsabilidad con motivo de los siguientes argumentos: - - El titular de la Aplicación es FEVER LABS, siendo el responsable único y último de su explotación, incluyendo el envío de información y comunicaciones sobre la aplicación - FEVER LABS contrató a su filial en España, KZEMOS TECHNOLOGIES la prestación de los servicios de desarrollo, mantenimiento y evolución de la Aplicación, aunque sin responsabilidad ni capacidad de control sobre la Aplicación ni cualquiera de las campañas de marketing y promoción de la misma, conforme se desprende de los servicios objeto de prestación que constan en el Anexo I del acuerdo de prestación de servicios. Como máximo, y como filial de la misma, presta sus oficinas a FEVER LABS a los meros efectos de que ésta pueda cumplir la LSSI y facilitar que los usuarios de la Plataforma y las Autoridades puedan dirigirse al único prestador del servicio. KZEMOS TECHNOLOGIES no tiene capacidad de control sobre la herramienta de envío de correos SENGRID, que ha sido contratada por FEVER LABS y es gestionada por ella. Falta de culpabilidad en su conducta porque no tiene capacidad de acción alguna respecto de los hechos objeto del expediente, ya que no decide cómo se llevan a cabo las acciones comerciales, ni elige el proveedor del servicio de correo para llevar a cabo las mismas, ni se beneficia del envío. SEXTO: Con fecha 16 de diciembre de 2015 se inició por la Instructora del procedimiento la apertura de un período de práctica de pruebas, en cuyo marco se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/30 acordó la práctica de las siguientes: - Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante KZEMOS TECHNOLOGIES, S.L. y KZEMOS INC., el Informe de actuaciones previas de Inspección que forman parte del expediente E/03643/2015, las alegaciones al acuerdo de inicio PS/00646/2015 presentadas por las entidades anteriormente mencionadas junto con la documentación que a ellas acompaña e incorporación al procedimiento de impresión de los siguientes documentos obtenidos con fecha 14 de diciembre de 2015 del sitio web www. J.J.J.: Páginas de inicio y de contacto; Términos y Condiciones de uso del sitio web; Política de Privacidad y Preguntas frecuentes - Igualmente, se acordó solicitar a KZEMOS INC contestación a los siguientes extremos y remisión de la documentación que a continuación se cita: 1. Justificación de que Don H.H.H. está autorizado, en la actualidad, para actuar en nombre y representación de KZEMOS INC o, en su caso, de FEVER LABS INC ante esta Agencia a los efectos de la tramitación del presente procedimiento sancionador. Se requería aclaración de si se trata de la misma persona que suscribió el acuerdo con KZEMOS TECHNOLOGIES, S.L. en agosto de 2014 . 2. Si KZEMOS INC había pasado a operar en Estados Unidos bajo la denominación FEVER LABS INC, según se alegaba, al parecer desde marzo de 2015, se solicitaba aclaración del motivo por el que en la “Escritura Pública de Aumento de Capital por Compensación de Créditos y Declaración de Pérdida de Unipersonalidad de la Compañía “KZEMOS TECHNOLOGIES, S.L.” , de fecha 16 de septiembre de 2015, aparece KZEMOS INC como administrador único de la citada empresa española, cuando se trata de un documento posterior al del cambio de denominación alegado. Circunstancia que se repite en la “Certificación del Acta de Consignación de Decisiones del Socio Único de “KZEMOS TECHNOLOGIES, S.L.,” también de fecha 16 de septiembre de 2015. 3. Habilitación legal con la que cuenta KZEMOS TECHNOLOGIES, S.L. para acceder a los datos personales de los usuarios de la aplicación de KZEMOS INC. Se solicitaba remisión de copia del contrato que haya podido ser suscrito entre ambas entidades a tales efectos. 4. Envío de copia del contrato suscrito con la plataforma SendGrid. 5. Especificación del tipo de información que la plataforma SendGrid facilita a KZEMOS INC o, en su caso, a FEVER LABS INC, sobre el uso de ese C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/30 sistema de mensajería asociado, según lo alegado, a la opción “Invitar a amigos” de la aplicación FEVER en la que se ha integrado, en concreto, todos los aspectos relativos al número de envíos realizados a través de esa plataforma desde esa opción. Se solicita remisión de un ejemplo de la información obtenida sobre este particular. 6. Tipo de información obtenido a través de la propia aplicación de FEVER sobre el uso por los usuarios de la opción “Invitar amigos”, con envío de una muestra . 7. Indicación del modo en que se vinculan en la aplicación el usuario y el contacto que acepta la oferta recibida. 8. Aclaración de la forma en la que se materializa la bonificación de 5 €. para el usuario registrado y para el contacto que realiza su primera compra en FEVER sin cupones, con envío de un ejemplo del procedimiento seguido. En todo caso se indicará si la bonificación del contacto está sujeta al registro o alta del mismo. 9. Impresión de la información a la que accedió o hubiera accedido el denunciante al pinchar los enlaces “Entra en Fever y dirígete a tu perfil” ,”Haz click en el apartado “Cupones de descuento” de tu perfil”, Haz click en el círculo e introduce tu código” de la comunicación comercial de fecha 7 de mayo de 2015. 10. Remisión de copia del formulario cumplimentado por los usuarios Q.Q.Q. y R.R.R. y datos concretos facilitados por los mismos al darse de alta en la aplicación. Asimismo, se solicita envío de las Condiciones de Uso y Política de Privacidad vigentes en las fechas de esas altas. 11. Acreditación de la baja, y fecha exacta de la misma, en sus sistemas de la cuenta de correo electrónico del denunciante. 12. De conformidad con lo dispuesto en el artículo 36 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común se solicitaba que junto con la copia de cualquier documento redactado en lengua inglesa se remitiese la traducción al castellano del mismo a los efectos de la incorporación de ambos al procedimiento. Con arreglo a lo cual, se requería aportación de la traducción de los documentos 1 y 2 adjuntados al escrito de alegaciones y del Acuerdo de prestación de servicios suscrito entre KZCMOS INC y KZEMOS TECHNOLOGIES, S.L. en agosto de 2011. C/ Jorge Juan, 6 28001 – Madrid Asimismo, se acordó solicitar a KZEMOS TECHNOLOGIES, S.L. www.agpd.es sedeagpd.gob.es 8/30 contestación a los siguientes extremos y remisión de la documentación que a continuación se cita: 1. Habilitación legal con la que cuenta para acceder a los datos personales de los usuarios de la aplicación de KZEMOS INC, con remisión de copia del contrato que haya podido ser suscrito entre ambas entidades a tales efectos. 2. Acreditación de que en la actualidad Don H.H.H. ostenta la condición de representante legal de la compañía KZEMOS TECHNOLOGIES, S.L., máxime cuando en el punto 2.1 del Acta de Inspección levantada con fecha 14 de septiembre de 2015 se reseña que “El representante de FEVER visita esta sede una vez al mes, aunque no tiene ninguna relación con la empresa española”, cuando en dicho levantamiento dicha persona figuraba estar presente en calidad de Consejero Delegado de FEVER. 3. De conformidad con lo dispuesto en el artículo 36 de la Ley 30/1992, de 26 de noviembre, se solicitaba el envío de la traducción del acuerdo de prestación de servicios suscrito entre esa mercantil y su empresa matriz. Con fecha 17 de diciembre de 2015 se levanta Diligencia para hacer constar que, con esa fecha, se incorpora al procedimiento, a efectos probatorios la siguiente documentación:
4. a)Impresión del resultado del acceso efectuado el 16 de diciembre de 2015 en la página web B.B.B. a fin de comprobar la veracidad del certificado expedido con fecha 3 de diciembre de 2015, vía online, desde la “Division of Corporations, Secretary of State, State of Delaware”, aportado por KZEMOS INC como Documento nº 1 en su escrito de alegaciones al acuerdo de inicio a fin de justificar el cambio de denominación de esa empresa por FEVER LABS, INC;
5. b)Impresión del resultado obtenido al acceder desde un usuario de prueba a la aplicación FEVER, con fecha 16 de diciembre de 2015, al objeto de verificar el procedimiento de compra establecido para los usuarios registrados. Con fecha 4 de enero de 2016 se reiteró a KZEMOS INC la práctica de las pruebas solicitadas. SÉPTIMO: Con posterioridad a los acuerdos de ampliación de plazo concedidos, por una parte, a KZEMOS TECHNOLOGIES, S.L. para aportar acreditación de que en la actualidad Don H.H.H. ostentaba la condición de representante legal de esa empresa y, por otra parte, a KZEMOS INC. para aportar la información y documentación requeridas debido al volumen de la misma se recibe la siguiente documentación: Con fechas 14 y 19 de enero de 2016 Don H.H.H., actuando en nombre y representación de KZEMOS TECHNOLOGIES, S.L. , indica aportar: 1) Copia del contrato suscrito entre KZEMOS INC y KZEMOS TECHNOLOGIES, S.L. que habilita legalmente a ésta úiltima a acceder a los datos personales de los usuarios de la aplicación de KZEMOS INC, así como el pertinente contrato de encargado de tratamiento; Certificado del Registro Mercantil de Madrid en el cual se acredita la condición de administrador único de la entidad KZEMOS TECHOLOGIES S.L., que ostenta Don F.F.F.; 3) Autorización a favor de los colegiados cuya identidad se cita para realizar ante la AEPD en nombre de KZEMOS TECHNOLOGIES, S.L. todos los trámites que resulten necesarios en el procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/30 Con fechas 27 y 28 de enero de 2016 KZEMOS INC aporta : 1) Certificado de 3 de diciembre de 2015 del Secretario de Estado del Estado de Delaware sobre la autenticidad de la copia de “Escritura de Constitución modificada de FEVER LABS, INC, registrada en esa oficina el 12 de marzo de 2015.; 2) Copia del contrato de Prestación de Servicios suscrito el 1 de agosto de 2011 entre KZEMOS INC, y KZEMOS TECHNOLOGIES, S.L.; 3) Copia del contrato suscrito entre KZEMOS INC, en calidad de responsable del fichero, y KZEMOS TECHNOLOGIES, S.L., en calidad de encargado de tratamiento, el 1 de abril de 2013; 4) Indican que no exite un contrato como tal con la plataforma SendGrid, aportando la política de privacidad, los términos de uso del servicio y la política de emails de SendGrid como textos que vinculan a esa plataforma con FEVER LABS; 5) Se aportan muestra de las estadísticas que se pueden obtener desde FEVER sobre el uso del sistema de mensajería dependiendo de si se invita a un contacto a un plan o a FEVER en general; 6) Impresión de la información que se obtiene a través de la aplicación FEVER sobre el uso que hacen los usuarios de la opción “invitar amigos”; 7) La vinculación en la aplicación entre el usuario y el contacto que acepta la oferta recibida es la bonificación dineraria que reciben ambas partes (5 € el invitado y 1 € el usuario); 8) se aporta información con capturas de pantalla sobre el proceso de materialización de la bonificación; 9) Los códigos Q.Q.Q. y R.R.R. se generan automáticamente cuando un nuevo usuario se registra y se crea un perfil en la aplicación, correspondiendo a un usuario en concreto; 10) Se adjunta documento de “Términos&Condiciones de Uso&Política de privacidad” de FEVER LABS.; El denunciante no fue usuario de la aplicación, por lo que sus datos no fueron dados de baja en la misma; 11) Autorización a favor de los colegiados cuya identidad se cita para realizar ante la AEPD en nombre de KZEMOS INC todos los trámites que resulten necesarios en el procedimiento. Tras recibir dicha información, con fecha 31 de marzo de 2016 la Instructora del Procedimiento accede al sitio web www.rmc.es a fin de consultar la información que consta en el Registro Mercantil Central sobre la entidad KZEMOS TECHNOLOGIES, S.L. en la actualidad. SÉPTIMO: Con fecha 4 de abril de 2016 la Instructora del Procedimiento formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se acordará: - Sancionar a FEVER LABS INC. con multa de 10.000 euros (Diez mil euros) por la infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4.
6. d)de dicha norma, de conformidad con lo dispuesto en los artículos 39.1.
7. c)y 40 de la citada Ley. - Archivar las actuaciones seguidas contra KZEMOS TECHNOLOGIES, S.L. en el PS/00646/2015. La mencionada propuesta de resolución se notificó a las citadas entidades con fecha 7 de abril de 2016. OCTAVO: Con fecha 26 de abril de 2016 se registra de entrada en esta Agencia escrito de alegaciones a la propuesta de resolución de FEVER LABS INC, en el que, sustancialmente, se reiteran las manifestaciones efectuadas con anterioridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/30 Sin perjuicio de mantener que estrictamente no tenían tal obligación, se aduce que el desliz de no incluir el correo electrónico en la lista de personas que han solicitado no recibir invitaciones de sus amigos se debió a un error técnico aislado, ya que el sistema de inclusión en una lista de exclusión de envíos para quienes así lo hubieran solicitado está implementado en la plataforma. Insisten en la ausencia de daño provocado al denunciante por la demora en la inclusión de su correo en dicha lista, ya que las comunicaciones comerciales se enviaron por voluntad de la usuaria “ Q.Q.Q./ R.R.R.” y no de FEVER LABS, existiendo indicios suficientes para sostener que el denunciante ha creado un escenario forzado para provocar el supuesto de hecho recogido en el artículo 21 de la LSSI tras rechazarse sus servicios profesionales por FEVER LABS A los efectos de aplicación del artículo 39 bis de la LSSI arguyen que ha resultado probado que la conducta del supuesto afectado no sólo no ha inducido a la comisión de la eventual infracción, sino que ha sido realizada ex profeso para que ésta tuviera lugar con fines absolutamente particulares del denunciante. Abundan en que la concurrencia de la mayoría de los criterios recogidos en el artículo 40 de la LSSI, en concreto los supuestos a), b), c), d), e), justifica la reducción de la cuantía propuesta y la imposición de una sanción en el menor grado y cuantía previstos por la norma. HECHOS PROBADOS PRIMERO: Con fecha 6 de mayo de 2015 el denunciante recibió en su dirección de correo electrónico G.G.G. una comunicación comercial desde la cuenta Teresa< J.J.J.> con el siguiente texto: “Teresa te ha regalado 5€ de crédito y quiere que vengas a. Consigue tu ticket gratis. Introduce el código Q.Q.Q. para conseguir tu descuento. Descarga Fever y descubre los mejores planes de tu ciudad”. (folios 4 al 12). SEGUNDO: A las 1:10 horas del día 7 de mayo de 2015 el denunciante remitió a la dirección de correo electrónico I.I.I. una solicitud oponiéndose a la recepción de spam. Posteriormente, a las 10:57 horas del mismo día se reiteró en la ilicitud de este tipo de envíos. (folios 9, 14 , 19, 23 ) TERCERO: La primera solicitud, después de un acuse de recibo de la misma, fue contestada a las 10:55 horas del día 7 de mayo de 2015 desde la cuenta I.I.I. con el siguiente tenor literal: “El email que has recibido no es spam de Fever y no estás suscrito a nuestra lista de mailing. Estos emails se envían cuando algún amigo tuyo que usa la aplicación decide enviarte una invitación para que la pruebes. “. Esta comunicación estaba firmada por Fever Team. (folios , 14, 19, 23) CUARTO: Con fechas 16 y 19 de mayo de 2015 el denunciante recibió en su dirección de correo electrónico G.G.G. dos comunicaciones comerciales procedentes de la cuenta < J.J.J.> , las cuales fueron remitidas desde el servidor denominado outboundC/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/30 mail.SENGRID.net.. (folios 28 al 37). Ambos envíos tenían el siguiente texto: “Teresa te ha regalado 5€ de crédito y quiere que vengas a. Consigue tu ticket gratis. Introduce el código R.R.R. para conseguir tu descuento. Descarga FEVER y descubre los mejores planes de tu ciudad”. QUINTO: Ninguna de las comunicaciones comerciales citadas en el Hecho anterior ofrecía a su destinatario un mecanismo para oponerse a su recepción. SEXTO: FEVER LABS, INC, es propietaria de la aplicación FEVER para dispositivos móviles. Su instalación permite conocer a los usuarios los planes de ocio de la ciudad seleccionada adaptados a sus gustos y a las personas que siguen. A fecha 14 de diciembre de 2015, FEVER se encontraba funcionando en Madrid, Barcelona, Valencia, Sevilla, Málaga, Nueva York y Londres. (folios 45, 104 y 208) SÉPTIMO: Con fechas 14 de septiembre y 4 de noviembre de 2015 se verifica que la aplicación FEVER ofrece a los usuarios registrados en la misma una opción denominada “ L.L.L.” a descargarse la aplicación, que una vez seleccionada despliega la agenda de contactos del teléfono del usuario registrado para que éste pueda escoger el amigo destinatario de la invitación. En la parte inferior de la pantalla aparece el aviso: “Recibirás 5€ por cada amigo que realice su primera compra en FEVER sin cupones”. (folios 46, 100 y 101) También se constata que el amigo seleccionado recibe en el buzón de correo electrónico de su terminal un mensaje con el mismo contenido que los recibidos por el denunciante, excepción hecha del código a introducir para beneficiarse del descuento ofertado. La cuenta de correo electrónico utilizada procede de los datos de contacto del amigo invitado que están registrados en el terminal del usuario registrado. (folios 46, 83 al 89 y 336) OCTAVO: Las invitaciones pueden ser a un plan o a FEVER en general, produciéndose una bonificación por FEVER LABS en el apartado de cupones de descuesto de la aplicación tanto al usuario que ha invitado cuando el contacto acepta la oferta recibida como al invitado que se registra y crea un perfil en la aplicación. . (folios 329 y 333 al 337) NOVENO: Con fecha 14 de septiembre de 2014 se comprueba que en la base de datos de la aplicación FEVER: a. No aparece registrado el correo electrónico G.G.G. (folio 46). b. C/ Jorge Juan, 6 28001 – Madrid El código “ Q.Q.Q.” está asociado a la usuaria registrada “ M.M.M.” con dirección de correo electrónico D.D.D. y ciudad de actividad www.agpd.es sedeagpd.gob.es 12/30 Sevilla. (folios 90, 91 y 308) c. El código “ R.R.R.” está asociado a la usuaria registrada “ O.O.O.” con dirección de correo electrónico E.E.E. y ciudad de actividad Sevilla (folios 92, 93 y 308) DÉCIMO: Con fecha 14 de septiembre de 2014 se comprueba que en los sistemas de FEVER LABS: - La cuenta de correo electrónico G.G.G. figura registrada en la lista de direcciones de correo electrónico cuyos titulares han solicitado la baja de publicidad. (folios 46, 94 y 95) - Que figuran registrados los correos electrónicos remitidos por el denunciante el 7 de mayo de 2015 oponiéndose a la recepción de envíos publicitarios en sus señas electrónicas. (folios 47, 96 y 97) UNDÉCIMO: El dominio J.J.J. está registrado a nombre de FEVER LABS, INC, sociedad del Estado de Delaware (Estados Unidos de América) que hasta el 12 de marzo de 2015 operaba en territorio estadounidense bajo la denominación social de KZEMOS INC. (folios 41 y 44, 149, 297 al 300) DUODÉCIMO: FEVER LABS, INC, es titular del sitio web www. J.J.J., en cuyo documento de “Términos y Condiciones de Uso” se indica: (folios 191, 197, 200) “8.7. La APLICACIÓN se ofrece para su descarga, instalación y ejecución en la forma en la que se encuentra disponible en cada momento. El USUARIO se compromete a no modificar la APLICACIÓN bajo ninguna forma, así como a eludir, desactivar o interferir en las funciones relacionadas con la seguridad de la APLICACIÓN.” “12.11 “El usuario podrá, en cualquier momento, ejercer los derechos de acceso, rectificación, oposición o cancelación; para ello, ha de remitir un correo electrónico la dirección I.I.I. manifestando el derecho que desea ejercer, adjuntando una copia del DNI o pasaporte del USUARIO.” DECIMOTERCERO: FEVER LABS, INC utiliza los servicios ofrecidos por la plataforma tecnológica SendGrid para que los usuarios registrados en la aplicación FEVER de su titularidad puedan utilizar la opción “Invitar amigos”. (folios 153, 154, 164 y 165) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/30 DECIMOCUARTO: KZEMOS TECHNOLOGIES, S.L., tiene como objeto social: “1. El desarrollo de programas informáticos, páginas y sitios web y aplicaciones para móviles. 2. El diseño, desarrollo, comercialización y explotación de sistemas, productos y servicios de recomendación de negocios y de todo tipo de productos y servicios relacionados con el ocio nocturno. 3. El diseño, desarrollo, comercialización y explotación de toda clase de componentes, equipos y sistemas informáticos y físicos de cualquier tipo necesarios para la actividad. 4. La adquisición y trasmisión de todo tipo de equipos informáticos. 5. El desarrollo de campañas y acciones publicitarias, directamente o a través de terceros. 6. La comercialización de espacios publicitarios.”. (folio 174) DECIMOQUINTO: Con fecha 1 de agosto de 2011 KZEMOS INC , empresa dedicada a la prestación de servicios en relación con Internet y las aplicaciones móviles, contrató a KZEMOS TECHNOLOGIES, S.L. para que ésta le prestará determinados servicios en conexión con el área de negocio de aquella, los cuales aparecen enumerados en el Apéndice I del “Contrato de Prestación de Servicios” . (folios 107 al 115 y 301 al 309) Los servicios enumerados en dicho Apéndice incluían: (folio 308) Comercialización Internacional y servicios de promoción onbline, incluyendo sin limitar la comercialización por Internet y la promoción de los productos y servicios de la Sociedad ;Servicios de software de IT y programación; Servicios de hardware de IT; Servicios de mantenimiento y soporte de Software; Confirmar que se están siguiendo los procedimientos de Recuperación ante Desastres, Respuesta de Incidencias y copias de seguridad (back-up); Servicios de Gestión de Pagos; Servicios de Gestión de Tesorería; Asegurar el cumplimiento de la >Política de Seguridad de la Información; Gestión del Usuario; Servicios de asesoramiento jurídico (España): Servicios de asesoramiento fiscal (España); y Servicios de asesoramiento laboral (España) DECIMOSEXTO: Con fecha 1 de abril de 2013 KZEMOS TECHNOLOGIES, S.L. y KZEMOS INC, suscribieron un contrato que tenía como objeto establecer las condiciones en las que la primera empresa de las citadas, como encargado del tratamiento, recogería y/o trataría, en nombre y por cuenta de la segunda empresa de las citadas, que era la responsable del fichero, los datos personales de los clientes de KZEMOS INC que resultaba preciso tratar para la correcta prestación de los servicios recogidos en el contrato de fecha 1 de agosto de 2011. Dicho tratamiento debía realizarse ajustándose a las instrucciones indicadas por el responsable del fichero y limitadas al objeto del contrato. (folios 310 al 318) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/30 FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
8. d)e
9. i)y 38.4 d),
10. g)y
11. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/30 Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Por lo tanto, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. A su vez, el artículo 22.1 de la LSSI, que establece como “Derechos de los destinatarios de los servicios” que: “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos” De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
12. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/30 Asimismo resulta aplicable lo previsto en el artículo 45.1.
13. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
14. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. A continuación, la Ley pasa a determinar los supuestos, recogidos en el párrafo segundo del Anexo
15. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
16. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros representen una actividad económica, los siguientes: (…) y siempre que 4º El envío de comunicaciones comerciales. ” (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/30 requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
17. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV Con carácter previo al fondo del asunto conviene estudiar si a FEVER LABS, que es una empresa estadounidense, le resulta de aplicación la LSSI y, en su caso, la competencia sancionadora otorgada por dicha norma a la AEPD. La LSSI se aplica, con carácter general, a los prestadores de servicios establecidos en España, de acuerdo con el principio de aplicación de la ley del país de origen que inspira la Directiva 2000/31/CE, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información. De este modo, la citada norma señala en su artículo 2 apartados 1 y 2, en cuanto a su ámbito de aplicación, lo siguiente: “1. Esta Ley será de aplicación a los prestadores de servicios de la sociedad de la información establecidos en España y a los servicios prestados por ellos (...)” “2. Asimismo, esta ley será de aplicación a los servicios de la sociedad de la información que los prestadores residentes o domiciliados en otro Estado ofrezcan a través de un establecimiento permanente situado en España (...)” No obstante añade el artículo 3 de la LSSI que la misma resulta de aplicación a los prestadores de servicios establecidos en otro Estado miembro de la Unión Europea o del Espacio Económico Europeo cuando el destinatario de los servicios radique en España y los servicios afecten, entre otras materias, a la licitud de las comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, siempre que resulten aplicables las normas reguladoras de esta materia. En cuanto a los “Prestadores establecidos en un Estado no perteneciente a la Unión Europea o al Espacio Económico Europeo” el artículo 4 de la LSSI dispone: “A los prestadores establecidos en países que no sean miembros de la Unión Europea o del Espacio Económico Europeo, les será de aplicación lo dispuesto en los artículos 7.2 y 11.2. Los prestadores que dirijan sus servicios específicamente al territorio español quedarán sujetos, además, a las obligaciones previstas en esta Ley, siempre que ello no contravenga lo establecido en tratados o convenios internacionales que sean aplicables.” Según el este último precepto, a los prestadores de servicios establecidos en un Estado no perteneciente a la Unión Europea o al Espacio Económico Europeo les será aplicable, .con carácter general, lo previsto en el artículo 7.2, relativo a la libre prestación de servicios, y en el artículo 11.2, relativo al deber de colaboración de los prestadores de servicios de intermediación. Ahora bien, si el prestador dirige sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/30 servicios específicamente al territorio español quedará sujeto, además, a las obligaciones previstas en la LSSI, siempre que ello no contravenga lo establecido en tratados o convenios internacionales. Ahora bien, aunque FEVER LABS está radicada en el Estado de Delaware (Estados Unidos de América), consta acreditado en el procedimiento que dicho prestador de servicios de la sociedad de la información dirige sus servicios específicamente al territorio español, como prueba:
18. a)Que la Aplicación FEVER para dispositivos móviles propiedad del reseñado prestador de servicios se encuentra implantada en las ciudades de Madrid, Barcelona, Valencia, Sevilla y Málaga, como consta en el apartado de “Preguntas frecuentas” del sitio web www. J.J.J./faq/ (folio 208).
19. b)Que los envíos denunciados se dirigieron a un destinatario radicado en territorio español, en concreto Sevilla, y que para su realización se utilizaron los datos de contacto de los terminales de dos usuarios que tenían marcados como ciudad de actividad Sevilla.
20. c)Que FEVER LABS utiliza como domicilio a efectos de notificaciones para el desarrollo de su actividad en España la dirección en Madrid de la empresa española KZEMOS TECHNOLOGIES, circunstancia no sólo reconocida por ésta en su escrito de alegaciones (folio 169) sino también probada al fijarse por FEVER LABS tal domicilio a efecto de notificaciones en el procedimiento.
21. d)Que para el envío de las comunicaciones comerciales FEVER LABS se nutre de las agendas de contacto de los terminales móviles de los usuarios españoles registrados en su aplicación Así las cosas, los hechos objeto de imputación entran dentro del ámbito competencial de la Agencia Española de Protección de Datos y les resulta, consecuentemente, de aplicación el régimen sancionador recogido en el Título VII de la LSSI, que establece que la competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
22. d)e
23. i)y 38.4 d),
24. g)y
25. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. También, antes de continuar analizando los elementos fácticos y jurídicos en los que se sustenta el caso analizado, conviene poner de manifiesto que los hechos derivados del envío de la comunicación comercial de fecha 6 de mayo de 2015 están prescritos de conformidad con lo dispuesto en el artículo 45 de la LSSI, que establece que:” Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves a los seis meses; las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año.” A su vez, dicho precepto ha de ponerse en relación con lo dispuesto en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/30 artículo 132.2 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, que establece que: “2. El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, (…)” Para ello, se ha valorado que entre la remisión de la comunicación comercial no autorizada enviada al denunciante con fecha 6 de mayo de 2015, y la propia fecha en que se acordó la iniciación de procedimiento sancionador, dictado el día 15 de noviembre de 2015, se había superado el plazo de seis meses previsto para las infracciones leves a la LSSI. En definitiva, únicamente resultan sancionables por infracción a la LSSI, conforme se justificará en los siguientes Fundamentos de Derecho, las comunicaciones comerciales recibidas por el denunciante con fechas 16 y 19 de mayo de 2015. V En el presente supuesto, de la valoración conjunta de los elementos fácticos obrantes en el procedimiento, se evidencia que el denunciante recibió con fechas 16 y 19 de mayo de 2015 dos comunicaciones comerciales en su cuenta de correo electrónico G.G.G., ambas remitidas desde la dirección J.J.J. , sin mediar el consentimiento previo y expreso para ello de dicho destinatario. Dichos envíos, en los que se promocionaba la descarga de la aplicación FEVER, se remitieron sin haber sido solicitados previamente o autorizados expresamente por el denunciante a la empresa propietaria y explotadora de dicha aplicación (FEVER LABS). Esta afirmación encuentra su apoyo en que ha quedado acreditado que la cuenta de correo electrónico del denunciante procedía de los datos de contacto registrados en el terminal móvil de un tercero registrado como usuario de la aplicación FEVER. Además, su remisión se produjo al no haberse adoptado ninguna medida por FEVER LABS para hacer efectiva la oposición anteriormente mostrada por el denunciante a recibir comunicaciones comerciales de esa empresa en su cuenta de correo electrónico G.G.G.. Así, se observa que las dos comunicaciones comerciales objeto de imputación se enviaron después de que FEVER LABS hubiese recibido con fecha 7 de mayo de 2015 en la cuenta de electrónico habilitada a tales efectos, I.I.I., dos solicitudes oponiéndose a la recepción de nuevos envíos publicitarios , y cuya entrada y recepción consta registrada en sus sistemas. En el presente caso, aunque la realización material de los envíos de las comunicaciones comerciales no se haya llevado a cabo directamente por FEVER LABS ni el dato del correo electrónico del denunciante utilizado para su remisión resulte accesible a esa empresa, lo cierto es que su remisión no puede separarse de la operativa habilitada y controlada por FEVER LABS para poner a disposición de los usuarios registrados en la aplicación FEVER la opción “Invitar a amigos”, que es, a la postre, el mecanismo diseñado por esa empresa para remitir comunicaciones comerciales por medios electrónicos que, bajo la fórmula de invitaciones de un amigo, promocionan entre los destinatarios de las mismas el alta en un servicio de su titularidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/30 Resulta evidente que el diseño del sistema de comunicaciones comerciales de la Aplicación ha sido determinado por FEVER LABS, ya que es la entidad que ha decidido: - Que los correos electrónicos de los destinatarios de los envíos procedieran de los datos de contacto de los terminales de los usuarios registrados de la aplicación FEVER. - Incentivar el uso de dicha opción por parte de los usuarios registrados mediante una bonificación económica de 5 € en caso de que el contacto decida comprar en FEVER o darse de alta en la aplicación. - Incentivar al destinatario de los envíos mediante un descuento (crédito) de 5 € a descargar la aplicación FEVER en sus dispositivos móviles. - El contenido de las comunicaciones comerciales remitidas a los contactos de los usuarios registrados. - Seleccionar y contratar la herramienta técnica SendGrid a través de la cual se prestarán los servicios de mensajería necesarios para posibilitar el envío de las comunicaciones comerciales antedichas al utilizar la opción de la aplicación “ L.L.L.”. No se olvide que la facturación por dicho servicio de mensajería se gira por SendGrid a FEVER LABS, empresa que puede consultar los datos estadísticos proporcionados por SendGrid relativos a las invitaciones a un plan o a FEVER en general. (folios 329 al 331). - FEVER LABS controla a través de la aplicación “Mixpanel” determinados usos de la opción “ L.L.L.” de la aplicación FEVER. (folio 332) De todo lo cual se evidencia que FEVER LABS ha determinado utilizar como lista de distribución o base de datos las agendas de contactos de los terminales de los usuarios registrados en su aplicación, convirtiendo en posibles destinatarios de sus invitaciones promocionales a los titulares de los correos electrónicos registrados en tales agendas . Asimismo, ha establecido utilizar como plataforma de envíos una compañía cuyo sistema de mensajería resulta compatible con el funcionamiento y operativa de la aplicación titularidad de esa empresa, cuya publicidad FEVER LABS realiza a través de las mencionadas comunicaciones comerciales, las cuales responden a un contenido automatizado y generado por la reseñada empresa y cuya remisión precisa la utilización de una concreta funcionalidad de la aplicación en cuestión. La concurrencia de todas estas circunstancias se refleja en los propios envíos, en cuyos encabezamientos aparece como origen la cuenta de correo electrónico J.J.J. asociada a un dominio titularidad de la referida empresa (folio 42), mientras que las cabeceras de Internet de los mismos muestran que se remitieron desde un servidor denominado outbound-mail.SENGRID.net, vinculado a la plataforma de envíos contratada por FEVER LABS. De lo expuesto se evidencia que los usuarios registrados de la aplicación FEVER no resultan responsables del envío de las comunicaciones comerciales estudiadas, ya las acciones de elegir el momento de realización de los envíos y los destinatarios de los mismos traen causa directa del papel otorgado por FEVER LABS en dicha aplicación a los diferentes intervinientes en el proceso de remisión de dichas comunicaciones comerciales, incluyendo también el de SendGrid como plataforma tecnología de envíos y el de la propia FEVER LABS. En consecuencia, cae también C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/30 bajo su órbita de responsabilidad la decisión de no tener acceso a los datos de los correos electrónicos empleados para cursar los envíos, lo que no es óbice para enervar que toda la mecánica de funcionamiento de la opción estudiada obedece a la voluntad de FEVER LABS de promocionar sus propios servicios entre los contactos de los usuarios registrados en la aplicación FEVER. Llegados a este punto, y con arreglo a las consideraciones efectuadas, no cabe duda de que a la vista del contenido publicitario de los dos correos electrónicos estudiados y del sistema empleado por FEVER LABS para posibilitar su remisión al denunciante, dichos envíos responden a la definición de comunicación comercial contemplada en el primer párrafo del Anexo
26. f)de la LSSI, debiendo rechazarse, como pretende FEVER LABS, que tengan los mismos efectos que cuando una persona recomienda a un amigo por email un determinado servicio. Al contrario, no estamos frente a comunicaciones elaboradas por un tercero, puesto que el usuario registrado que selecciona al amigo receptor de la comunicación no redacta el contenido del envío, al igual que no elige el medio de comunicación electrónica empleado para su remisión (correos electrónicos) ni determina que se remita a través del servidor de un tercero (SendGrid). De hecho, el texto de los correos electrónicos está prefijado por la entidad beneficiaria de la publicidad remitida, tratándose de un texto cerrado que se genera automáticamente al usar la opción “ L.L.L.” facilitada por la Aplicación. Además, se produce una contraprestación económica para el usuario registrado que recibirá 5 € por cada amigo que realiza su primera compra en FEVER sin cupones, según lo constatado por la AEPD en la prueba de fecha 4 de noviembre de 2015 (folios 100 y 101), bonificación que FEVER LABS ha confirmado aunque refiriéndose a una cuantía menor (folio 336), al mismo tiempo que también ratificaba que el destinatario del envío comercial que se registra y crea un perfil en la aplicación recibe una bonificación única de 5 € en el apartado de cupones de descuento de la aplicación (folio 336). De hecho, a los efectos de poder gestionar tales bonificaciones, FEVER LABS ha previsto que los mensajes incluyan un código que se corresponde con un usuario concreto, en este caso en ambos envíos era “ R.R.R.” , asociado al usuario con el correo electrónico E.E.E.. Dichas circunstancias evidencian que no estamos, como pretende FEVER LABS, ante la excepción referida a “las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica.”, pudiendo afirmarse, sin embargo, que las comunicaciones estudiadas se ajustan al amplio concepto de comunicación comercial recogida en el apartado
27. f)del Anexo de la LLSI ya transcrito. De este modo, a la luz de los elementos fácticos obrantes en el procedimiento cabe concluir que FEVER LABS ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI al resultar responsable del envío de dos comunicaciones comerciales al correo electrónico del denunciante que no constaban con su consentimiento, toda vez que no mediaba la autorización expresa o solicitud previa del mismo para su realización. Situación que persistiría aunque hubiera existido una relación contractual previa entre FEVER LABS y el denunciante, la cual no se producía, ya que el conocimiento por parte de dicha empresa desde el 7 de mayo de 2015 de la negativa del destinatario a la recepción de envíos publicitarios en su cuenta de correo electrónico impediría la aplicación de la excepción contenida en el primer párrafo del artículo 21.2 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/30 VI En lo que respecta al incumplimiento del deber de ofrecer al destinatario de los envíos la posibilidad de oponerse al tratamiento de sus datos mediante un procedimiento sencillo y gratuito incluido en las propias comunicaciones comerciales remitidas, de la simple lectura del contenido de los dos correos electrónicos publicitarios objeto de estudio se evidencia la conculcación de dicha obligación. Así, ninguno de los envíos publicitarios remitidos al denunciante incluía un mecanismo de baja a través del cual éste pudiera oponerse al uso de sus señas electrónicas con fines promocionales, y que en este caso debía consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde éste pudiera ejercitar dicho derecho, tal y como exige el tercer párrafo del artículo 21.2 de la LSSI. Es decir, si la LSSI ha querido imponer una formalidad específica que permita a los destinatarios de este tipo de envíos oponerse al tratamiento de sus datos para el envío de mensajes publicitarios por medios de comunicación electrónica o similares a fin de garantizar su derecho a no recibir comunicaciones de naturaleza comercial en sus señas electrónicas o número de teléfono móvil, el hecho de que por parte del prestador de servicios no se incluya en cada uno de los mensajes un procedimiento sencillo y gratuito que permita al destinatario negarse a la recepción de nuevos mensajes publicitarios conculca la obligación establecida en el mencionado precepto de la LSSI. En consecuencia, de lo expuesto con anterioridad, ha quedado probado que FEVER LABS también ha incurrido en la infracción del artículo 21.2, párrafo segundo de la LSSI, al no ofrecer en ninguna de las comunicaciones comerciales dirigidas al correo electrónico del denunciante un procedimiento sencillo y gratuito para no continuar recibiendo publicidad por dicha vía, ello no obstante que . VII Lo expuesto en los anteriores Fundamentos de Derecho lleva a considerar que KZEMOS TECHNOLOGIES no tiene ninguna responsabilidad en la comisión de la infracción inicialmente imputada a la misma, toda vez que analizados los elementos fácticos resultantes de la tramitación del procedimiento, en especial de la documentación contractual reseñada en los Hechos números 14 y 15, se aprecia que no consta que haya actuado más allá de su condición de prestadora de servicios de desarrollo informático, mantenimiento y evolución de la Aplicación FEVER titularidad de FEVER LABS y, en su caso, como encargado de tratamiento de los datos personales que precisaba utilizar para desarrollar tales servicios conforme a las instrucciones de la responsable del fichero. Con arreglo a lo cual, se considera adecuado proponer el archivo de las actuaciones practicadas en el presente procedimiento sancionador en relación con KZEMOS TECHNOLOGIES al no estar acreditado en el procedimiento que disponga de facultad alguna sobre la explotación comercial de la Aplicación FEVER. Por lo que, una vez acreditado que FEVER LABS realizó la conducta infractora que ha sido descrita, procede valorar el alegato de dicha entidad defendiendo la ausencia del elemento subjetivo de culpabilidad en su conducta debido a que no tenía una capacidad de acción y de decisión que le permitiese obrar de un modo distinto, lo que justifica haciendo énfasis en que los envíos se realizaron por voluntad de un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/30 tercero (la usuaria registrada de la aplicación), que además parece actuó en connivencia con el denunciante, motivo por el que no puede tener culpa alguna sobre dichos envíos, cuya remisión no ha implicado el tratamiento del dato del destinatario por parte de esa empresa y que han sido realizados a través del servidor de un tercero (SendGrid). En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo, así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. En esta línea, el Tribunal Supremo (STS 16/04/91 y STS 22/04/91) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23/01/98). Sobre este particular conviene recordar que desde el punto de vista material, la culpabilidad consiste, tal y como argumenta la mencionada entidad, en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En este orden de ideas, esta Agencia considera que a FEVER LABS le era exigible otra conducta diferente de la que observó. Se entiende que hay responsabilidad en la comisión de la infracción imputada por parte de esa empresa a título de culpa, ya que en el procedimiento no consta que en su condición de prestador del mencionado Servicio de la sociedad de la información hubiera adoptado, con anterioridad al diseño, habilitación y puesta en marcha de la operativa de la Aplicación FEVER de su titularidad, la diligencia y el deber de cuidado que le eran exigibles para asegurarse de la naturaleza exacta de los correos electrónicos que se dirigían a los contactos de los usuarios registrados que utilizaban la funcionalidad “ L.L.L.” integrada en la mencionada aplicación, ello a los efectos de condicionar su remisión al cumplimiento de los requisitos establecidos por la LSSI para la remisión de comunicaciones comerciales por vía electrónica. A mayor abundamiento, FEVER LABS tampoco actuó con la cautela que le resultaba exigible al no adoptar las medidas necesarias frente a la plataforma SendGrid para evitar que el denunciante continuase recibiendo correos electrónicos comerciales semejantes a la invitación promocional recibida el día 6 de mayo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/30 2015, ello a pesar de que desde el 7 de mayo de 2015 estaban registrados en sus sistemas los dos correos electrónicos enviados por el denunciante con esa fecha manifestando su voluntad de no recibir nuevas comunicaciones comerciales por ese medio. Téngase en cuenta que, a la vista de la operativa diseñada por FEVER LABS para enviar comunicaciones comerciales a los correos electrónicos obrantes en las agendas de los usuarios registrados en su aplicación y atendida la elección de esa concreta plataforma tecnológica, la rápida inclusión en una lista negra era, según sus propias manifestaciones, el único medio que disponía para bloquear técnicamente el envío de esas comunicaciones a los titulares de las direcciones de correo electrónico registradas en la misma. No obstante lo cual, esa empresa no adoptó con la rapidez precisa esa medida frente a las solicitudes de oposición recibidas del denunciante, conforme prueban los dos envíos denunciados de fechas 16 y 19 de mayo de 2015. En cuanto al alegato que califica como error técnico la falta de inclusión del correo electrónico del denunciante en la lista de exclusión tras su primera petición, conviene traer a colación lo señalado por la Audiencia Nacional en la Sentencia de fecha 19 de enero de 2015, Rec. 178,2013, en un supuesto similar: “La concurrencia de un supuesto error informático como justificante de la remisión indebida de correos electrónicos no puede ser admitida por esta Sala y ellos pues son muchas las sentencias en las que se han insistido en que los errores informáticos no son suficientes para eliminar la antijuridicidad de las conductas sancionadas. Así en las sentencias dictadas en los recursos 110/2013 ó 368/2012. La existencia de un supuesto error informático, que también alega la parte recurrente en su escrito de demanda, no es suficiente para entender justificada la conducta de la recurrente y ello pues los referidos errores informáticos generan responsabilidad en quien los padece cuando producen daños a los titulares de otros bienes jurídicos, como ,en el caso presente, es el derecho a no recibir comunicaciones no deseadas (así se ha dicho por esta Sala en multitud de sentencias de entre las que cabe citar las correspondientes a los recursos 110/2013 ó 368/2012.)” En la misma línea se pronunciaba la Audiencia Nacional en su Sentencia de fecha 27 de marzo de 2015, Rec. 72/2014, al afirmar: “Una vez constatado que la parte demandante realizó la conducta infractora que aparece descrita en la resolución recurrida, en el curso de este proceso no se ha puesto de manifiesto la concurrencia de circunstancias que permitan excluir la culpabilidad de la misma, limitándose la parte atora a alegar que se debió a un fallo del sistema de bloqueo de datos personales. Es sabido que se puede incurrir en responsabilidad por la infracción e que estamos examinando tanto de manera intencionada o dolosa como por descuido, negligencia o aún a título de simple inobservancia- art. 130.1 de la Ley 30/1992, de 26 de noviembre-. Y procede ahora recordar que, como señala el Tribunal Supremo en la Sentencia de 23 de enero de 1998, “…aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/30 exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa. Ninguna de las circunstancias concurrentes en el caso que nos ocupa permite excluir este elemento subjetivo de la infracción. Debemos insistir en que la culpabilidad de la parte actora no puede considerarse excluida ni atenuada por el hecho de que le tratamiento de los datos del denunciante pudiese deberse a la existencia de un fallo del sistema de bloqueo de datos personales.” Por lo que pudiendo haber actuado FEVER LABS de forma diferente, sin embargo, no lo hizo, lo que lleva a considerar la existencia del elemento subjetivo de culpabilidad en la conducta de FEVER LABS en el ilícito administrativo imputado, ya que la misma responde a una acción típica, antijurídica, culpable y punible que constituye vulneración al artículo 21 de la LSSI por parte de esa sociedad. VIII El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la AEPD), considerándose como tal, según definición contenida en el apartado
28. c)del Anexo de la citada norma a la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
29. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
30. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, a la vista de los hechos que han resultado acreditados en la tramitación del presente procedimiento sancionador, la conclusión que se despende de los hechos y fundamentos de derecho anteriores es que la infracción del artículo 21 de la LSSI que se imputa a FEVER LABS se ajusta al tipo de infracción leve previsto en el artículo 38.4.
31. d)de la vigente LSSI, puesto que la remisión de dos comunicaciones comerciales no autorizadas a la cuenta de correo electrónico del denunciante, ambas sin ofrecer alguno de los mecanismos de baja señalados como obligatorios en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/30 párrafo tercero del apartado 2 del envío insistente o sistemático. citado precepto, no puede calificarse como IX Según establece el art. 39.1, apartados
32. b)y c), de la LSSI, las infracciones graves podrán ser sancionadas con multa de 30.001 hasta 150.000 € y las leves, con multa de hasta 30.000 €, fijando los criterios para su graduación los artículos 39 bis y 40 de la misma norma, que disponen lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
33. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
34. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
35. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
36. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
37. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
38. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
39. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador, por dicho incumplimiento.” “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
40. a)La existencia de intencionalidad.
41. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/30
42. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
43. d)La naturaleza y cuantía de los perjuicios causados.
44. e)Los beneficios obtenidos por la infracción.
45. f)Volumen de facturación a que afecte la infracción cometida.
46. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. FEVER LABS defendía en su escrito de alegaciones al acuerdo de inicio que entendía que resultaba de aplicación la previsión contemplada en el artículo 39 bis 2 de la LSSI al presente caso al concurrir el supuesto recogido en el artículo 39.bis 1
47. c)de la LSSI, manteniendo que ha quedado probado que la conducta del denunciante ha inducido a la comisión de la eventual infracción. A este respecto, de la literalidad del artículo 39 bis 2 se evidencia que la previsión contenida en el mismo de sustituir la incoación de un procedimiento sancionador por la figura del apercibimiento al infractor es potestativa del órgano sancionador, correspondiendo su ponderación a dicho órgano atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado 1 del mismo precepto , siempre y cuando también se cumplan los presupuestos
48. a)y
49. b)citados en el propio precepto. Es decir, la aplicación del artículo 39 bis 2 de la LSSI resulta excepcional, correspondiendo al órgano sancionador ponderar la concurrencia de los requisitos fijados en el mismo así como su aplicación. En este supuesto, atendida la naturaleza de los hechos objeto de imputación se considera pertinente tramitar un procedimiento sancionador en lugar de un apercibimiento, habida cuenta que los dos correos electrónicos comerciales objeto de imputación se remitieron a pesar de que el denunciante se había opuesto a recibir ese tipo de envíos en sus señas electrónicas. Además, la Agencia no comparte que proceda apercibir a esa empresa porque concurra el supuesto contemplado en el artículo 39 bis 1.
50. c)de la LSSI. Téngase en cuenta que FEVER LABS no ha presentado ningún medio de prueba válido en derecho que permita acreditar, en forma fehaciente, sus manifestaciones relativas a que la conducta del denunciante ha provocado “ex profeso” el supuesto de hecho recogido en el artículo 21 de la LSSI para generar la apertura de expediente sancionador contra FEVER LABS. De esta forma, en el procedimiento no existen elementos de prueba de los que se desprenda, ni siquiera a nivel indiciario, que los hechos imputados acontecieron como consecuencia de la creación de un escenario forzado por parte del denunciante con el fin de provocar la apertura de expediente sancionador contra FEVER LABS por infracción al artículo 21 de la LSSI después de rechazarse por ésta los servicios profesionales del denunciante. Esa empresa no ha acreditado la fecha y recepción de la supuesta llamada del denunciante en el teléfono que aparece en el sitio www. J.J.J., ni hay prueba alguna del contenido del supuesto contacto telefónico. Por otra parte, que en la información relativa a los perfiles de usuario correspondientes a los códigos “ Q.Q.Q.” y “ R.R.R.” aparezca como ciudad de actividad la misma del domicilio del denunciante no acredita la existencia de ningún tipo de connivencia entre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/30 el afectado y el usuario registrado en cuestión, siendo en todo caso FEVER LABS la entidad bajo cuya órbita de responsabilidad recae la remisión al denunciante de las dos comunicaciones comerciales no autorizadas objeto de estudio. A lo anterior hay que añadir que las posibles intenciones del denunciante a las que alude esa empresa, además de no demostradas, no resultan objeto de valoración del procedimiento sancionador. Todo lo cual enerva que resulte de aplicación el supuesto previsto en el artículo 39 bis 1.
51. c)de la LSSI invocado. A los efectos de la ponderación de la sanción a imponer se considera que, en el presente supuesto, resulta de especial relevancia que la entidad imputada es titular del sitio web www. J.J.J. y de la Aplicación FEVER. Conforme se desprende de los “Términos y Condiciones de Uso y Política de Privacidad” del mencionado sitio web (folios 191 al 204), en el desarrollo de su actividad FEVER LABS presta habitualmente servicios propios del comercio electrónico, tales como los asociados al servicio de compra de tickets de eventos y espectáculos ofrecido a los usuarios través de la Aplicación FEVER (folio 193 , condición V), al igual que utiliza los medios de comunicación electrónica tanto para enviar comunicaciones comerciales sobre los productos y servicios prestados y/o organizados por FEVER a los usuarios de FEVER y de la Aplicación, como para remitir información comercial de productos y servicios del sector del ocio y entretenimiento, vida nocturna, eventos, bebidas y alimentación, moda, electrónica, editorial, cosmética, viajes y gran consumo (folios 200 y 201, términos 12.5 y 12.8). Por lo que, en razón de su profesionalidad, está obligada a conocer y cumplir las exigencias recogidas en el artículo 21 de la LSSI en orden a proteger los derechos de los destinatarios de los servicios de la sociedad de la información. En cuanto a los criterios de graduación de las sanciones recogidos en el artículo 40 de la LSSI, y con arreglo al principio de proporcionalidad, en este supuesto, se considera como agravante el criterio
52. a)de dicho precepto debido a la relevante falta de rigor mostrada al no bloquear técnicamente el envío de mensajes relativos a sus servicios al correo electrónico del denunciante después de recibir la primera petición del afectado en ese sentido. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor, etc. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. En el mismo sentido, el Alto tribunal viene entendiendo que en la valoración del grado de dicha diligencia, ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda que, en el caso ahora examinado, cuando la entidad denunciada utiliza en el desarrollo de su actividad los medios de comunicación electrónica para el envío de comunicaciones comerciales, ha de insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto ( STS de 5 de junio de 1998). A su vez, se consideran que los criterios d),
53. e)y
54. f)del citado artículo 40 actúan como atenuantes respecto de los hechos analizados en el presente caso, ello ante la falta de constancia, de que el denunciante haya sufrido perjuicios a raíz de la recepción de los correos comerciales no consentidos o que la imputada haya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/30 obtenido beneficios o visto afectado positivamente su volumen de facturación por la comisión de la infracción del artículo 21 de la LSSI. FEVER LABS solicita que para graduar el importe final de la sanción se valore el considerable desequilibrio que la cantidad propuesta supone en las cuentas del presente ejercicio, para lo que invoca el reducido margen de beneficio de la empresa, aunque no lo acredita, por encontrarse en una fase inicial de crecimiento de su actividad. Sin embargo dicha circunstancia no está contemplada en el régimen sancionador de la LSSI como causa de atenuación de la sanción. A tenor de lo expuesto, se entiende como ajustado a la gravedad de los hechos objeto de análisis imponer a FEVER LABS de una sanción de 10.000 € con arreglo a lo previsto en los artículos 39.1.
55. c)y 40 de la LSSI y 131 de la LRJ-PAC. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad FEVER LABS INC. , por una infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4.
56. d)de la LSSI, una multa de 10.000 euros (Diez mil euros) , de conformidad con lo establecido en los artículos 39.1.
57. c)y 40 de la citada Ley. SEGUNDO: ARCHIVAR las actuaciones seguidas contra KZEMOS TECHNOLOGIES, S.L. en el presente procedimiento sancionador PS/00646/2015. TERCERO: NOTIFICAR la presente resolución a las entidades FEVER LABS INC y KZEMOS TECHNOLOGIES, S.L., así como a Don C.C.C.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/30 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es