← España

PS-00671-2014

1/25 Procedimiento Nº PS/00671/2014 RESOLUCIÓN: R/01552/2015 En el procedimiento sancionador PS/00671/2014, instruido por la Agencia Española de Protección de Datos a la entidad ENDESA ENERGÍA, S.A.U., vista la denuncia presentada por Dña. K.K.K., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 16 de septiembre de 2014 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por Dña. K.K.K., en adelante la denunciante, comunicando la recepción de comunicaciones comerciales vía correo electrónico de ENDESA ENERGÍA, S.A.U. (en lo sucesivo ENDESA), tras su solicitud de baja de los envíos. Añade que ha realizado numerosos intentos de solicitar la baja de los envíos a través del enlace que figura en los correos electrónicos recibidos y a través del correo electrónico enviado el día 18 de julio de 2014, sin éxito. La denunciante aporta la siguiente documentación:  Copia de los correos recibidos en las fechas 16, 17, 18, 24 y 31 de julio de 2014 y 15 de septiembre de 2014.  Copia de las cabeceras de internet de los correos recibidos en las fechas 16, 18, 24 y 31 de julio de 2014 y 15 de septiembre de 2014.  Copia de cinco confirmaciones de baja de ENDESA recibidas con fechas 17, 18 y 25 de julio, 1 de agosto y 16 de septiembre de 2014, tras las solicitudes realizadas a través del enlace de los correos electrónicos comerciales recibidos.  Copia del correo electrónico de fecha 18 de julio de 2014 remitido desde la cuenta E.E.E. a “Endesa Online” solicitando la cancelación de la base de datos de ENDESA de la mencionada dirección de correo electrónico y del nombre y apellidos de la denunciante. Este correo electrónico ha sido enviado con la opción de responder, según se desprende del campo asunto en el que consta el literal “RE”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia han tenido conocimiento de los siguientes extremos: 1. La denunciante recibió en su cuenta de correo E.E.E. seis correos electrónicos cuyo origen era la dirección de correo electrónico A.A.A. en fechas 16, 17, 18, 24 y 31 de julio de 2014 y 15 de septiembre de 2014. Los correos electrónicos contenían información comercial referente a productos de ENDESA, suscripción a publicaciones en formato digital a través del portal www.zinio.com, venta de entradas para la Copa del Mundo de Baloncesto y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/25 promoción de sorteos relacionados con dicha competición. Los correos electrónicos disponen de información sobre el cómo solicitar la baja de la lista de destinatarios en forma de “si no desea recibir emails de Endesa pulsa L.L.L.”. Al pie de los correos también consta la siguiente información: “Por favor, no utilices esta dirección de correo para ponerte en contacto con Endesa” 2. Los envíos de fechas 31 de julio de 2014 y 15 de septiembre de 2014 se remitieron por ENDESA transcurridos diez días hábiles desde la primera de las confirmaciones de baja recibidas por la denunciante el día 17 de julio de 2014. 3. Los días 17 y 18 de diciembre de 2014 se realizó una visita de inspección en la sede social de ENDESA ENERGIA SAU, al objeto de aclarar los términos de los hechos denunciado, poniéndose de manifiesto lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/25 3.1. Endesa realiza comunicaciones comerciales de sus productos a sus clientes con una periodicidad mensual aproximadamente. Los envíos son realizados por la empresa Microdelta Investigación y Desarrollo, S.L., con la que tienen contratado este servicio. 3.2. Para atender las solicitudes de baja de publicidad de los clientes ENDESA dispone de varias vías: a través del enlace que se comunica en cada correo electrónico enviado, a través de la página web de ENDESA, telefónicamente y vía correo electrónico y postal. 3.3. Las solicitudes de baja realizadas por los clientes a través del enlace de las comunicaciones comerciales enviadas generan una respuesta automática como las aportadas por el denunciante. 3.4. Las solicitudes realizadas a través de correo electrónico con la opción “responder” a la publicidad recibida no se recoge en los servidores de entrada de ENDESA, como se indica en el pie de los correos que se envía. 3.5. En todos los casos, excepto a través de correo electrónico, las solicitudes generan un registro en el sistema y la baja se efectúa mediante un proceso automático que se lanza cada viernes, llevándose a cabo todas las solicitudes de baja recibidas durante la semana. A los clientes que han solicitado la baja de publicidad se les incluye en la “Lista Robinson” 3.6. Para cada envío, el departamento de Marketing on line, solicita al departamento de Sistemas la extracción de las direcciones de correo electrónico de los destinatarios, unos días antes de la materialización de los envíos. En el departamento de sistema se genera el fichero de las direcciones de los destinatarios con los perfiles especificados y se excluyen todos aquellos que tienen marcado el campo “lista Robinson”. 3.7. Como medida de seguridad, en septiembre y noviembre de 2014 se realizaron unos barridos automáticos para marcar como “Robinson” la dirección de correo utilizada por los destinatarios que han llegado a pulsar el enlace de baja que figura en las comunicaciones comerciales. En este caso, las solicitudes no quedan registradas en el Registro de Solicitudes de los clientes. 3.8. El representante de ENDESA reconoce que los correos recibidos por la denunciante forman parte de las campañas realizadas por ENDESA dirigidas a sus clientes. 3.9. ENDESA ofrece un canal en internet al cliente denominado ENDESA ONLINE para la gestión de sus contratos y facturas. Los datos de contacto aportados por el cliente en este canal (entre ellos la dirección de correo electrónico) no pasan a formar parte del fichero de clientes. 3.10.La dirección de correo electrónico E.E.E. consta como dirección de contacto en ENDESA ONLINE asociada a un cliente que es una comunidad de propietarios que tiene contratado un producto de electricidad. En el fichero de clientes dicho cliente tiene marcado el campo “no informa email” que según manifiesta el representante de ENDESA este cliente no ha facilitado e-mail, no obstante sí que ha facilitado la mencionada dirección de correo electrónico en el portal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/25 “ENDESA ONLINE”. No consta en el registro de solicitudes de baja ninguna solicitud de baja realizada por este cliente. 3.11.Se han verificado los ficheros de extracciones de los envíos correspondientes al 17 de julio, 15 y 18 de septiembre, 18 de noviembre y 4 de diciembre de 2014, comprobando que en los ficheros utilizados para los envíos del 17 de julio y 15 de septiembre de 2014 consta la dirección de correo electrónico E.E.E. y que en los otros ficheros posteriores no consta. 3.12.Se ha comprobado que en el buzón de entrada “atencionalcliente@ A.A.A.” no se ha encontrado ningún correo entrante procedente de la dirección de correo E.E.E.. 3.13.El representante de ENDESA desconoce el motivo por el que no han sido registradas en el fichero de registro de solicitudes las solicitudes de baja realizadas por el cliente a través del enlace de las comunicaciones comerciales recibidas y manifiesta que posiblemente el motivo es que esta dirección de correo electrónico no se corresponde con ningún titular de suministro, con ningún CIF de cliente y con ningún cliente en vigor. 3.14.Manifiesta que la dirección de correo electrónico E.E.E. ha sido marcada como Robinson en alguno de los barridos realizados en septiembre y noviembre de 2014, por ese motivo ya no recibe comunicaciones comerciales. TERCERO: Con fecha 12 de enero de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ENDESA ENERGÍA, S.A. por la presunta infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 38.4.

  1. d)de dicha norma, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1,
  2. c)de la LSSI. CUARTO: Con fecha 4 de febrero de 2015 se registra de entrada escrito de ENDESA solicitando el archivo del procedimiento con fundamente, en síntesis, en las siguientes alegaciones: - Después de ratificarse en las manifestaciones efectuadas en el transcurso de la inspección efectuada en diciembre de 2014 que justificaban la falta de responsabilidad de ENDESA frente a las circunstancias narradas por la denunciante, niega que se haya producido la infracción imputada sin que al menos queden acreditados una serie de extremos relacionados con la condición de la denunciante que deben sustanciarse en periodo de pruebas al resultar relevante para acreditar la inexistencia de responsabilidad frente a quien no es cliente ni quien se ha identificado como legítimo representante del cliente. Se señala que el origen de la inspección, conforme figura en el Acta de la misma, era aclarar los términos de una denuncia de un cliente de ENDESA, cuando realmente la denunciante no consta como titular de ningún contrato de suministro con ENDESA, apareciendo únicamente como autorizada en un contrato de electricidad en el que no figura como dirección de correo la cuenta en la que manifiesta haber recibido la comunicación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/25 comercial no autorizada. El correo electrónico que consta en la denuncia aparece asociado a un contrato “que al parecer” es de una Comunidad de Propietarios sita en la c/ , sin que a ENDESA le conste que la denunciante disponga de la representación legal ni contractual para poder actuar facilitando un email de comunicación en representación del cliente. Además, la denunciante no ha manifestado que no haya facilitado ella misma dicho correo electrónico a ENDESA. - Como no consta que el cliente destinatario real de la oferta comercial haya manifestado su negativa a recibir comunicaciones comerciales al no tener e-mail informado en los sistemas comerciales de ENDESA y al no estar acreditado que el email facilitado por la denunciante goce de la debida autorización y representación contractual se estaría ante un supuesto de falta de legitimación para denunciar, no existiendo antijuricidad ni responsabilidad por culpa o negligencia en la actuación de ENDESA. - Consideran que la cancelación voluntaria de los envíos comerciales a esa dirección muestra la existencia de buena fe de la entidad, circunstancia que en caso de no atenderse el archivo, justificaría la imposición de una sanción en su grado mínimo conforme a los apartados a),
  3. b)y
  4. c)del artículo 39.bis de la LSSI, ello teniendo en cuenta que la denunciante no ha acreditado perjuicio alguno al no obrar en su propio nombre como persona física o como cliente sino en un contrato de suministro que pertenece a una Comunidad de propietarios que nada ha dicho al respecto, y valorando que todos los datos ocultados por la denunciante ha propiciado que se haya producido la presunta vulneración denunciada, . - A los efectos de acreditar los extremos controvertidos y para evitar indefensión se propone la práctica de pruebas testificales a efectuar por la denunciante y por la Comunidad de Propietarios, éstas últimas dirigidas a su Presidente en representación de la misma, cuyo detalle figura en el siguiente Antecedente de Hecho al haberse aceptado la práctica de las mismas por la Instructora. QUINTO: Con fecha 12 de febrero de 2015, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, las actuaciones previas de Inspección que forman parte del expediente E/07368/2014, las alegaciones al acuerdo de inicio PS/00671/2014 presentadas por ENDESA y la documentación que a ellas acompaña. A idénticos efectos probatorios, se incorporó al procedimiento la siguiente documentación: Impresión de pantalla de los datos que, a fecha de hoy, figuran sobre el dominio E.E.E. en el registro público de dominios de internet del sitio web www. C.C.C. ; Impresión del Aviso Legal e información sobre formas de contactar y página de inicio del formulario de contacto que aparecen en el sitio www. A.A.A.. Con esa misma fecha se comunicó a ENDESA el acuerdo de dichas pruebas y que conforme lo previsto en el artículos 137.4 de la Ley 30/1992, de 26 de noviembre, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/25 de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se aceptaba la práctica de las pruebas testificales propuestas respecto de la denunciante y la antedicha Comunidad de Propietarios. Paralelamente se solicita a ENDESA la remisión de copia de la siguiente documentación, numerada como prueba 4: Copia íntegra de los contratos suscritos entre esa empresa y la Comunidad de Propietarios sita en la c/ G.G.G. de Blanes (Girona), incluyendo las condiciones generales como de las particulares del mismo; Impresión de pantalla de los datos que figuran en el fichero de clientes de ENDESA relativos a la citada Comunidad de Propietarios. De haberse realizado algún cambio respecto de la dirección de e-mail se solicitaba información sobre las fechas exactas y direcciones de correo a las que afectaba; Impresión de la información accesible en el portal “ENDESA ONLINE” en las fechas de los envíos sobre el usuario correspondiente a la reseñada Comunidad de Propietarios. En todo caso, debía remitirse impresión referente a “Els meus contractes”, “Dades del titular del contracte”, “Altres dades administratives”, “Dades técniques” y “Usuaris autoritzats”; Remisión de los registros informáticos obrantes en sus sistemas que prueben : la fecha y datos completos correspondientes al registro como usuario en el mencionado portal web de la reseñada Comunidad de Propietarios, fecha exacta en que dicho titular o un tercero autorizado, en cuyo caso se especificará, facilitó el correo electrónico E.E.E.. . Direcciones IP de origen desde las que se realizó la suscripción al portal web por la Comunidad de Propietarios y se modificó el dato del e-mail, conforme aparece en la correspondiente impresión de pantalla del documento 2 entregada durante la inspección de fecha 17 y 18 de diciembre de 2014. También se solicitan, de existir, los registros informáticos de persona autorizada; Remisión de las marcas o registros informáticos correspondientes a la aceptación o negativa de la Comunidad de Propietarios a la que se asocia la cuenta E.E.E. a recibir publicidad en esas señas; Modelo y contenido del cuestionario de recogida de datos cumplimentado por el cliente al registrarse con copia de las Condiciones de uso y Política de Privacidad del portal “ENDESA ON LINE” vigente en las fechas en que se inscribió la mencionada Comunidad de Propietarios. También con esa misma fecha se solicita a esa entidad la práctica de la prueba que se numera como 5, consistente en acreditar documentalmente o mediante cualquier otro medio de prueba válido en derecho las siguientes circunstancias: Identidad de la persona física o jurídica que aparece en sus sistemas como titular de la cuenta E.E.E., señalándose qué fichero se utilizó para la remisión de los mensajes denunciados; Forma en que se comprobó por ENDESA que el cliente, o representante legal del mismo, que facilitó la citada cuenta de correo en el portal web era titular/usuario de la misma o bien se trataba de la cuenta de un tercero. Se solicita envío de la documentación recabada o comprobaciones realizadas a tales efectos; Prueba de haber obtenido el consentimiento previo y expreso del titular o usuario de la dirección de correo electrónico ya reseñada para enviarle comunicaciones comerciales a dicha cuenta, así como de haberle ofrecido la posibilidad de oponerse al tratamiento de dichos datos con fines promocionales mediante un procedimiento sencillo y gratuito en el momento de obtener dichas señas; Procedimiento establecido por ENDESA para comprobar que quien actúa en el portal “ENDESA ON LINE” como usuario representante de las Comunidades de Propietarios o quien aparece como persona autorizada gozan de tal condición y están autorizados para actuar contractualmente en nombre de la misma, suscribirse C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/25 como usuarios o personas autorizadas en el portal web de la empresa y pueden consentir la recepción de publicidad por medios de comunicación electrónica en las señas facilitadas; Actuaciones y comprobaciones concretas efectuadas por ENDESA en relación con la representación que gozaba la persona que registró el alta como usuario de la Comunidad de Propietarios y, si la hay, también en relación con la persona autorizada, requiriéndose de forma específica el Acta/s de la Comunidad de Propietarios que contenga el apoderamiento o representación necesarias de quienes están registrados para las actuaciones contractuales descritas y consentir la recepción de publicidad; Con carácter general, medidas implantadas a los efectos de constatar tanto la identidad y verdadera condición de los usuarios que se registran en el portal web como titulares del contrato y personas autorizadas. Con fecha 26 de febrero de 2015 se registra solicitud de ampliación de plazo de la representación de ENDESA para localizar y aportar la información requerida, que se acuerda con fecha 3 de marzo de 2015 por un plazo de cinco días. Con fecha 12 de febrero de 2015 se solicita a la denunciante la práctica de las siguientes pruebas: - Remisión de la siguiente información o documentación: Identidad del titular del dominio del E.E.E., aclarando, en todo caso, su vinculación al uso del correo electrónico E.E.E.; Expresión de si en algún momento ha facilitado, en nombre propio o en representación de terceros, dicha cuenta de correo electrónico a ENDESA, con señalización de las finalidades para las que se proporcionó e indicación de si dicha empresa le comunicó y aceptó, o no, su uso con fines publicitarios; Vinculación de su persona con la Comunidad de Propietarios sita en la c/ G.G.G. (Girona); Motivo al que obedece que la mencionada cuenta de correo electrónico aparezca entre los datos registrados en el portal “ENDESA ONLINE” asociados al usuario de dicha Comunidad de Propietarios. En caso de actuar como representante legal o como persona autorizada de dicha Comunidad en el mencionado portal web se solicita aportación de documentación justificativa de la Comunidad de Propietarios en cuestión que acredite la representación ostentada que le permite a usted actuar como tal, con indicación de si ENDESA le ha solicitado justificación de tal apoderamiento e información sobre la titularidad de la cuenta de correo electrónico facilitada en el momento del registro o con posterioridad al mismo; Aclaración sobre si ENDESA le ha ofrecido a usted o a la Comunidad de Propietarios la posibilidad de oponerse al tratamiento de las mencionadas señas electrónicas con fines promocionales cuando recabó las mismas a través del portal web, señalando, en su caso, si se otorgó o negó dicho consentimiento; Se indicaba que los extremos informados deberían ser acreditados documentalmente o mediante cualquier otro medio de prueba válido en derecho. Asimismo, se comunicó a la denunciante la aceptación de la práctica de la prueba propuesta por dicha empresa consistente en remitirle el siguiente cuestionario a fin de que acredite los siguientes extremos:
  5. a)Si puso en conocimiento de la Agencia Española de Protección de Datos que no era cliente de Endesa y que el correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/25 electrónico E.E.E. fue facilitado por ella misma a Endesa;
  6. b)Si puso en conocimiento de la Agencia Española de Protección de Datos que dicho correo electrónico estaba asociado a una Comunidad de Propietarios sita en la calle D.D.D. (Girona);
  7. c)Si la titularidad del contrato de suministro del mencionado domicilio correspondía a la mencionada Comunidad de Propietarios.;
  8. d)Si tenía al día de la fecha en que se dio de alta el correo electrónico E.E.E. asociado al contrato de suministro de la referida Comunidad de Propietarios algún tipo de representación legal y contractual del titular del contrato de suministro para actuar contractualmente a nivel de comunicación con Endesa;
  9. e)En el supuesto de una respuesta afirmativa al apartado
  10. d)anterior, que acredite documentalmente dichos extremos de manera fehaciente.;
  11. f)Si ha comunicado en algún momento a la reseñada Comunidad de Propietarios como cliente y destinatario de la oferta comercial que estaba recibiendo dichas ofertas comerciales en ese correo y si resultaban o no del interés de la Comunidad de Propietarios.;
  12. g)En el supuesto de una respuesta afirmativa al apartado
  13. f)anterior que acredite documentalmente dichos extremos.;
  14. h)Si ha comunicado la denuncia formulada ante la Agencia Española de Protección de Datos de Carácter Personal a la citada Comunidad de Propietarios y, si ha tenido autorización de la misma para llevarla a cabo en nombre de la Comunidad de Propietarios citada. Con esa misma fecha 12 de febrero de 2015 se solicita al Presidente de la Comunidad de Propietarios anteriormente señalada, en la condición de cliente de la entidad imputada y como usuario del portal web “ENDESA ONLINE”, la práctica de las siguientes pruebas: - C/ Jorge Juan, 6 28001 – Madrid Remisión de la siguiente información o documentación: Vinculación de esa Comunidad con el correo electrónico M.M.M. E.E.E. que aparece, según manifestaciones de ENDESA, como dirección de contacto de su usuario en el portal web “ENDESA ONLINE”; Aclaración de si en el momento de contratar con ENDESA el suministro de energía eléctrica dicha empresa requirió a la persona que actuaba en representación legal de dicha Comunidad aportación de las Actas levantadas o de otra documentación justificativa de tal condición y del acuerdo de contratación del servicio; Aclaración de si en el momento de registrarse como usuario del portal web ENDESA requirió a quien actuaba en representación legal o como persona autorizada de dicha Comunidad aportación de las Actas levantadas o de cualquier otro documento justificativo de tal condición y del acuerdo de inscripción. Especialmente, se solicita indicación de si ENDESA ha requerido información sobre la titularidad de la mencionada dirección de correo electrónico en el momento del registro o después; Expresión de las finalidades para las que se proporcionó dicha cuenta de correo, con indicación tanto de si ENDESA les comunicó, o no, en el momento de su recogida su uso con fines publicitarios como si les ofreció, o no, la posibilidad de oponerse al tratamiento de dichas señas electrónicas con fines promocionales mediante un procedimiento sencillo y gratuito, solicitándose si se otorgó o negó tal consentimiento para recibir comunicaciones comerciales en la citada cuenta de correo; Vinculación de esa Comunidad con Dña. K.K.K., señalándose si ostenta algún tipo de representación legal respecto de dicha Comunidad de Propietarios, forma de obtención y alcance de la misma, en especial en lo que hace mención al uso de la cuenta de correo M.M.M. E.E.E. y a la autorización, o no, www.agpd.es sedeagpd.gob.es 9/25 que haya podido prestarse a ésta para recibir comunicaciones comerciales a través de la misma. o negarse a recibir Se adjuntaba copia de las comunicaciones comerciales enviadas por ENDESA a la reseñada cuenta de correo electrónico y de las confirmaciones de la baja en respuesta a las solicitudes de baja efectuadas desde la mencionada cuenta, requiriéndose se indicase si la negativa al uso de tales datos respondía a la voluntad de esa Comunidad. Asimismo, se comunicaba la aceptación de la práctica de la prueba propuesta por dicha empresa consistente en remitir escrito al Presidente de esa Comunidad de Propietarios para que respondiese y acreditase una serie de extremos, cuya transcripción literal es la siguiente:
  15. a)“Si les consta que eran clientes de Endesa en contrato de suministro de energía eléctrica en el año 2014.
  16. b)Si les consta que Doña. K.K.K., dispusiera de alguna representación otorgada en Junta de Propietarios y transcrita en Acta de la comunidad que representa algún tipo de apoderamiento para actuar contractualmente en nombre de la comunidad en lo referente al contrato de suministro eléctrico suscrito por la comunidad de propietarios en la comercializadora de Endesa.
  17. c)En el caso de responder afirmativamente a la anterior pregunta que se acredite documentalmente a través del Acta correspondiente el acuerdo de representación.
  18. d)Que se indique si doña K.K.K. estaba autorizada para poner como correo electrónico de comunicación con Endesa el siguiente: E.E.E. y , en caso afirmativo si puede acreditarlo.
  19. e)Que indique si doña K.K.K. comunicó a la Comunidad de Propietarios la interposición de una denuncia ante la Agencia de Protección de Datos n por no desear recibir comunicaciones comerciales de Endesa en el correo E.E.E.
  20. f)En caso afirmativo, si le indicó que dicha denuncia se hacía en nombre de la Comunidad de Propietarios o en su propio nombre y derecho.
  21. g)Que indique si doña K.K.K. comunicaba a la comunidad de propietarios el contenido de las ofertas comerciales que recibía de Endesa y la Comunidad le autorizó a no recibir ningún tipo de comunicación comercial.
  22. h)En caso afirmativo si puede ser acreditado tales extremos.” Esta última solicitud de práctica de pruebas resulta devuelta por el Servicio de Correos por “Ausente Reparto” en el domicilio de la Comunidad de Propietarios sito en c/ D.D.D. (Girona) y caducado en lista, siendo reiterada su práctica con fecha 24 de marzo de 2015 a la dirección de contacto de dicha Comunidad con la suministradora ENDESA, en el que es recibido con fecha 27 de marzo de 2015. No consta que la denunciante o el Presidente de la mencionada Comunidad de Propietarios hayan contestado al requerimiento de Práctica de Pruebas que les fue notificado con fechas 23 de febrero y 27 de marzo de 2015, respectivamente. SEXTO: Con posterioridad al acuerdo de ampliación de plazo acordado por la Instructora el 3 de marzo de 2015 para que ENDESA, según indicó en su solicitud, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/25 pudiera localizar y aportar la documentación requerida, dicha entidad presentó con fecha 18 de marzo de 2015 escrito de contestación a la práctica de pruebas requeridas señalando que aportaban la información que había podido ser recaba en sus sistemas “referente tanto a la comunidad de propietarios G.G.G. Girona, incluyendo el contrato de suministro, donde no consta haber sido suscrito por la denunciante, como de los datos del cliente que aparecen en nuestros sistemas, y sin que conste que la citada denunciante tenga autorización alguna para operar en nombre de la citada Comunidad de Propietarios. “ Respecto de la documentación aportada se observa que ENDESA no remite copia de toda la documentación que le fue requerida en la prueba referenciada como número 4 ni acredita documentalmente ninguno de los extremos que aparecen en la prueba referenciada como número 5, tal y como se desprende de la información aportada en respuesta a las mismas, no resultando, además, legibles las “Condiciones Generales del Contrato de Suministro de Energía Eléctrica” que figuran al dorso de las “Condiciones Particulares del Contrato de Suministro de Energía Eléctrica”. SÉPTIMO: Con fecha 18 de mayo de 2015 se formuló propuesta de resolución proponiendo la imposición de una sanción de 5.000 € (Cinco mil euros) a ENDESA ENERGÍA, S.A.U., por la comisión de una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  23. d)de dicha Ley. OCTAVO: Concedida con fecha 28 de mayo de 2015 ampliación de plazo para formular alegaciones a la propuesta de resolución, con fecha 19 de junio de 2015 se registra de entrada escrito de alegaciones de la representación de ENDESA solicitando el archivo de las actuaciones al no producirse vulneración alguna de la LSSI, lo que fundamenta, además de en las alegaciones efectuadas con anterioridad, en los siguientes argumentos: - C/ Jorge Juan, 6 28001 – Madrid Falta de antijuridicidad y ausencia de culpabilidad al no haber quedado acreditado que la Comunidad de Propietarios se haya opuesto al envío de comunicaciones comerciales, puesto que ni el Presidente de la misma ni la denunciante han contestado al requerimiento de prueba efectuado por la Agencia a propuesta de ENDESA, y en el que se incluyó la práctica de pruebas adicionales a instancia de la Instructora, constando ambos requerimientos como notificados. Se aduce que si se consideró necesario su realización a efectos de determinar los hechos enjuiciados y esclarecer la responsabilidad de ENDESA, la falta de actividad probatoria sobre la que fundamentar un juicio razonable de culpabilidad ante la falta de contestación aducida conlleva una insuficiencia en el resultado de las pruebas practicadas que, valoradas por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. www.agpd.es sedeagpd.gob.es 11/25 - Subsidiariamente, se solicita, la ponderación de la cuantía de la sanción aplicando lo dispuesto en los epígrafes a),
  24. b)y
  25. c)del artículo 39.bis 1 de la LSSI. Muestra su disconformidad frente a los motivos por los que no se consideró en la propuesta de resolución la existencia de una cualificada disminución de la culpabilidad de ENDESA o antijuridicidad del hecho, y señala que concurren, además, como atenuantes los criterios a), b),
  26. d)
  27. e)y
  28. f)del artículo 40 de la LSSI. Se cuestiona la aplicación del criterio de reincidencia en aplicación de la prescripción de las sanciones contemplada en el artículo 45 de la LSSI, considerando excesiva la sanción propuesta a la vista de las circunstancias aducidas, en especial la diligente actuación de ENDESA al realizar barridos en septiembre y noviembre de 2014 para verificar que las solicitudes habían sido atendidas correctamente. HECHOS PROBADOS PRIMERO: Con fecha 16 de septiembre de 2014 la denunciante comunica a esta Agencia la recepción de varias comunicaciones comerciales no deseadas con posterioridad a que ENDESA le hubiera confirmado la baja de la cuenta de correo electrónico J.J.J..com de su lista de distribución de comunicaciones. (folios 1 al 25) SEGUNDO: Consta que la denunciante recibió con fechas 17, 18 y 25 de julio, 1 de agosto y 15 de septiembre de 2014 sendas confirmaciones de baja de las comunicaciones de A.A.A., en las que se indicaba que la dirección J.J.J..com había sido borrada de la lista de distribución de nuestras comunicaciones. (folios 15 al 19) TERCERO: Con fecha 18 de julio de 2014 la denunciante remitió a “Endesa Online” desde la cuenta E.E.E. solicitud de cancelación del citado correo electrónico y de sus datos identificativos ( K.K.K.), a la par que manifestaba su voluntad de no recibir más información en su dirección electrónica. (folio 13) CUARTO: Consta que con fechas 31 de julio de 2014 y 15 de septiembre de 2014 se remitieron dos comunicaciones comerciales por ENDESA desde la dirección de correo electrónico A.A.A. a la cuenta de correo electrónico E.E.E.. Los envíos ofrecían un enlace de baja con la leyenda “si no desea recibir emails de Endesa pulsa L.L.L.”, la cual estaba acompañada de la siguiente advertencia: “Por favor, no utilices esta dirección de correo para ponerte en contacto con Endesa” (folios 4 al 6 y 20 al 25). QUINTO: ENDESA ofrece a sus clientes el canal “ENDESA ONLINE” para la gestión de sus contratos y facturas. (folio 28) SEXTO: En las “Condiciones Particulares del Contrato de Suministro de Energía Eléctrica” suscrito por la Comunidad de Propietarios G.G.G. (Girona) con ENDESA el 17 de diciembre de 2009 no figura cumplimentado el dato correspondiente al E-mail (folios 123 y 124) SÉPTIMO: ENDESA ha aportado impresión del fichero de clientes correspondiente a la Comunidad de Propietarios G.G.G. (Girona), en el que consta como dato de contacto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/25 el e -mail J.J.J..com. (folio 126) OCTAVO: El correo electrónico J.J.J..com fue facilitado a través de la opción “Modificar Mis Datos” del portal ENDESA ONLINE , para cuyo acceso se requiere la utilización de usuario y contraseña. (folios 29 y 56) NOVENO: Con fecha 17 de diciembre de 2014 la dirección de correo electrónico E.E.E. constaba marcada como Robinson en los sistemas de ENDESA al objeto de no enviar comunicaciones comerciales. (folios 30 y 69) FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
  29. d)e
  30. i)y 38.4 d),
  31. g)y
  32. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21.1 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/25 relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI, también en la redacción dada por la mencionada Ley de Telecomunicaciones, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación del consentimiento expreso o solicitud previa, salvo que exista una relación contractual anterior y el sujeto no haya manifestado su voluntad en contra. Así, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/25 Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
  33. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
  34. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
  35. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. Por otro lado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
  36. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
  37. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/25 servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros representen una actividad económica, los siguientes: (…) y siempre que 4º El envío de comunicaciones comerciales. ” (…)”. Según el apartado
  38. d)del citado Anexo, “Destinatario del servicio” o ”destinatario” es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
  39. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV En el presente supuesto a través de las actuaciones practicadas en el procedimiento ha quedado acreditado que ENDESA remitió, con fechas 31 de julio y 15 de septiembre de 2014, desde la cuenta de correo electrónico A.A.A. dos comunicaciones comerciales a la dirección de correo electrónico E.E.E. sin contar con el consentimiento previo y expreso del destinatario de las mismas, conforme prueban las cinco confirmaciones de baja del reseñado e-mail que la denunciante acredita fueron enviadas por ENDESA en respuesta a sus solicitudes de baja, y en las que se indicaba al destinatario que dicha cuenta de correo electrónico había sido borrada de la lista de distribución de sus comunicaciones, la primera de las cuales tiene fecha de 17 de julio de 2014. Por lo tanto, los dos envíos remitidos con fechas 17 de julio y 15 de septiembre de 2014 se efectuaron sin mediar consentimiento expreso de su destinatario para ello, puesto que en esas fechas ENDESA ya conocía que éste había manifestado su oposición al tratamiento de sus datos con fines promocionales, anulando de esta forma cualquier autorización que anteriormente hubiera podido prestar con tal finalidad y haciendo inaplicable la excepción al consentimiento derivada de la existencia de una relación contractual previa entre ambas partes. Según ENDESA no se produce antijuridicidad ni culpabilidad en su conducta debido a que no consta que el destinatario de los envíos, entendiendo como tal a la Comunidad de Propietarios de c/ H.H.H. Girona, haya manifestado su negativa a recibir comunicaciones comerciales al no tener e-mail informado en los sistemas comerciales de ENDESA y dado que, además, se está ante un caso de falta de legitimación para denunciar al no estar probado que el e-mail facilitado por la denunciante goce de la debida autorización y representación contractual. Frente a dichos argumentos, aducidos frente al acuerdo de inicio, se resalta que ENDESA ha aportado impresión de la información obrante en su fichero de clientes referida a la citada Comunidad de Propietarios, en la que junto a los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/25 correspondientes a la razón social, identificador, tipo de cliente, estado y teléfono móvil asociados al mencionado cliente también aparece el correo electrónico E.E.E. (folio 126). Este dato, según documentación obrante en el Acta de Inspección levantada con fechas 17 y 18 de diciembre de 2014 (folio 56), se obtuvo a través de la Oficina Online de ENDESA mediante la opción “Modificar Mis Datos “ de la cuenta online del cliente, que no es otro que la citada Comunidad de Propietarios, acción que requiere, por otra parte, la introducción de usuario y clave registrados. Es decir, la introducción del dato únicamente pudo realizarse por persona que conocía las claves de acceso a la cuenta on-line de cliente. De esta forma, ENDESA disponía de la información correspondiente al destinatario de las dos comunicaciones comerciales analizadas a través del perfil online del cliente. A la vista de las alegaciones efectuadas por esa empresa cuestionando la representatividad de la denunciante, la mencionada circunstancia es relevante no sólo porque la modificación en cuestión requiere un acceso restringido del cliente a su propia cuenta on-line, sino también porque no consta que ENDESA en el momento en que se facilitó el correo electrónico, ni con posterioridad a dicha modificación, adoptase ninguna medida tendente a comprobar las mismas cuestiones que alegada. De hecho, a pesar de haberle sido requerida a esa empresa por esta Agencia durante el período de pruebas la justificación de la realización por su parte de las comprobaciones consistentes en verificar que la incorporación del dato, que se facilitó a través de una opción proporcionada en el portal web de la entidad, se estaba realizando por la persona que ostentaba la representación estatutaria y legal del cliente para ello, la identidad del titular del correo electrónico facilitado o su relación con el cliente y si estaba autorizada por éste. Sin embargo, de lo actuado consta que no obstante las objeciones expuestas por ENDESA sobre la representatividad de la denunciante, resulta que esa mercantil incluyó dicha información como dato de contacto en su fichero de clientes y dirigió comunicaciones comerciales a esa cuenta de correo electrónico tanto antes como después de las confirmaciones de baja de la misma. Tampoco hay que olvidar que las confirmaciones de baja aportadas respondían al uso por parte del destinatario de los envíos del mecanismo habilitado por esa empresa en los propios envíos para que los destinatarios de los correos electrónicos comerciales puedan oponerse al tratamiento de sus datos con fines promocionales. Sin perjuicio de lo anterior, se recuerda que a los efectos que nos ocupan la cuestión a dilucidar no se centra, como pretende ENDESA, en la legitimación del denunciante para comunicar la recepción de comunicaciones comerciales no autorizadas en una determinada cuenta de correo electrónico, sino que gira en torno a la posible vulneración por esa empresa de la prohibición de remitir comunicaciones comerciales por correo electrónico a un destinatario que consta había manifestado su oposición a la recepción de las mismas. Todo ello, con independencia de que dicho destinatario tenga la condición de persona física o jurídica, -puesto que conforme al apartado
  40. d)del Anexo de la LSSI ambas gozan de esa condición-, no afectando tampoco que sea o no cliente del prestador del servicio de la sociedad de la información, aunque de serlo no resultaría de aplicación la excepción al consentimiento contenida en el artículo 21.2 de la LSSI al estar acreditado que el destinatario utilizó el enlace de baja al menos en cinco ocasiones para oponerse a recibir nuevos correos electrónicos publicitarios en esas señas, ni resultando relevante a los efectos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/25 estudiados que sea o no representante legal de dicho cliente y haya, o no, acreditado obrar en representación del mismo . Precisamente en relación con esta última cuestión, ENDESA insiste en sus alegaciones a la propuesta de resolución en que dicho acto vulnera el principio de presunción de inocencia al proponer sancionar por unos hechos que no están plenamente probados por no haberse practicado la prueba que la instructora consideró pertinente y adecuada para determinar los hechos objeto de supuesta infracción y esclarecer la responsabilidad de ENDESA. Efectivamente, la Instructora, conforme a lo previsto en los artículos 81.3 y 137.4 de la de Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJ-PAC), aceptó la práctica de las pruebas propuestas por ENDESA y acordó, también, la práctica de otras que estimo convenientes a los efectos de la determinación de los hechos y posibles responsabilidades, y cuyo detalle figura en el Antecedente de Hecho Quinto de esta resolución junto con el resultado de las mismas. Esta circunstancia, derivada de la existencia de otras pruebas distintas, conlleva que la falta de contestación a las pruebas cuya práctica les fue requerida al Presidente de la Comunidad de Propietarios y la denunciante no determine, como aduce la entidad imputada, una insuficiencia en el resultado de las pruebas practicadas que impida justificar la responsalibidad de ENDESA en la comisión de los hechos imputados. Así, obran en el expediente, como resultado de las actuaciones practicadas en la instrucción del mismo, suficientes elementos de prueba que permiten fijar los hechos que se consideran constitutivos de la infracción al artículo 21.1 de la LSSI imputada y motivar la responsabilidad de ENDESA en la comisión de los mismos. De este modo, consta acreditado tanto el envío inconsentido por ENDESA de dos comunicaciones comerciales a una cuenta de correo electrónico asociada en sus sistemas a un cliente de la entidad, como que la información correspondiente a la dirección de correo electrónico destinataria de las comunicaciones se obtuvo a través del perfil on-line del cliente cuando éste modificó los datos de su cuenta introduciendo su usuario y contraseña. Todo lo cual lleva a rechazar que se haya vulnerado el principio de presunción de inocencia recogido en el artículo 137 de la LRJPAC, precepto que establece que: “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.”, al igual que tampoco se ha conculcado, como se desarrollará más adelante, el artículo 130.1 de la LRJPAC que establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia.”. V En apoyo de las consideraciones anteriores, conviene traer a colación lo señalado por la Audiencia Nacional en su sentencia de fecha 18 de octubre de 2013, Rec. nº 162/2012, al señalar: “En el supuesto que nos ocupa, ha quedado acreditado que la entidad recurrente remitió más de 47 e-mails publicitarios a la denunciante desde octubre hasta diciembre de 2010, con posterioridad a la solicitud y confirmación de la cancelación de los datos de la denunciante, por lo que ha de considerarse infringido el citado precepto, al no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/25 contar con el consentimiento de la destinaria. Por otro lado, aunque en este supuesto hubiese existido una relación comercial previa con la destinataria, ésta no le habilita a remitir publicidad comercial cuando el cliente ha manifestado, como es el caso que nos ocupa, su expreso deseo de no recibirla, pues la excepción prevista en el apartado segundo del citado art. 21 de la Ley 34/2002, de 11 de julio, establece expresamente la posibilidad de ofrecer al destinatario “la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija”. Más en el presente supuesto en que se había procedido a la cancelación de los datos de la denunciante. Carece de relevancia, por tanto, el sistema que para los envíos publicitarios tuviera establecido la entidad recurrente, pues no se trata tanto de cuestionar el tratamiento indebido de datos sino de impedir el envío de publicidad no consentida, para lo cual la empresa dispuso de tiempo suficiente para articular los mecanismos correctores necesarios para evitar que se siguiera mandando publicidad comercial a la denunciante” Junto a lo ya indicado, se recalca que ENDESA no ha acreditado mediante ningún medio de prueba que los dos envíos comerciales de fechas 31 de julio de 2014 y 15 de septiembre de 2014 se efectuaran mediando autorización expresa o solicitud previa del destinatario de los mismos de fecha posterior a las solicitudes y confirmaciones de baja. A mayor abundamiento, y respecto de la falta de legitimación para denunciar, se observa que tanto las actuaciones previas de investigación como la apertura del procedimiento sancionador se realizan de oficio, con arreglo a lo dispuesto en los artículos 122 al 127 del Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la LOPD. Por tanto, es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que han de ser depuradas y, en consecuencia, adoptar la decisión tanto de la realización de actuaciones previas de investigación como, en su caso, finalizadas éstas, acordar el archivo de las mismas o la incoación de apertura de procedimiento sancionador, en el que se realizará una descripción sucinta de los hechos imputados, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio delo que resulte de la instrucción del procedimiento. En relación con dicho inicio se recuerda que el artículo 11.1 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, dispone que: “1. Los procedimientos sancionadores se iniciarán siempre de oficio, por acuerdo del órgano competente, bien por propia iniciativa o como consecuencia de orden superior, petición razonada de otros órganos o denuncia.”, siendo competencia exclusiva de la AEPD valorar si existen responsabilidades administrativas que han de ser depuradas e identificar al posible infractor. Además, no ha existido indefensión material dado que ENDESA ha dispuesto hasta el momento actual del procedimiento de todos los derechos y garantías previstas en el ordenamiento jurídico para la defensa de sus derechos. Así, durante las actuaciones previas de inspección, concretamente durante la realización de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/25 inspección, tuvo acceso a una copia de las confirmaciones de baja aportadas por la denunciante y copia de los correos electrónicos recibidos y de las cabeceras de Internet facilitadas. Asimismo, en el acuerdo de inicio de procedimiento sancionador se designó Instructora y Secretario con indicación de la posibilidad de recusar, en su caso, a los mismos, conforme a lo establecido en el artículo 29 de la LRJAP, se identificó a la persona jurídica presuntamente responsable, que fue informada de los hechos imputados, de la calificación jurídica de estos hechos, de la posible sanción que pudiera imponerse, de la autoridad competente para imponerla y de su derecho a formular alegaciones y proponer prueba. ENDESA, por tanto, conoció en detalle los hechos que se le imputaban y su alcance desde el punto de vista de la LSSI, habiendo hecho uso de su derecho a la defensa mediante la formulación de escrito de alegaciones a dicho acuerdo de inicio y la propuesta de una serie de pruebas cuya práctica se aceptó, motivos todos ellos por los que se considera que no se han vulnerado las garantías constitucionales previstas en el artículo 24 de la Constitución Española ni se ha impedido la aplicación efectiva del principio de contradicción. En consecuencia, de lo razonado ha quedado probado que la entidad imputada ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI al haber enviado dos comunicaciones comerciales no consentidas al correo electrónico E.E.E., ambas con posterioridad a las solicitudes de baja efectuadas desde esas señas electrónicas. VI Respecto de la alegación de ENDESA de falta de responsabilidad en su conducta por inexistencia de culpa o negligencia, esta alegación, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/25 No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  41. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En este orden de ideas, aunque en el presente caso no puede acreditarse una conducta dolosa por parte de la entidad imputada, sin embargo, con arreglo a lo actuado, ha quedado probada la responsabilidad de ENDESA en la comisión de la infracción del artículo 21 de la LSSI a título de culpa, ya que ésta empresa no mostró, con anterioridad a la realización de los envíos estudiados, la diligencia y el deber de cuidado que le eran exigibles para asegurarse de que, una vez confirmado el borrado de la lista de distribución, se habían adoptado todas las medidas necesarias en sus sistemas para no enviar nuevas comunicaciones comerciales a la cuenta de correo E.E.E.. Por lo tanto, cabe pensar que actuando de otro modo y desplegando toda la diligencia que le era exigible hubiera podido evitarse el tratamiento de las señas electrónicas del destinatario de los envíos con finalidades publicitarias sin su autorización, lo que lleva a considerar la existencia del elemento de culpabilidad en la conducta de esa empresa en el ilícito administrativo imputado , máxime cuando se trata de una entidad que en el desarrollo de su actividad empresarial utiliza habitualmente los medios de comunicación electrónica y similares con fines publicitarios, resultándole exigible el conocimiento de la norma aplicable. A tenor de lo cual, queda enervado el alegato de falta de antijuridicidad y ausencia de culpabilidad de ENDESA, ya que no puede dejar de valorarse que el destinatario de la publicidad se opuso expresamente a su recepción y la entidad denunciada le comunico que se había gestionado tal petición y a pesar de ello siguió recibiendo comunicaciones comerciales. VII El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/25 De acuerdo con lo establecido en los apartados 3.
  42. c)y 4.
  43. d)del artículo 38 de la LSSI actualmente en vigor, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  44. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
  45. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, a la vista de los hechos que han resultado acreditados en la tramitación del procedimiento sancionador, la conclusión que se despende de los hechos y fundamentos de derecho anteriores es que la infracción del artículo 21.1 de la LSSI que se imputa a ENDESA ha de calificarse como infracción leve a lo previsto en el artículo 38.4.
  46. d)de la vigente LSSI, puesto que la remisión de los correos electrónicos comerciales no consentidos objeto de estudio no puede calificarse como envío insistente o sistemático de comunicaciones comerciales no solicitadas por medios electrónicos por parte de dicha entidad a su destinatario. VIII Según establece el art. 39.1, apartados
  47. b)y c), de la LSSI, las infracciones graves podrán ser sancionadas con multa de 30.001 hasta 150.000 € y las leves, con multa de hasta 30.000 €, fijando los criterios para su graduación los artículos 39 bis y 40 de la misma norma, que disponen lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  48. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
  49. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  50. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  51. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  52. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/25 lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  53. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  54. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador, por dicho incumplimiento.” “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  55. a)La existencia de intencionalidad.
  56. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  57. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  58. d)La naturaleza y cuantía de los perjuicios causados.
  59. e)Los beneficios obtenidos por la infracción.
  60. f)Volumen de facturación a que afecte la infracción cometida.
  61. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. Atendido que nos encontramos frente a la comisión de una infracción calificada como leve no procede la minoración de las sanciones contemplada en el artículo 39 bis 1 de la LSSI, sin que en este caso pueda apreciarse una cualificada disminución de la culpabilidad en tanto que no debe olvidarse la habitualidad con la que la entidad imputada utiliza los medios de comunicación electrónica con fines comerciales, lo que obliga a la misma a ser especialmente conocedora de las exigencias recogidas en el artículo 21 de la LSSI y, consecuentemente, a actuar con el rigor y diligencia que le resultan exigibles para adoptar las medidas y controles que hagan posible atender, en forma segura y real, las solicitudes de baja de los destinatarios de este tipo de envíos en evitación de envíos de comunicaciones comerciales no autorizadas por los mismos. En congruencia con lo cual, la mera confirmación de las solicitudes de baja mediante una respuesta automática no supone, como pretende ENDESA, la efectiva atención del derecho de oposición manifestado por la denunciante a recibir comunicaciones comerciales en sus señas electrónicas, aunque sí prueba que dicha entidad, no obstante ser conocedora de su negativa, continuó remitiéndole envíos publicitarios a las señas electrónicas que supuestamente habían sido borradas de la lista de distribución de las comunicaciones comerciales de esa empresa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/25 A mayor abundamiento, se recuerda que el prestador de servicios de la sociedad de la información debe atender el derecho de oposición que los destinatarios de los envíos comerciales ejercen a través de los mecanismos que la LSSI le obliga a habilitar en las propias comunicaciones, motivo por el cual, a los efectos de la ejecución de la baja, resulta irrelevante que la denunciante no hubiera facilitado los datos del cliente al que “supuestamente representa y al que estaba asociada la citada dirección de correo electrónico y haber acreditado la representación del mismo para dicho fin”. Tampoco consta ninguna conducta de la misma que pueda inducir a la comisión de la infracción, fundamentalmente si se valora que ENDESA registró el correo electrónico J.J.J..com en su fichero de clientes como dato de contacto de la Comunidad de Propietarios I.I.I. sin realizar ninguna acción tendente a acreditar dichas circunstancias que ahora pretende necesarias para hacer efectivo el registro de las solicitudes de baja y justificar la falta de atención de las mismas. En todo caso, la cancelación de la cuenta F.F.F. por parte de ENDESA, al menos dos meses después de la confirmación de la baja el 17 de julio de 2014, ya que dicha entidad no ha podido fijar la fecha exacta de la baja, si bien debió producirse, según parece, en el barrido de septiembre de 2014 al no figurar el citado correo en los envíos del 18 de septiembre de 2014, debe encuadrarse en la obligación que le incumbe, en su condición de prestador de servicios de la sociedad de la información, de hacer efectivo el derecho a no recibir comunicaciones comerciales no deseadas en sus señas electrónicas. Por lo cual no se estima se cumplan los epígrafes a),
  62. b)y
  63. c)del artículo 39.bis 1 de la LSSI. En relación a los criterios de graduación de las sanciones recogidos en el citado artículo 40, en este supuesto, se considera que operan como agravantes los supuestos
  64. a)
  65. b)y
  66. c)del mismo. El primer criterio se justifica en que la inexistencia de dolo o intencionalidad no conlleva la ausencia de culpa, que en este caso deriva de la clara falta de diligencia mostrada en su conducta conforme ya se ha expuesto en anteriores Fundamentos de Derecho. El supuesto
  67. b)en razón de que los envíos se llevaron a cabo en el plazo de los dos meses siguientes a la primera de las confirmaciones de la baja de la mencionada cuenta de correo electrónico de la lista de distribución de sus comunicaciones de fecha 17 de julio de 2014. El supuesto
  68. c)se cumple atendida la reincidencia derivada de la comisión de una infracción al artículo 21.1 de la LSSI con motivo de la Resolución R/01771/2010, acordada por esta Agencia con fecha 2 de septiembre de 2010 en el PS/00279/2010, en virtud de la cual se impuso a ENDESA una multa de 600 euros, actualmente firme en vía administrativa. En relación con este último supuesto no debe confundirse la prescripción de un año establecida en el artículo 45 de la LSSI para la ejecución de las sanciones leves, precepto que debe ponerse en relación con lo dispuesto en el artículo 132 de la LRJ-PAC, con la reincidencia derivada de la comisión de infracciones de la misma naturaleza cuando las resoluciones hayan adquirido firmeza, como ocurre con la resolución citada anteriormente, en la que sólo se imputaba en envío de una única comunicación comercial al margen de lo dispuesto en el artículo 21.1 de la LSSI después de contestar la solicitud de oposición, mientras en este caso se remitieron dos comunicaciones comerciales no autorizadas. A su vez, de conformidad con los criterios de graduación de las sanciones recogidos en los apartados
  69. d)y
  70. e)del citado artículo 40, se tienen en cuenta como atenuantes las circunstancias derivadas de la falta de constancia de que la denunciante haya sufrido perjuicios derivados de la recepción de los citados correos comerciales o que ENDESA haya obtenido beneficios con motivo de la comisión de la infracción del artículo 21.1 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/25 En cumplimiento del principio de proporcionalidad, y a la vista de lo razonado en la valoración de los criterios enunciados, se estima adecuado a la gravedad de los hechos imputados la imposición de una sanción a ENDESA de 5.000 euros, multa que está próxima al mínimo establecido para este tipo de infracciones. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ENDESA ENERGÍA, S.A.U., por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
  71. d)de la LSSI, una multa de 5.000 € (Cinco mil euros), de conformidad con lo establecido en los artículos 39.1.
  72. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a ENDESA ENERGÍA, S.A.U. y a Dña. K.K.K.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/25 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.