PS-00698-2015

1/15 Procedimiento Nº PS/00698/2015 RESOLUCIÓN: R/01325/2016 En el procedimiento sancionador PS/00698/2015, instruido por la Agencia Española de Protección de Datos a la entidad CRUZ ROJA ESPAÑOLA, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 4 de julio de 2015 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por D. A.A.A. (en lo sucesivo el denunciante), en la que manifiesta lo siguiente: 1. No ha autorizado o solicitado el envío de correos electrónicos comerciales de CRUZ ROJA ESPAÑOLA (en lo sucesivo CRUZ ROJA) 2. Recibió los días 3 y 5 de julio de 2015 en la dirección de correo ......@hotmail.com correo comercial no solicitado de CRUZ ROJA. Como respuesta a la solicitud de subsanación remitida por esta Agencia, con fecha de 19 de agosto de 2015 tiene entrada en esta Agencia un escrito del denunciante en el que aporta las cabeceras completas de los correos electrónicos aportados en su anterior escrito. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a CRUZ ROJA, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones previas de inspección E/4984/2015 que se transcribe: “HECHOS CONSTATADOS 1. El denunciante recibió en su cuenta de correo ......@hotmail.com los correos electrónicos cuyas características se listan a continuación. Cuenta origen IP origen Fecha cruzroja@news.cruzroja.es ***IP.1 3/7/2015 Hora 18:04 cruzroja@news.cruzroja.es ***IP.2 5/7/2015 4:51 Los correos electrónicos contenían información comercial referente al sorteo solidario de la Cruz Roja. Los correos electrónicos disponen de información sobre el cómo solicitar la baja de la lista de destinatarios en forma de enlace con el texto “Cancelar suscripción”. 2. El dominio cruzroja.es está registrado a nombre de CRUZ ROJA ESPAÑOLA. 3. El denunciante aporta junto al escrito de denuncia un escrito de CRUZ ROJA ESPAÑOLA fechado el día 3 de marzo de 2015 en el que informan al denunciante que Atendiendo a su solicitud de cancelación proceden al bloqueo de sus datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 También aporta junto al escrito de fecha de entrada 21 de septiembre de 2015 una impresión de pantalla del registro en la lista Robinson de la Asociación Española de Economía Digital de la dirección de correo electrónico ......@hotmail.com, no constando la fecha de alta en dicha lista. (Nota: por error de transcripción no se hizo contar la fecha de alta que fue 04/08/2009) 4. En respuesta a la solicitud de información realizada por el inspector actuante, los representantes de CRUZ ROJA ESPAÑOLA remitieron un escrito en el que manifestaron, en referencia al envío del correo electrónico en cuestión, que: 4.1. La dirección de correo electrónico ......@hotmail.com se corresponde, según sus archivos informáticos, con el ex voluntario de esa entidad D. A.A.A., el cual causó alta en la organización en fecha 1 de febrero de 2003 según consta en la ficha de inscripción de voluntario suscrita por él mismo a través de la cual les facilitó sus datos personales en su momento. En dicha ficha de inscripción de voluntario, no consta dicha dirección de correo electrónico, la cual la facilitó verbalmente algún tiempo después en un momento que no se puede concretar, con la finalidad de agilizar las vías de comunicación entre Cruz Roja y el propio voluntario. Del acto de comunicación de la dirección de correo electrónico, al haberse realizado verbalmente, no disponemos de soporte documental alguno. 4.2. La relación entre Cruz Roja Española y el titular de la cuenta de correo antes señalada se ha desarrollado en ejecución de su labor de voluntariado. Aportan copia de la ficha completa de la persona que consta como titular de la cuenta de correo electrónico señalada, incluyéndose en ella todos los datos personales obrantes en la entidad que se encuentran asociados a dicha dirección de correo electrónico. Tras diversos hechos acaecidos con posterioridad durante el ejercicio de su labor voluntaria motivaron la apertura de un expediente disciplinario a esta persona (en noviembre de 2014) que fue resuelto por el Comité provincial de Ávila y que, tras formular el sancionado el oportuno recurso ante la Comisión nacional de Garantías, de Derechos y Deberes de Cruz Roja Española, culminó con una Resolución en firme que decretaba la expulsión temporal de dicho voluntario de la Institución por el tiempo de dieciocho meses. 4.3. Tras la suspensión decretada, esta persona se dirige a esa Institución -a través de la página web (www.cruzroja.

1. es)para, entre otros, solicitar cancelación de sus datos. Posteriormente se le contesta que se procede a bloquear los datos, por el plazo de duración de la sanción disciplinaria impuesta, con la finalidad de evitar que se pudiera soslayar su incumplimiento. Aportan copia de la carta remitida al interesado fechada el día 3 de marzo de 2015 en la que le informan de proceden al bloqueo de sus datos personales. Aportan una impresión de pantalla denominada LEY DE PROTECCION DE DATOS en la que constan los datos del denunciante, lo que indica que sus datos están bloqueados según manifiesta el representante de CRUZ ROJA ESPAÑOLA. 4.4. Con respecto al boletín informativo que ha recibido, manifiestan que no se trata de publicidad puesto que informa de la disponibilidad de los boletos del sorteo de oro pero con la finalidad añadida de poder descargar un juego solidario o visualizar un video explicativo sobre el mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 Después de la recepción de este boletín informativo han recibido un nuevo mensaje de correo electrónico en el que se opone a la recepción de estas publicaciones (no consta que hubiera presionado la pestaña de "cancelar suscripción" que le aparecía en la parte superior derecha de la publicación que ha recibido). Seguidamente han procedido a la eliminación de su dirección de correo electrónico de la base de datos de envíos.” TERCERO: Con fecha 17/12/2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CRUZ ROJA por la presunta infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4.
2. d)de la citada Ley. CUARTO: Notificado el citado Acuerdo de inicio, el denunciante solicitó su personación en el mismo como interesado y presentó las siguientes alegaciones: 1ª.Su dirección de correo ......@hotmail.com figura inscrita en Lista Robinson desde 04/08/2009. 2ª.CRUZ ROJA le confirmó el bloqueo y cancelación de sus datos en fecha 03/03/2015 y por lo tanto sus dos envíos posteriores constituyen infracción a la LSSI. CRUZ ROJA estaba en posesión del dato de su dirección de correo ......@hotmail.com a pesar de afirmar desconocer su procedencia. 3ª.- Los correos electrónicos recibidos tienen un contenido publicitario. 4ª.Graduación de la sanción tomando en consideración determinados agravantes en la conducta de la imputada. QUINTO: Notificado el citado Acuerdo de inicio, CRUZ ROJA presentó las siguientes alegaciones: 1ª.El denunciante era usuario de la red interna de CRUZ ROJA (intranet) por lo que él mismo se podía haber autoexcluido de los envíos denunciados, cosa que no hizo. 2ª.El boletín informativo que recibió se dirige a los miembros de la institución (socios, voluntarios, donantes) con el fin de mantener una relación periódica de información institucional. La información contenida sobre la existencia de los boletos del sorteo del oro no puede entenderse como una acción publicitaria directa ya que dicho sorteo no está catalogado como lotería o producto de juego sino como una forma de colaboración solidaros. No obstante las comunicaciones tienen un procedimiento para solicitar la baja de los destinatarios simplemente pulsando la opción “cancelar suscripción”, cosa que el denunciante no realizó en ningún momento. Asimismo existía una relación contractual previa entre las partes que exime del consentimiento para el envío de las comunicaciones comerciales. Al prestar el consentimiento para el tratamiento de datos simultáneamente a su incorporación como voluntario se le puso en conocimiento que sus datos también se utilizarían para el envío de información sobre actividades o acciones de la institución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 SEXTO: En fecha 29/04/2016 se emitió propuesta de resolución en el sentido de imponer a CRUZ ROJA una multa de 1.100 € por la infracción del artículo 21.1 de la LSSI. SEPTIMO: Notificada la propuesta a las partes, el denunciante en el que solicita la confirmación de la sanción propuesta. Por su parte CRUZ ROJA pone de manifiesto que se trata de una entidad de carácter altruista y de voluntariado, así como que no estaba obligada a consultar la Lista Robinson por cuanto existía una relación entre el denunciante (voluntario) y la institución. Por otra parte alega que se trata de un error excusable ya subsanado pues se bloquearon todos los datos del denunciante y se han modificado las aplicaciones de bases de datos para evitar situaciones como la denunciada. HECHOS PROBADOS PRIMERO: La dirección de correo del denunciante ......@hotmail.com figura inscrita en Lista Robinson desde 04/08/2009 (folios 42-43, 46-47) SEGUNDO: En fecha 20/01/2003 el denunciante se inscribió como voluntario de CRUZ ROJA mediante la cumplimentación de una ficha de inscripción en la cual constan sus datos personales (nombre y apellidos, DNI, domicilio, teléfono…). En la ficha no consta dirección de correo electrónico. CRUZ ROJA confirma que la dirección ......@hotmail.com fue facilitada posteriormente por el denunciante para agilizar las comunicaciones con la entidad. En fecha 19/12/2014 la dirección de correo electrónico del denunciante ......@hotmail.com consta en su expediente de voluntario aportado al procedimiento por CRUZ ROJA. (folios 53-53, 116) TERCERO: Mediante carta de fecha 03/03/2015 CRUZ ROJA informó al denunciante que atendiendo a su solicitud de cancelación procedían al bloqueo de sus datos personales en sus ficheros (folios 3, 79) CUARTO: El denunciante recibió en su cuenta de correo ......@hotmail.com los correos electrónicos remitidos por CRUZ ROJA cuyas características se listan a continuación. Cuenta origen IP origen Fecha Hora cruzroja@news.cruzroja.es ***IP.1 3/7/2015 18:04 cruzroja@news.cruzroja.es ***IP.2 5/7/2015 4:51 Los correos electrónicos contienen una “newsletter” con noticias sobre la institución incluyendo además la siguiente información: “El Sorteo de Oro te invita a probar el juego más solidario En solidaridad, tú juegas un papel importante. Por eso el Sorteo de Oro de Cruz Roja tiene mucho que ver contigo. Lo puedes comprobar mirando y compartiendo el video del sorteo más solidario del mundo. Y este año, además, con el Sorteo de Oro puedes probar el juego más solidario: captura estrellitas en tu ordenador, tableta o móvil, mientras conoces de un vistazo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 todos los proyectos y acciones que llevamos a cabo en Cruz Roja.” Los correos electrónicos disponen de información sobre el cómo solicitar la baja de la lista de destinatarios en forma de enlace con el texto “Cancelar suscripción” (folios 1-9, 15-27) QUINTO: El dominio cruzroja.es está registrado a nombre de CRUZ ROJA (folios 92-93) FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
3. d)e
4. i)y 38.4 d),
5. g)y
6. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. La LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
7. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
8. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
9. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. El concepto de comunicación comercial, de acuerdo con la definición recogida en el Anexo f), párrafo primero de la LSSI, engloba todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 profesional. Por otro lado, la LSSI en su Anexo
10. a)define “Servicio de la Sociedad de la Información” como “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios”. Añade el referido apartado que el envío de comunicaciones comerciales es un servicio de la sociedad de la información, siempre que represente una actividad económica. Según el apartado
11. d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
12. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. En este punto alega CRUZ ROJA que los citados correos no pueden catalogarse como comunicaciones comerciales stricto sensu ya que se informa sobre la existencia de los boletos del sorteo del oro pero con la finalidad de poder descargar un juego solidario o visualizar un video explicativo sobre la labor de CRUZ ROJA. No cabe aceptar tal argumento por cuanto en los correos se promociona el Sorteo del Oro cuyo fin es la recaudación de fondos para la organización, y de manera directa se promociona la imagen y servicios de CRUZ ROJA. Esta cuestión fue analizada en el Informe Jurídico 0538/2008 del Gabinete Jurídico de la Agencia el cual señala: Esta cuestión ha sido analizada por el Grupo de Trabajo creado por el artículo 29 de la Directiva 95/46/CE en su Dictamen 5/20014 sobre comunicaciones no solicitadas con fines de venta directa con arreglo al artículo 13 de la Directiva 2002/58/CE, de 27 de febrero de 2004, en cuyo apartado 3.3 se indica lo siguiente: No existe una definición de venta directa ni en las directivas específicas sobre protección de datos ni en las directivas generales. Sin embargo, existe una descripción de fines de venta/comercialización en el considerando 30 de la Directiva 965/46/CE, que establece que <<los estados miembros pueden asimismo establecer previamente las condiciones en que pueden efectuarse comunicaciones de datos personales a terceros con fines de prospección comercial o de prospección realizada por una institución benéfica u otras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 asociaciones o fundaciones, por ejemplo de carácter político, dentro del respeto de las disposiciones que permiten a los interesados oponerse, sin alegar motivos y sin gastos, al tratamiento de los datos que les conciernan>> El Grupo de trabajo considera que el artículo 13 de la Directiva engloba en consecuencia, toda forma de promoción de ventas, incluida la prospección comercial directa realizada por organizaciones benéficas o de carácter político (p. ej. Para captar fondos) Cabe señalar que se ha utilizado una definición amplia en el Código de conducta europea de la Federación Europea de Marketing Directo sobre la utilización de datos personales en la comercialización directa, adoptado por el Grupo de trabajo el 13 de junio de 2003. En consecuencia, el hecho de que las comunicaciones sean remitidas por una entidad sin ánimo de lucro no implica necesariamente que las mismas no puedan ser consideradas comunicaciones comerciales a los efectos de la normativa reguladora de las comunicaciones comerciales son solicitadas. Debe en este sentido tenerse en cuenta que la definición contenida en la Ley 34/2002 no limita este tipo de comunicaciones a las empresas, sino a las organizaciones y a personas que realizan actividades industriales, comerciales, artesanales y profesionales, pudiendo además la comunicación no sólo referirse a productos y servicios, sino incluso a la “imagen” del remitente.” IV En el presente supuesto, ha quedado acreditado que, en fechas 3 y 5 de julio de 2015 CRUZ ROJA remitió dos correos electrónicos comerciales a la dirección de correo electrónico del denunciante ......@hotmail.com a pesar de que, tras haber solicitado la cancelación de sus datos, CRUZ ROJA le había confirmado que en fecha 03/03/2015 había procedido al bloqueo de sus datos personales entre los cuales se encontraba la citada dirección de correo electrónico. Por lo tanto, para el envío de los citados 2 correos electrónicos conteniendo información comercial (Sorteo del Oro), CRUZ ROJA no contaba con el consentimiento previo y expreso del denunciante, toda vez que se enviaron con posterioridad a su solicitud de cancelación y, en consecuencia al bloqueo de datos, no pudiendo ser utilizados para la finalidad de los envíos objeto de denuncia. Por ello, los dos correos electrónicos enviados por CRUZ ROJA con posterioridad a fecha 03/03/2015, incumplían la prohibición de remitir comunicaciones comerciales no autorizadas o solicitadas establecida en el artículo 21.1 de la LSSI, ya que se trataba de envíos publicitarios no consentidos por su destinatario, quien había manifestado a la citada entidad su voluntad de que sus datos fueran cancelados, lo que implica necesariamente el no continuar recibiendo publicidad circunstancia perfectamente conocida por dicha entidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 V La dirección de correo electrónico del denunciante ......@hotmail.com se encontraba incluida en Lista Robinson desde fecha 04/08/2009. A este respecto debe recordarse lo dispuesto por la LSSI: “Artículo 19 Régimen jurídico 1. Las comunicaciones comerciales y las ofertas promocionales se regirán, además de por la presente Ley, por su normativa propia y la vigente en materia comercial y de publicidad. 2. En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales.” Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) dispone: “Artículo 30 Tratamientos con fines de publicidad y de prospección comercial … 4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.” Y el Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, establece: “Artículo 49 Ficheros comunes de exclusión del envío de comunicaciones comerciales 1. Será posible la creación de ficheros comunes, de carácter general o sectorial, en los que sean objeto de tratamiento los datos de carácter personal que resulten necesarios para evitar el envío de comunicaciones comerciales a los interesados que manifiesten su negativa u oposición a recibir publicidad. A tal efecto, los citados ficheros podrán contener los mínimos datos imprescindibles para identificar al afectado. 2. Cuando el afectado manifieste ante un concreto responsable su negativa u oposición a que sus datos sean tratados con fines de publicidad o prospección comercial, aquél deberá ser informado de la existencia de los ficheros comunes de exclusión generales o sectoriales, así como de la identidad de su responsable, su domicilio y la finalidad del tratamiento. El afectado podrá solicitar su exclusión respecto de un fichero o tratamiento concreto o su inclusión en ficheros comunes de excluidos de carácter general o sectorial. 3. La entidad responsable del fichero común podrá tratar los datos de los interesados que hubieran manifestado su negativa u oposición al tratamiento de sus datos con fines C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 de publicidad o prospección comercial, cumpliendo las restantes obligaciones establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento. 4. Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento.” Ha de precisarse que a día de hoy sólo existe un fichero común de exclusión publicitaria, el fichero “Servicio de Lista Robinson” que gestiona la Asociación Española de Economía Digital. La inclusión en el fichero evita la publicidad de entidades que no hayan obtenido directamente del afectado el consentimiento para el tratamiento de sus datos con fines publicitarios o con las que el afectado no mantenga o haya mantenido ninguna relación comercial y resulta eficaz transcurridos tres meses desde la fecha de la inscripción. En el presente caso debe recordarse que el denunciante había mantenido relación con CRUZ ROJA dada su condición de voluntario por lo que no operaría respecto a dicha entidad la exclusión del uso publicitario del dato de su dirección de correo electrónico por parte de dicha entidad, no obstante lo cual debe reiterarse que éste ejerció su derecho de cancelación ante CRUZ ROJA con carácter previo al envío de los correos denunciados. VI Respecto a la culpabilidad de conducta de la imputada, no cabe duda de que la culpabilidad constituya nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
13. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En este orden de ideas si bien, en el presente caso, no puede acreditarse una conducta dolosa por parte de la entidad imputada, sin embargo, si se aprecia la existencia de responsabilidad en la comisión de la infracción imputada a título de culpa, ya que CRUZ ROJA no mostró, con anterioridad a la realización de los dos envíos no consentidos objeto de estudio, la diligencia y el deber de cuidado que le eran exigibles para asegurarse, en tanto que institución habituada al envío de este tipo de comunicaciones por medios electrónicos a sus socios, voluntarios, y terceros, que dichos correos electrónicos publicitarios cumplían con las exigencias derivadas del artículo 21.1 de la LSSI de tal modo que respondieran a una solicitud previa o estuvieran expresamente autorizados por el destinatario de los mismos. Por todo lo cual, la AEPD considera que a la entidad imputada le era exigible otra conducta diferente de la que observó, habida cuenta que no adoptó todas las precauciones necesarias en orden a asegurarse que los procedimientos instaurados para tramitar la cancelación y bloqueo de datos personales funcionaban correcta y efectivamente, debiendo velar por el cumplimiento de los derechos de los destinatarios de tales mensajes recogidos en la LSSI, causa por la que debió actuar con más prudencia para justificar la legalidad de su conducta. VII De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
14. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.” “4. Son infracciones leves:
15. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del art. 21 de la LSSI, en los términos indicados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo a diferentes destinatarios, o insistente o sistemático a un mismo destinatario, de comunicaciones comerciales no solicitadas, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción tipificable como grave a los efectos de la LSSI. A la vista de los hechos que han resultado acreditados en la instrucción del procedimiento sancionador, el presente supuesto se ajusta al tipo de infracción establecido en el artículo 38.4.
16. d)de la LSSI, calificado como infracción leve, al tratarse del envío al denunciante por parte de CRUZ ROJA de dos comunicaciones comerciales (correos electrónicos), en concreto en fechas 3 y 5 de julio de 2015, sin cumplir los requisitos recogidos en el artículo 21.1 de la LSSI, toda vez que dichas comunicaciones no habían sido solicitadas o expresamente autorizadas por el denunciante con posterioridad a que CRUZ ROJA bloqueara sus datos en fecha 03/03/2015 atendiendo a su solicitud de cancelación. En conclusión, CRUZ ROJA ha vulnerado la prohibición de remitir comunicaciones comerciales no solicitadas realizadas a través de correo electrónico establecida en el artículo 21.1 de la LSSI, conducta que, en el caso analizado, encuentra su tipificación en el artículo 38.4.
17. d)de dicha norma. VIII Según establece el art. 39.1, apartado c), de la LSSI, las infracciones leves, podrán ser sancionadas con multa de hasta 30.000 €, fijando los criterios para su graduación los artículos 39 bis y 40 de la misma norma, que disponen lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 pertinentes, siempre que concurran los siguientes presupuestos:
23. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
24. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador, por dicho incumplimiento.” Atendida la naturaleza de los hechos, esto es que el denunciante ejerció su derecho de cancelación ante CRUZ ROJA la cual le confirmó tal extremo, enviándole posteriormente dos correos electrónicos comerciales supone que dicha entidad no hizo efectiva la referida cancelación. “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
25. a)La existencia de intencionalidad.
26. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
27. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
28. d)La naturaleza y cuantía de los perjuicios causados.
29. e)Los beneficios obtenidos por la infracción.
30. f)Volumen de facturación a que afecte la infracción cometida.
31. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. En aplicación los criterios de graduación de las sanciones recogidos en el citado artículo 40 de la LSSI, se estima que en este supuesto opera como agravante el hecho de que la entidad imputada envió dos correos electrónicos comerciales a una persona que previamente había solicitado la cancelación de sus datos. Paralelamente, se valoran como circunstancias atenuantes el plazo de tiempo en que se cometió la infracción (dos correos en 2 días), y la falta de constancia de que la remisión de los envíos no autorizados haya generado algún tipo de beneficios a la institución imputada como remitente de los mismos. Por lo tanto, al haber quedado acreditado el elemento subjetivo de culpabilidad por parte de CRUZ ROJA en la comisión de la infracción imputada, se estima que la imposición de una sanción de 1.100 € resulta adecuada a la gravedad de los hechos imputados con arreglo a lo previsto en los artículos 40 de la LSSI y 131 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 del Procedimiento Administrativo Común. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CRUZ ROJA ESPAÑOLA, por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
32. d)de la LSSI, una multa de 1.100 € (mil cien euros), de conformidad con lo establecido en el artículo 39.1.
33. c)y 40 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a CRUZ ROJA ESPAÑOLA, y a A.A.A.. D. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es