← España

PS-00730-2013

1/15 Procedimiento Nº PS/00730/2013 RESOLUCIÓN: R/00964/2014 En el procedimiento sancionador PS/00730/2013, instruido por la Agencia Española de Protección de Datos a la entidad GRUPOPSCOM SCP, MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 4 de julio de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara que ha recibido 3 correos electrónicos con información comercial de MUTUA MADRILEÑA AUTOMOVILISTICA, SOCIEDAD DE SEGUROS A PRIMA FIJA (en lo sucesivo, MUTUA MADRILEÑA) sin ser cliente de dicha empresa y sin haber facilitado su consentimiento para ello. Aporta:  Email de fecha 20/4/2013, 12:17, en el que figura como remitente “Mutua Madrileña (mailto:info@..........)” como destinatario A.A.A. ......@mapfre.com, como asunto “Vente a la Mutua y ahorra 300 euros en tu seguro de coche”. El correo ofrece publicidad de MUTUA MADRILEÑA y en el pie del mensaje incluye la leyenda “Grupopscom cumple estrictamente la normativa aplicable en el ámbito de protección de datos en Internet….El fichero de usuarios de grupopscom.com está inscrito en la Agencia de Protección de Datos. Si quiere darse de baja, pinche aquí”.  Email de fecha 9/7/2013, 14:15, en el que figura como remitente “Mutua Madrileña (mailto:info@..........)” como destinatario A.A.A. ......@mapfre.com, como asunto “Te presentamos 3 maneras de ahorrar”. El correo ofrece publicidad de MUTUA MADRILEÑA y en el pie del mensaje se indica que el email publicitario es remitido por Grupopscom y que “Si quiere darse de baja, pinche aquí”.  Email de fecha 10/9/2013, 12:34, en el que figura como remitente “Mutua Madrileña (mailto:info@..........)” como destinatario A.A.A. ......@mapfre.com, como asunto “Ahorra 300 euros en tu seguro de coche”. El correo ofrece publicidad de MUTUA MADRILEÑA y en el pie del mensaje incluye la leyenda se indica que el email publicitario es remitido por Grupopscom y que “Si quiere darse de baja, pinche aquí”.  Copia del ejercicio de su derecho de acceso en fecha de 26/4/2013 ante MUTUA MADRILEÑA y la contestación que le remite la compañía en fecha de 13/6/2013 en la que manifiesta que “Consultadas nuestras Bases de Datos maestra no se han encontrado ninguna coincidencia con su NIF”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad GRUPOPSCOM SCP, teniendo conocimiento de los siguientes extremos: En fecha de 4/12/2013 se intenta realizar una inspección en el domicilio conocido de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 empresa GRUPOPSCOM, S.C.P. sito en la calle (C/.............1), BARCELONA sin que se haya podido practicar diligencia alguna al no constar dicha empresa en el citado domicilio. TERCERO: Con fecha 20 de diciembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GRUPOPSCOM SCP y a MUTUA MADRILEÑA AUTOMOVILISTICA, con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4

  1. d)de la citada Ley. QUINTO: Notificado el citado Acuerdo de inicio, MUTUA MADRILEÑA AUTOMOVILISTICA, presentó alegaciones fecha de 13/01/2014 en las que señaló que:
  2. a)No ha realizado los hechos objeto de denuncia. Tiene un contrato de Agencia con DATONO BUSINESS PROCESS OUTSOURCING, S.L. que regula expresamente la realización de campañas de email, en concreto la obtención de “leads” y la exoneración de MUTUA de responsabilidad.
  3. b)No ha contratado la campaña con GRUPOPSCOM, ni mantiene relación con la entidad. Señala a ésta y a DATONO como las “entidades que deben comparecer en el procedimiento y acreditar los requisitos exigidos en la normativa”
  4. c)MUTUA solamente se centra en el contenido publicitario para DATONO SEXTO: Notificado el citado Acuerdo de inicio, GRUPOPSCOM SCP, presentó alegaciones en fecha de 13/01/2014, en las que señaló que:
  5. a)El denunciante se registró en tres páginas web propiedad de GRUPOPSCOM: loquetegusta.es ueleme.com y noestancaro.com todos en fecha de 15/03/2013 desde la dirección IP ***IP.1 correspondiente a la empresa MAPFRE.
  6. b)Que en el momento de registrarse se aceptaron las condiciones generales de la política de privacidad y que no se ha notificado la intención del usuario de eliminar, cancelar o modificar los datos que proporciono en el momento del registro.
  7. c)Que el usuario del email ......@mapfre.com ha recibido un total de 32 correos electrónicos desde su registro en nuestros sites, entre los que se relacionen en el procedimiento de MUTUA MADRILEÑA, pero también de SANITAS, MOVISTAR, SUBASTAS DE OCIO Y VODAFONE entre otros anunciantes.
  8. d)Que en ningún momento decidió el denunciante linkar el acceso directo a bajas voluntarias estando dentro del segmento denominado USUARIOS ACTIVOS y en las 32 ocasiones ha abierto los correos electrónicos comerciales. SEPTIMO: En fecha 31/01/2014, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, en el que se realizó: 1. Incorporar como prueba documental la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante MUTUA MADRILEÑA y GRUPOPSCOM SCP, y el Informe de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 actuaciones previas de Inspección que forman parte del expediente E/04600/2013 y las alegaciones formuladas al PS/730/2013 y la documentación que acompañan. 2. Incorporar como prueba documental, la documentación aportada por las entidades intervinientes y el denunciado en contestación a los siguientes requerimientos: 2.1. Se requirió a GROUPSCOM SCP: 2.1.1. Documentación (contratos, facturas, hojas de encargo…etc.,..) que sustente la campaña publicitaria realizada en la que se remitieron las comunicaciones comerciales objeto de valoración en el procedimiento. 2.1.2. Documentación de la relación contractual con Mutua Madrileña, en su caso, para el envío de comunicaciones comerciales de sus servicios, o en caso de actuar mediante Agente, la documentación que sustente dicha relación contractual. 2.1.3. Acreditación documental del consentimiento previo y expreso en los términos de la Ley 34/2002, de 11 de julio (LSSI en adelante) para el envío de comunicaciones comerciales por medios electrónicos a la dirección de correo ......@mapfre.com. 2.1.4. Atendiendo a sus alegaciones en donde copia la información de la política de privacidad que ostentan, en concreto (…) El usuario da su consentimiento para la Comunicación/Cesión de sus datos a favor de terceros con la finalidad de que pueda remitírsele el envío de comunicaciones comerciales. el presente consentimiento tiene carácter revocable. Así mismo el usuario da su consentimiento para la Comunicación de sus datos a favor de aquellas entidades que sean necesarias para dar cumplimiento al servicio(…) manifiesten si ha sido comunicado a terceros el fichero donde constan los datos del denunciante, y en caso afirmativo, acreditación documental. 2.1.5. En el escrito de fecha 7/1/2014 manifestó que el denunciante del procedimiento, se inscribió en fecha de 15/03/2013 con la cuenta de correo ......@mapfre.com en tres páginas web propiedad de GRUPOPSCOM SCP : loquetegusta.es ; ueleme.com ; noestancaro.com ; desde la dirección IP ***IP.1. Por lo que se requirió para que acredite tales extremos, y en su caso, si el denunciante adquirió algún producto o solicito algún servicio, aporte la justificación documental que sustente dichas inscripciones o compras y cualquier otra comunicación habida. 2.2. Se requirió a DATONO BUSINESS PROCESS OUTSOURCING, S.L. 2.2.1. Acreditación documental de la relación contractual con MUTUA MADRILEÑA AUTOMOVILISTA, como Agente de ésta para campañas de marketing/publicidad. (Contratos, ordenes de trabajo, facturas,…), y la explicación del procedimiento específico para la generación de Leads, para las campañas que se realicen en ejecución del contrato con aquella. 2.2.2. Manifestación acerca de si ha intervino en la campaña de email marketing referida a los correos electrónicos objeto de valoración, y en caso afirmativo, documentación acreditativa de la misma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 2.3. Se requirió al denunciante para que manifestara si en fecha de 15/03/2013 u en otra fecha, se ha inscrito con sus datos personales y con la dirección de correo electrónico ......@mapfre.com en alguno de los siguientes sitios web: loquetegusta.es ; ueleme.com ; noestancaro.com ; OCTAVO: Mediante escrito de 14/02/2014 GRUPOPSCOM en contestación a la información requerida manifestó:
  9. a)No tienen relación con MUTUA MADRILEÑA, sino con NIVORIA SOLUTIONS S.L.
  10. b)Han cedido parte de su base de datos a NIVORIA SOLUTIONS, S.L. y a BEBERLY HILLS EDITIONS SL., debiendo resaltar que a la fecha solo trabajan con la primera. NOVENO: Mediante escrito de 14/02/2014, DATONO BUSINESS PROCESS OUTSOURCING, S.L. en contestación a la información requerida manifestó.
  11. a)Tienen un contrato de Agencia de Seguros con MUTUA MADRILEÑA de 8/01/2013, cuyo objeto es la comercialización en territorio español de los diferentes productos de seguros de MUTUA, en particular el asesoramiento preparatorio y en su caso, la celebración de contrato de seguro. Se prevé en dicho contrato la subcontratación como encargado de tratamiento a WALMERIC SOLUCIONES S.L., a partir de los datos que MUTUA facilitara a ésta.
  12. b)Tienen un contrato de Auxiliar externo de mediador de seguros de 8/01/2013 con TYAME S.L., actuando éstos como auxiliar y DATONO como mediador de seguros. Cuyo objeto es la colaboración de aquel en la distribución de productos de seguros de diversas aseguradoras actuando por cuenta del mediador.
  13. c)Aportan anexo de fecha 18/09/2013, del contrato de 7/12/2007 entre MUTUA y DATONO de cuya regulación se establece que la generación de “leads” corresponde a DATONO.
  14. d)Aportan anexo de fecha 18/09/2013, del contrato de 8/01/2013 entre DATONO y TYAME, en virtud del cual se autoriza a ésta para la generación de “leads” para MUTUA. DECIMO: En fecha de 21/02/2014 MUTUA MADRILEÑA presento escrito de alegaciones complementarias en las que señalo que: Inicialmente se contrató para las campañas publicitarias con la mercantil HAVAS MANAGEMENT ESPAÑA, S.L. y ésta a subcontrataba con NIVORIA y ésta seleccionaba a su vez a la entidad que iba a realizar materialmente la campaña. En ningún caso contrato con GRUPOPSCOM. Finalmente se contrató con NIVORIA, que cuenta con un contrato de prestación de servicios con la entidad denunciada GRUPOPSCOM, en cuyo contrato se desprende la obligación de GRUPOSCOM de obtener los consentimientos para la realización de las campañas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 marketing. DECIMOPRIMERO: En fecha de 11/03/2014 mediante correo electrónico y en fecha 17/03/2014 mediante correo ordinario, GRUPOPSCOM aporto escrito de alegaciones y documentación a requerimiento de esta Agencia, en el que manifestó que para la acreditación del registro del denunciante en sus webs, únicamente cuentan con la validación de su sistema interno, donde aparece el usuario con la fecha de registro. Aportan captura de pantalla del bloque de suscripción de los websites donde aparece marcada la opción de aceptar las condiciones generales y la política de privacidad. Aportan captura de pantalla de su ERP interno donde aparece la fuente inicial o página previa al registro, la fecha de dicho registro, la IP desde donde se realiza dicho registro y la url de nuestro ERP. DECIMOSEGUNDO: En fecha de 11/03/2014 se registra un correo electrónico del denunciante enviado en fecha de 07/03/2014 en el que manifiesta que no tiene conocimiento ni constancia de haberse inscrito a través del correo ......@mapfre.com en los sitios web loquetegusta.es ueleme.com noestancaro.com. DECIMOTERCERO: En fecha de 20/03/2014 el Instructor del procedimiento creó una cuenta de usuario en los sitios web ueleme.com y noestancaro.com utilizando una cuenta de correo creada a ese propósito y proporcionando datos ficticios, levantando diligencia de instrucción que recoge el proceso de inscripción y la ausencia de aceptación de la política de privacidad. DECIMOCUARTO: En fecha de 21/03/2014, el Instructor del Procedimiento emitió Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancione a GRUPOPSCOM SCP con multa de 6.000 € (seis mil euros) por la infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4
  15. d)de dicha norma. DECIMOQUINTO: En fecha de 15/04/2014, GRUPOPSCOM SCP presentó alegaciones en las que señalo que la entidad causó baja y ceso en su actividad en Octubre de 2013, por lo que los enlaces en internet están inaccesibles. No es cierto que se pudiera completar el proceso de asta sin aceptar la política de privacidad. El procedimiento de comprobación en la web realizado por el instructor vulnera nuestros derechos constitucionales. DECIMOSEXTO: De las actuaciones practicadas en el presente procedimiento han quedado acreditados los siguientes HECHOS PROBADOS UNO.- En fechas de 20/4/2013, 09/07/2013 y 10/09/2013, se remitieron comunicaciones electrónicas con contenido comercial de MUTUAMADRILEÑA desde la dirección de correo info@......... a la dirección de correo ......@mapfre.com. En la leyenda informativa se señala que MUTUAMADRILEÑA es totalmente ajena a los envíos, y que el responsable de los envíos es la entidad GRUPOSPCOM. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 DOS.- MUTUAMADRILEÑA contrató con HAVAS MANAGEMENT ESPAÑA la realización de campañas de email marketing a HAVAS mediante contrato de 24/01/2013 de Asesoramiento, planificación y compra de medios (Folios 97-99). TRES.- HAVAS encargó la realización material del email marketing por cuenta de MUTUAMADRILEÑA a la entidad NIVORIA SOLUTIONS S.L., (Folios 100-105) CUATRO.- NIVORIA SOLUTIONS S.L. y GRUPOSPCOM SCP acordaron la explotación por parte de aquella del fichero propiedad de ésta para la realización de campañas publicitarias por distintos medios, entre los que se encuentra el email marketing de aquellos clientes de NIVORIA SOLUTIONS, SL entre los que se encuentra MUTUAMADRILEÑA (Folios 50, 51, 53,54-57) CINCO.- GRUPOSPCOM en fecha de 7/01/2014 (Folio 44) manifestó que el origen de la dirección de correo del denunciante es su registro en las webs propiedad de ésta como loquetegusta.es ueleme.com y noestancaro.com (…) En el momento que se realizaron dichos registros se aceptaron las siguientes condiciones generales correspondientes con nuestra política de privacidad: (…)en aplicación de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), loquetegusta.es, propiedad de GRUPOPSCOM con CIF: J65900151 informa de que los datos personales que se recogen a través de los formularios del sitio web se incluyen en los ficheros automatizados específicos de la empresa. La recogida y tratamiento automatizado de estos Datos de Carácter Personal tiene como finalidad el mantenimiento de la relación comercial y el desempeño de tareas de información, administración, facturación, gestión de envíos y otras actividades propias de la empresa. El usuario da su consentimiento a este tratamiento mediante la aceptación de estas Condiciones Generales de Venta al registrarse y en el momento de confirmar su compra. El usuario da su consentimiento para la Comunicación/Cesión de sus datos a favor de terceros con la finalidad de que pueda remitírsele el envío de comunicaciones comerciales. El presente consentimiento tiene carácter revocable. Así mismo el usuario da su consentimiento para la Comunicación de sus datos a favor de aquellas entidades que sean necesarias para dar cumplimiento al servicio. Noestancaro.com adopta las medidas necesarias para garantizar la seguridad, integridad y confidencialidad de los datos conforme a lo dispuesto en la Ley Orgánica de Protección de Datos de Carácter Personal, así como el Real Decreto 1720/2007, de 21 de Diciembre. En cualquier momento, el usuario podrá ejercitar los derechos de acceso, oposición, rectificación y cancelación reconocidos en la LOPD, a través de los canales de atención al usuario de loquetegusta.es y en los modos que establece la Ley (…) ( folio 45) SEIS.- En fecha de 07/03/2014 mediante correo electrónico el denunciante manifestó que “con fecha 15/03/2013 u otra fecha, no tengo conocimiento y constancia de haberme inscrito con mis datos personales a través de mi correo de empresa ......@mapfre.com en algunos de los sitios web: loquetegusta.es; ueleme.com ; noestancaro.com. (…) (Folio 109) SIETE.- En fecha de 20/03/2014 el Instructor del procedimiento mediante cuenta de correo creada al efecto completo el proceso de inscripción en las webs noestancaro.com y ueleme.com sin que se requiriese aceptación de la política de privacidad de las citadas webs, que coinciden con la señalada en el hecho probado anterior. (Folios 118-127). En la misma fecha se recibió en la cuenta de correo creada al efecto dos comunicaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 electrónicas de bienvenida como usuario registrado en los citados sitios web. (Folios 128-129) OCHO.- En fecha de 06/03/2014 mediante correo electrónico el representante de GRUPOSPCOM manifestó que la inscripción que requiere aceptar la política de privacidad, se realiza en el apartado “Newsletter”. (Folio 107) NUEVE.- Mediante escrito de 12/03/2014 GRUPOSPCOM aporta captura de pantalla de “ERP” interno donde según manifiestan, aparece la fuente inicial o página previa al registros, la fecha de dicho registro y la IP desde la que se realiza dicho registro y la url del ERP. En esa impresión de pantalla aparece la cuenta de correo del denunciante, (Folio 115). FUNDAMENTOS DE DERECHO I La competencia para sancionar por la comisión de las infracciones tipificadas en el artículo 38.4.
  16. d)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. La LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. La Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), modificada por la Directiva 2009/136/CE del Parlamento Europeo y del Consejo, de 25 de noviembre, introdujo en el conjunto de la Unión Europea el principio de “opt in”, es decir, la necesidad de contar con el consentimiento previo del destinatario para el envío de comunicaciones electrónicas con fines comerciales. De este modo, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
  17. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
  18. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
  19. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
  20. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
  21. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario”. Dicha definición se refiere, tal y como se expresa en el Considerando 17 de la citada Directiva 2000/31/CE del parlamento Europeo y del Consejo, de 8 de junio, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior (Directiva sobre el comercio electrónico), a “cualquier servicio prestado normalmente a título oneroso, a distancia, mediante un equipo electrónico para el tratamiento (incluida la comprensión digital) y el almacenamiento de datos, y a petición individual de un receptor de un servicio”, añadiendo que estos servicios cuando “no implica tratamiento y almacenamiento de datos no están incluidos en la presente definición”. De acuerdo con lo señalado, el concepto de comunicacion comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional, y, además, ha de realizarse dicha comunicación en los términos que señala el Considerando 17 de la Directiva 2000/31/CE. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
  22. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. IV En el presente supuesto, ha quedado acreditado que GRUPOPSCOM SCP remitió comunicaciones comerciales por medios electrónicos al denunciante. Ahora bien, procede analizar los elementos que puedan legitimar dichos envíos: En primer lugar, GRUPOPSCOM SCP manifestó en su primer escrito de alegaciones que el origen de la dirección de correo es la inscripción voluntaria del denunciante en sus sitios web loquetegusta.es ueleme.com y noestancaro.com, y que tuvo que aceptar la política de privacidad de las citadas webs. Sin embargo mediante cuenta de correo creada al efecto y con identidad ficticia, se procedió a crear una cuenta de usuario en las dos webs citadas (en loquetegusta.es no se realizó puesto que no se encontró activa) completándose el proceso de alta sin que se exigiera la aceptación de la política de privacidad. A este respecto señala GRUPOPSCOM SCP que el Instructor del procedimiento con las comprobaciones realizadas vulnera sus derechos constitucionales. Tales alegaciones han de ser desestimadas, pues las comprobaciones están documentadas en el expediente (Folios 118 a 127) y han sido puestas a disposición de la entidad denunciada. Cuestión distinta que no hayan sido solicitadas en el trámite procedimental al efecto o que GRUPOPSCOM SCP no haya hecho las comprobaciones internas como administrador de las páginas web. Por lo que en modo alguno se ha vulnerado derecho constitucional alguno, que por otra parte no concreta la entidad de qué derecho se trata. Asimismo en los folios 128 a 129 constan las comunicaciones automáticas de respuesta realizadas al inscribirse en las páginas web ueleme.com y noestancaro.com que se realizó tras la inscripción realizada por el Instructor. En segundo lugar, GRUPOPSCOM SCP manifestó en su escrito de 6/03/2014 y en su escrito de 12/03/2014 que la aceptación de la política de privacidad se producía como requisito previo a la solicitud de recepción de newsletter. Aportando captura de pantalla de sus sistemas informáticos donde aparece la dirección de correo del denunciante, la dirección IP desde la que se produjo la inscripción y la fecha de la misma. En este sentido no puede obviarse que los pantallazos o reflejos informáticos no acreditan la prestación del consentimiento del denunciante, como tiene establecido la Audiencia Nacional en la SAN de 9/04/2008, Rec. 235/2006, al afirmar que “…no se trata más de un simple “pantallazo” informático, que nada acredita ni aporta ninguna información relevante a la hora de poder acreditar el consentimiento del titular de los datos”. Es decir, puede actuar como elemento indiciario a valorar, pero no es una prueba plena de la inscripción ni del consentimiento o autorización. En tercer lugar, admitiendo a efectos puramente dialecticos la posibilidad de la solicitud de newsletter por parte del denunciante (a pesar de habérselo requerido expresamente esta Agencia y contestando éste negativamente, folios 108-109), no puede entenderse legitimada GRUPOPSCOM SCP para el envío de comunicaciones comerciales por medios electrónicos de productos de terceras empresas, a saber: La política de privacidad que se supone que se acepta cuando se solicita la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 newsletters, no especifica con claridad la finalidad del tratamiento al que se someten los datos personales, y en lo que aquí interesa, el correo electrónico como destinatario de publicidad, pues de expresiones como El usuario da su consentimiento para la Comunicación/Cesión de sus datos a favor de terceros con la finalidad de que pueda remitírsele el envío de comunicaciones comerciales. El presente consentimiento tiene carácter revocable. Así mismo el usuario da su consentimiento para la Comunicación de sus datos a favor de aquellas entidades que sean necesarias para dar cumplimiento al servicio.(…) no se deduce claramente ni la finalidad de la cesión, ni las empresas cesionarias, ni se ofrece de acuerdo con el art. 15 del RDLOPD la posibilidad de registrarse oponiéndose al tratamiento de la información del potencial usuario para finalidades ajenas al servicio contratado, o en este caso solicitado, como es el recibir una newsletter. Es decir, una cosa es la suscripción a una servicio de información del sitio web ueleme.com/loquetegusta.es/noestancaro.com para lo que es necesario la proporción de una cuenta de correo como destinataria, y otra distinta es la utilización de dicha cuenta de correo para ser receptora de publicidad, es decir, cuando en el proceso de formación de un contrato o acuerdo ( en este caso la disposición de recibir una newsletter) se pretenda utilizar la dirección para otras cuestiones ajenas a la ejecución material de aquel, se tiene que ofrecer en ese mismo acto un procedimiento o mecanismo para oponerse a la utilización ajena a la finalidad inicialmente pretendida. Si bien el presente procedimiento se incoa por la vulneración de lo dispuesto en el art. 21 de la LSSI, el propio art. 19 de la citada norma remite a la regulación que la LOPD dispone respecto de la obtención y características del consentimiento, y dicho consentimiento ha de ser informado. En este sentido el Tribunal Constitucional en Sentencia 292/2000, de 30 de noviembre, analiza el derecho a ser informado en relación con el consentimiento que ha de prestar el titular de los datos personales y que si bien hace referencia a la LOPD, encontramos su aplicación al presente caso al abrigo del citado art. 19 LSSI: (…):De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de estos, pues solo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos personales. Para lo que no basta que conozca que tal cesión es posible según la disposición que ha creado o modificado el fichero, sino también las circunstancias de cada cesión concreta. Pues en otro caso seria fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (Art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia(…)Por lo que de la cláusula antes citada no puede entenderse que el potencial usuario de las citadas páginas webs haya prestado su consentimiento o autorización para la recepción de comunicaciones comerciales por medios electrónicos con pleno conocimiento, pues ni siquiera se especifican qué empresas o grupo de empresas pueden enviarle publicidad. En cuarto lugar, y una vez eliminada la posibilidad de autorización o consentimiento prestado por parte del denunciante, el propio art. 21 de la LSSI, establece que dicha autorización no es necesaria cuando exista una relación comercial previa de servicios similares a los ofrecidos en las comunicaciones. A este respecto mediante diligencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 instrucción de fecha 28/02/2014 obrante en el folio 106, se requirió a GRUPOPSCOM SCP para que acreditara la compra de algún producto o servicio por parte del denunciante realizado en alguna de las páginas web que cito, sin que nada aportara al respecto, sin perjuicio de que los servicios ofrecidos en las comunicaciones comerciales son de MUTUAMADRILEÑA, es decir, de una tercera empresa ajena a GRUPOPSCOM SCP, y el precepto exige que para la dispensa de la autorización o consentimiento los productos ofrecidos sean de la misma empresa que inicialmente presto dicho servicio. Finalmente, no puede establecerse la legitimación de GRUPOPSCOM SCP, por el hecho de que el denunciante haya abierto 32 comunicaciones comerciales enviadas por dicha mercantil, pues nada se extrae de tal circunstancia, teniendo en cuenta que el consentimiento para el envío de comunicaciones comerciales por medios electrónicos es previo y expreso. En conclusión, GRUPOPSCOM SCP no ha acreditado que tenía el consentimiento o autorización del denunciante para la recepción de comunicaciones comerciales por medios electrónicos, ni la existencia de una relación comercial previa de productos similares a los ofrecidos. Este extremo difícilmente comprobable puesto que los productos son de una compañía aseguradora cuya actividad, obviamente no es la de GRUPOPSCOM SCP. V De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, según su redacción aprobada por la por la disposición adicional octava de la Ley 59/2003, de 19 de diciembre, sobre normas reguladoras de la firma electrónica, en vigor desde el 21/03/2004, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  23. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente o el envío, en el plazo de un año, de más de tres comunicaciones comerciales por los medios aludidos a un mismo destinatario, cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
  24. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o más de tres a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b), se producirá una infracción tipificable como grave a los efectos de la LSSI. El presente supuesto, la conducta realizada por GRUPOPSCOM SCP se ajusta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 al tipo de infracción establecido en el artículo 38.4
  25. d)de la LSSI, calificado como infracción leve, al tratarse de tres comunicaciones comerciales por medios electrónicos. Respecto de MUTUA MADRILEÑA AUTOMOVILISTA, no ha resultado probado el envío por parte de ésta, de las comunicaciones comerciales, por lo que de acuerdo con los arts. 21 y 38.4
  26. d)LSSI, no ha realizado la conducta típica y antijurídica, procediendo al archivo del procedimiento. En todo caso la leyenda insertada por GRUPOSPCOM SCP al pie de las comunicaciones enviadas, enervaría una eventual culpabilidad a la hora de valorar la procedencia de instar actuaciones sancionadoras contra MUTUA MADRILEÑA AUTOMOVILISTA. VI A tenor de lo establecido en el art. 39 de la LSSI, las infracciones leves podrán ser sancionadas con multa de hasta 30.000 €, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma que dispone: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  27. a)La existencia de intencionalidad.
  28. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  29. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  30. d)La naturaleza y cuantía de los perjuicios causados.
  31. e)Los beneficios obtenidos por la infracción.
  32. f)Volumen de facturación a que afecte la infracción cometida”. En relación a los criterios de graduación de las sanciones recogidos en el citado artículo 40 y en concreto respecto de la existencia de intencionalidad ( apartado
  33. a)y su conexión con el principio de culpabilidad, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. La Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  34. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. Por su parte, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible, y en la valoración del grado de dicha diligencia, ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 de ponderarse especialmente la profesionalidad o no del sujeto, y en el presente caso no puede dejar de observarse que la entidad debe ser conocedora de las normas que regulan los Servicios de la Sociedad de la Información, pues GRUPOSPCOM SCP es al menos propietaria de las páginas web de venta online ueleme.com, noestancaro.com , loquetegusta.es , debiendo exigirle un exquisito grado de diligencia en el cumplimiento de las normas que protegen a los usuarios de los servicios de la sociedad de la información. Lo que le hace tributaria del conocimiento de la norma que regula dicho sector, es decir la LSSI, por lo que ha de insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto ( STS de 5 de junio de 1998). Respecto del plazo durante el que se haya venido cometiendo la infracción, ( apartado
  35. b)GRUPOSPCOM SCP reconoce haber enviado al menos 32 comunicaciones comerciales al denunciante ( Folio 46), y de distintos clientes ( SANITAS, MOVISTAR, SUBASTAS DE OCIO, VODAFONE…) a pesar de que éste tan solo denuncio 3, se deduce que la entidad denunciada lleva a cabo dichos envíos desde antiguo. Respecto del beneficio obtenido con la comisión de la infracción, ( apartados
  36. e)y
  37. f)según ha manifestado GRUPOSPCOM SCP y se deduce de la documentación aportada, además de vender productos por internet, la base de datos que crea tanto de usuarios registrados como de usuarios registrados compradores, es utilizada en beneficio propio. Sirva a modo de ejemplo el Anexo I denominado “Acuerdo comercial para la monetización de la base de datos de GRUPOPSCOM” en el que NIVORIA gestiona la base de datos de aquella, recibiendo la entidad denunciada “el 70 % del beneficio neto” (Folio 53) y la factura obrante en el folio 51 emitida a NIVORIA. Por lo expuesto, analizadas las circunstancias agravantes procede la imposición de la sanción en la cuantía de 6.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad GRUPOPSCOM SCP, por una infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4
  38. d)de la LSSI, una multa de 6000 ( seis mil euros) de conformidad con lo establecido en el artículo 40 de la citada LSSI. SEGUNDO: ARCHIVAR el procedimiento a MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA. TERCERO: NOTIFICAR la presente resolución a GRUPOPSCOM SCP, MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA, y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.