1/4 Procedimiento nº.: E/01634/2016 ASUNTO: Recurso de Reposición Nº RR/00337/2017 Examinado el recurso de reposición interpuesto por D. B.B.B. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/01634/2016, y en base a los siguientes HECHOS PRIMERO: Con fecha 1 de marzo de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/01634/2016, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución, que fue notificada al recurrente en fecha 6 de marzo de 2017, según aviso de recibo que figura en el expediente. SEGUNDO: D. B.B.B. (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 6 de abril de 2017, recurso de reposición, fundamentándolo básicamente en los hechos y alegaciones formuladas en la denuncia cuya resolución es objeto del presente recurso. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles al recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto a la pretensión del interesado. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 III Las alegaciones formuladas en el recurso reiteran lo denunciado referidas a que no se ha acreditado como se recabó su dirección de correo electrónico a la que se remitieron comunicaciones comerciales, hecho éste que se ha repetido en numerosas ocasiones, cuestión que fue resuelta en el fundamento de derecho V de la resolución recurrida que señalaba: <<VI En el presente supuesto, ha quedado acreditado que entre fecha 26/01/2016 y 03/10/2016, el denunciante recibió en su cuenta de correo A.A.A. aparentemente desde diversas cuentas de correo electrónico de origen un total de 54 correos electrónicos. En todos los mensajes aparece LEAD como entidad ante la que ejercer los derechos ARCO, además de presentar un link mediante el que darse de baja. Por otra parte también se ha constatado que en el registro de usuarios registrados en la web ***WEB.1 figura un usuario con dirección de correo electrónico A.A.A. con alta realizada desde la IP C.C.C., con fecha de 17/11/2015 y la baja en fecha 13/10/2016. La web ***WEB.1 contiene un formulario titulado SOLICITAS OFERTA VOLKSWAGEN GOLF por medio del cual se captan datos personales (nombre, apellidos, dirección de correo electrónico, teléfono y código postal) para solicitar ofertas de dicha marca y modelo de coches. La página tiene un enlace que remite a la información sobre las Condiciones Legales donde se establece expresamente que el usuario acepta la cesión de sus datos a LEAD para la finalidad de recibir comunicaciones comerciales por diversos medios. En este sentido se acredita la existencia de un contrato suscrito por LEAD (Agencia) con RED AUTO10 SL (titular del fichero) en base a la cual esta segunda entidad contrata a LEAD con el siguiente objeto: <<La Agencia, como agente del Titular del Fichero y autorizada por éste, intermediará por cuenta del Titular del fichero, frente a terceros para explotar sus datos en todas aquellas campañas en la que La Agencia decido utilizar el Fichero para realizar campañas publicitarias de productos y servicios …. >> En las condiciones generales recogidas en la web, que han de ser aceptadas pulsando el botón “REGISTRAME” se indica: <<De acuerdo a lo establecido en el artículo 45.1.
- b)del RLOPD, Auto10 podrá utilizar sus datos personales para el envío de Newsletters y comunicaciones comerciales y promocionales, actuando en nombre propio o por cuenta de terceros, mediante carta, teléfono, correo electrónico, SMS/MMS, o por otros medios de comunicación electrónica equivalentes, relacionadas con los sectores establecidos en el punto 5,6. Del mismo modo, usted autoriza a que sus datos puedan ser cedidos a otras terceras empresas, como puede ser LEAD CONVERSION, S.L. (C/...1), para la finalidad de poder prestarle servicios de publicidad directamente por las cesionarias y remitirle comunicaciones comerciales, mediante carta, teléfono, correo electrónico, SMS/MMS, o por otros medios de comunicación electrónica equivalentes, en relación con de los sectores establecidos en el punto 5.6. Su consentimiento para esta cesión es revocable en cualquier momento>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 Examinado el punto 5.6 de las Condiciones legales, se observa que el mismo se detallan los sectores de actividad respecto de los cuales el afectado puede recibir publicidad. entre los que se encuentran aquellos de los cuales re recibieron los correos comerciales objeto de denuncia. En atención a los anteriores hechos y fundamentos de derecho no cabe apreciar en el presente caso la existencia de vulneración del artículo 21.1 de la LSSI por parte de LEAD por cuanto al registrarse en la web ***WEB.1 el denunciante aceptó sus condiciones legales entre las que se encontraba la autorización para la cesión de sus datos a LEAD para la finalidad de poder prestarle servicios de publicidad y remitirle comunicaciones comerciales, mediante correo electrónico en relación con numerosos sectores de actividad entre los que se encuentran aquellos de los cuales re recibieron los correos comerciales objeto de denuncia.>> IV Añadir a lo razonado que la presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca la responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999 en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. A su vez, la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público proclama en el artículo 28.1 el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” Por tanto, a la luz de este precepto la responsabilidad sancionadora puede exigirse tanto a título de dolo como de culpa. Así, en la Sentencia de 17 de octubre de 2007 (Rec. 63/2006) la Audiencia Nacional (Sala de lo Contencioso Administrativo) expone que “...el ilícito administrativo previsto en el artículo 44.3.
- d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva…” (El subrayado es de la Agencia) En este caso no se aprecia en la actuación de la denunciada el elemento subjetivo de culpabilidad necesario para que nazca la responsabilidad sancionadora. LEAD siguió un protocolo adecuado para la obtención de los datos del recurrente y no cabe por ello apreciar culpabilidad alguna en la actuación de la denunciada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 En este sentido puede traerse a colación la SAN de 26 de abril de 2002 (Rec 895/20009 en la que la Audiencia expone: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” (El subrayado es de la Agencia) Este criterio ha sido confirmado por la Audiencia Nacional en Sentencia de 27 de enero de 2011 (Rec. 782/2009), que en un supuesto análogo al que nos ocupa estimó el recurso contencioso administrativo interpuesto por ENDESA anulando la resolución sancionadora dictada por la Agencia por infracción del principio del consentimiento. A tenor de las reflexiones precedentes, y toda vez que en el presente caso LEAD actuó con la diligencia que era procedente se concluye que la actuación examinada no es constitutiva de infracción. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. B.B.B. contra la resolución de esta Agencia dictada con fecha 1 de marzo de 2017, en el expediente de actuaciones previas de inspección E/01634/2016. SEGUNDO: NOTIFICAR la presente resolución a D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es