1/5 Procedimiento nº.: E/06197/2013 ASUNTO: Recurso de Reposición Nº RR/00462/2014 Examinado el recurso de reposición interpuesto por A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/06197/2013 y en consideración a los siguientes HECHOS PRIMERO: Con fecha 18 de marzo de 2014 se dictó resolución por el Director de la Agencia Española de Protección de Datos (AEPD) en el expediente de actuaciones previas de inspección E/06197/2013, procediéndose al archivo de actuaciones al no apreciarse en la conducta denunciada vulneración de la normativa de protección de datos. Dicha resolución fue notificada al recurrente en fecha 24 de marzo de 2014, como lo acredita el acuse de recibo que obra en el expediente. SEGUNDO: A.A.A. (en lo sucesivo el recurrente) ha presentado en la AEPD, en fecha 24 de marzo de 2014, recurso de reposición, fundamentándolo básicamente en los mismos argumentos expuestos en su escrito de denuncia. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En el escrito de interposición del recurso de reposición D. A.A.A. (en lo sucesivo el recurrente) reitera los argumentos que expuso en su denuncia y no aporta nuevos documentos o argumentos jurídicos distintos de los ofrecidos en su día. Así, insiste en que el denunciado, B.B.B., que fue trabajador de su empresa (PC Seguridad) “uso nuestra base de datos, la cual obra en su poder de forma fraudulenta, para hacer llegar a todos mis clientes un email de despedida y en el caso de Gloserca, ofreciendo sus servicios. Y no lo hizo desde su correo personal, sino de uno creado para fines comerciales, en cuya firma del email ya iba su tarjeta de presentación”. Finaliza solicitando que el caso sea revisado y el señor B.B.B. sea sancionado “por cuanto, uso un correo electrónico creado con fines comerciales para dañar mi empresa, y en ningún C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 caso, uso un correo personal para despedirse de sus clientes”. Dados los términos del recurso examinado procede reiterar los argumentos jurídicos expuestos en la resolución que se impugna: << II La cuestión que la denuncia plantea es el robo o sustracción por un antiguo empleado de la empresa PCSEGURIDAD PONTOES, S.L., (en adelante PCSEGURIDAD) de las direcciones electrónicas de clientes de esta compañía a las que supuestamente estaría enviando correos electrónicos con el fin de ofrecer sus servicios. Pues bien, desde el punto de vista de la normativa de protección de datos –único al que puede responder la actuación de esta Agencia -, y con independencia de que la misma conducta pudiera ser merecedora de otra consideración cuando la valoración se efectúe a la luz de otras normas jurídicas, lo cierto es que los hechos relatados, únicamente, podrían vulnerar el artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico (LSSI) que prohíbe el envío de comunicaciones sin el consentimiento previo del destinatario, infracción tipificada en el artículo 38.4.
- d)como infracción leve. El artículo 37 de la LSSI sujeta a su régimen sancionador a “los prestadores de servicios de la sociedad de la información” “cuando la presente Ley les sea de aplicación”. A su vez, el apartado
- c)del Anexo de la Ley 34/2002 ofrece un concepto de lo que debe entenderse por “prestador del servicio”. Considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Paralelamente el apartado
- a)del Anexo indica que, a los efectos de la LSSI, se entenderá por “Servicios de la sociedad de la información o servicios” “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario”. Y añade: “El concepto de servicio de la sociedad de la información comprende también a los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros, y siempre que representen una actividad económica, los siguientes: (…) 4. El envío de comunicaciones comerciales” (El subrayado es de la Agencia) El artículo 21 de la LSSI, bajo la rúbrica “Prohibición de comunicaciones comerciales realizadas a través de correo electrónico o medios de comunicación electrónica equivalentes” dispone: 1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente (…)” (El subrayado es de la Agencia) Por tanto, el envío de comunicaciones comerciales que no hayan sido autorizadas o solicitadas – con la excepción ya mencionada del primer párrafo del artículo 21.2 de la LSSI- podría ser constitutivo de una infracción grave o leve, tipificadas, respectivamente, en los artículos 38.3.
- c)y 38.4.
- d)de la citada norma según redacción introducida por la Disposición Adicional octava de la Ley 59/2003. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario de correo electrónico para el tratamiento de su dirección con la finalidad de enviarle comunicaciones comerciales, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
- h)de la LOPD que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. (El subrayado es de la Agencia). La LOPD exige que el consentimiento al tratamiento sea inequívoco; esto es, que no admita duda o equivocación, pero no establece ni requiere que deba adoptar una forma determinada, expresa o por escrito. Rige por tanto el principio de libertad de forma y cabe que el consentimiento se otorgue de forma expresa (oral o escrita), o por actos reiterados del afectado que revelen que, efectivamente ha dado el consentimiento –es decir por actos presuntos-, o por el silencio del afectado, consentimiento tácito que la Audiencia Nacional admitió en Sentencia de 14 de abril de 2000. Centrándonos en el asunto que nos ocupa la única prueba que se ha remitido a esta Agencia de la conducta que se atribuye al denunciado es la copia de dos correos electrónicos enviados a una misma empresa, esto es, a un mismo cliente de PCSEGURIDAD. Así, el denunciado envió un mensaje el 3 de septiembre de 2013 a las 17:14, desde la dirección electrónica ....@gmail.com , a ....1@gloserca.es y ....2@gloserca.es. En el citado correo consta como “Asunto” “ Despedida” y existe un archivo adjunto identificado como “Tarjeta.jpg”. El texto del mensaje es el siguiente: “Buenas tardes, envío este correo para agradeceros el trato que habéis tenido conmigo y poder despedirme de alguna manera sin molestar en exceso. Envío mi nueva tarjeta de visita, ya que he montado una empresa por mi cuenta por si me necesitan en algún momento..” Paralelamente, el denunciado, a requerimiento de la Agencia, ha remitido copia de la respuesta que recibió al anterior mensaje desde la dirección ....2@gloserca.es . Respuesta que es del mismo día, el 3 de septiembre de 2013, unos minutos más tarde, a las 17:27 horas, y dice textualmente: “Estimado ***NOMBRE.1, te deseo lo mejor para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 esta nueva andadura, …… Buena suerte, y sí, me guardaré tu tarjeta (Infórmame si trabajaras diseños web, tiendas on line, etc etc, que nunca se sabe) Un abrazo” También de la misma fecha, a las 17:33, obra entre la documentación aportada por el denunciante una copia del correo electrónico de respuesta que el denunciado dirigió a ....2@gloserca.es, en el que dice: “Muchas gracias. Esto me es de mucha ayuda”. En definitiva el denunciante únicamente ha acreditado el tratamiento por el denunciado de la dirección electrónica de uno solo de los clientes de PCSEGURIDAD: la empresa GLOSERCA, a la que el denunciado envió un mail dirigido a la persona de su gerente. Del tenor de la respuesta, en la que el gerente de GLOSERCA pide al denunciado más información sobre la gama de servicios que va a prestar (como por ejemplo, si comprende los diseños web y las tiendas on line), le confirma que se guardará su tarjeta (“sí, me guardaré tu tarjeta” ) y le comunica sus buenos deseos para el futuro, se infiere que el denunciado contaba con el consentimiento del gerente de GLOSERCA para el uso de su dirección electrónica. Estaríamos en presencia de un consentimiento presunto, por cuanto la actuación del titular de la dirección electrónica demuestra de forma inequívoca que consintió el tratamiento de este dato. De lo expuesto en los párrafos precedentes se concluye que la conducta que el denunciante somete a nuestra consideración es acorde con las disposiciones de la LSSI, sin que se aprecie infracción del principio del consentimiento.>> III Por tanto, dado que en el presente recurso de reposición no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada con fecha 18 de marzo de 2014 en el expediente de actuaciones previas de inspección E/06197/2013. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es