1/10 Procedimiento nº.: E/06896/2014 ASUNTO: Recurso de Reposición Nº RR/00183/2015 Examinado el recurso de reposición interpuesto por D. A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/06896/2014, y en consideración a los siguientes HECHOS PRIMERO: Con fecha 21/01/2015 se dictó resolución por el Director de la Agencia Española de Protección de Datos (AEPD) en el expediente de actuaciones previas de inspección E/06896/2014, procediéndose al archivo de las actuaciones en aplicación del principio de presunción de inocencia, habida cuenta de que la entidad denunciada facilitó a la Inspección de Datos de la AEPD documentación que acreditaba que el denunciante se dio de alta en 2011 en la web www.infomorosos.com, facilitó sus datos personales y consintió expresamente el envío de comunicaciones comerciales. Dicha resolución fue notificada a D. A.A.A. en fecha 03/02/2015, como lo acredita el acuse de recibo remitido por el Servicio de Correos que obra en el expediente. SEGUNDO: D. A.A.A. (en lo sucesivo el recurrente) ha presentado en esta Agencia en fecha 23/02/2015, recurso de reposición, fundamentándolo en esencia en los mismos argumentos expuestos en el escrito de denuncia. El recurrente niega “rotundamente” haber facilitado a Cordinadora Financiera e Hipotecaria, S.L.U., responsable del dominio www.infomorosos.com , ninguno de sus datos personales ni en 2011 ni con posterioridad. Añade que “ni siquiera se ha intentado seriamente investigar si se ha producido una infracción”. Afirma que “de los hechos relatados se deduce la posible comisión de otras infracciones” y concluye que la resolución que impugna es anulable al amparo del artículo 63.1 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) en relación con el artículo 89.1 de la citada norma. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la LRJPAC. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 II En el escrito de denuncia que dio origen al expediente de investigación E/06896/2014, el denunciante y actual recurrente manifestó que INFOMOROSOS no había cumplido lo preceptuado en la Ley Orgánica 15/1999 “respecto a la protección debida a mis datos de un uso fraudulento, o lo que es lo mismo que no comercie con mis datos” y que asimismo había “incumplido lo preceptuado en la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico respecto a no contar con mi autorización expresa para la utilización de mi dirección de correo electrónico”. La denuncia concluía pidiendo que la AEPD investigara la existencia legal del fichero en el que INFOMOROSOS contiene sus datos; la fuente de procedencia de éstos y que se ordenara su baja inmediata del fichero de la entidad denunciada. El artículo 122 del Reglamento de desarrollo de la LOPD (RLOPD) aprobado por el Real Decreto 1720/2007 señala que “1. Con anterioridad a la iniciación del procedimiento sancionador se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación…” (El subrayado es de la AEPD) Como resultado de las actuaciones de investigación practicadas se concluyó que no se daban las circunstancias que justificaban la apertura de un expediente sancionador. En tal sentido, se dejó constancia en la resolución impugnada de que los datos de contacto del denunciante que fueron tratados por Cordinadora Financiera e Hipotecaria, S.L.U., responsable del dominio www.infomorosos.com, formaban parte de un fichero inscrito en el Registro General de Protección de Datos, el denominado “fichero clientes” con el código ***CÓD.1. Respecto a la procedencia de los datos de contacto del denunciante tratados por www.infomorosos.com ( la dirección electrónica ...@...) se verificó a través de la documentación recabada por la Inspección de Datos que habían sido proporcionados por el denunciante mediante la cumplimentación de un formulario el 22/11/2011 a las 14.17 h. Que ese formulario se envió a la denunciada desde la dirección IP ***IP.1 y Host ..................., siendo la dirección remitente ...@...; esto es, la misma en la que el denunciante ha recibido el correo publicitario que está en el origen de su denuncia. Es más, entre los datos del formulario que se cumplimentó en 2011 consta el nombre y apellidos del denunciante, su número de DNI, su dirección postal y su fecha de nacimiento. Datos que coinciden plenamente con los que figuran en la copia del DNI que el recurrente ha facilitado a este organismo. También se incluía entre los datos recogidos en el formulario el número de referencia de las posiciones del denunciante en el fichero de morosidad ASNEF. A la vista de la información recabada durante las Actuaciones de Investigación previa, la AEPD concluyó que no concurrían “indicios razonables” -o como dice el artículo 122 del RLOPD “circunstancias que justifiquen”- la incoación de un expediente sancionador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 Por lo que atañe a la solicitud del entonces denunciante de que se ordene la baja de sus datos del fichero de INFOMOROSOS basta decir que, como indica el artículo 21.2 de la LSSI, puede en todo caso oponerse al tratamiento de sus datos de carácter personal. Ahora bien, con arreglo a lo prevenido en el artículo 23 del RLOPD el derecho de oposición, como el resto de los derechos ARCO, tiene carácter “personalísimo”, de forma que únicamente puede ejercitarlo su titular o su representante legal o voluntario. En el presente caso es importante recordar –toda vez que uno de los argumentos que el recurrente aduce es que “ni siquiera se ha investigado seriamente si se ha producido una infracción”- que, tal como consta en la resolución impugnada, INFOMOROSOS aportó a la AEPD el documento que acreditaba cuál fue el origen de los datos del denunciante. En particular aportó, como se dijo en la resolución, “el documento que acredita que el denunciante cumplimentó la ficha de la entidad desde la dirección IP ***IP.1 y Host ................... y los datos que facilitó en ese trámite: nombre, apellidos, NIF, dirección postal, fecha de nacimiento, teléfono fijo y teléfono móvil. Asimismo ha facilitado la referencia de la carta que ASNEF EQUIFAX envió al denunciante informándole de la inclusión de sus datos en el fichero ASNEF (Referencia ***REF.1)” (El subrayado es de la AEPD) Esta circunstancia demuestra que INFOMOROSOS obró con plena diligencia, pues adoptó las medidas necesarias para estar en condiciones de probar cuál fue el origen de los datos tratados ya que recabó y conservó la dirección IP y demás datos que acreditaban que el formulario de su página web se había cumplimentado con los datos personales del denunciante. A ese respecto hay que advertir que, a los efectos de la imposición de una sanción ha de concurrir necesariamente un doble elemento: la conducta antijurídica descrita en el tipo sancionador y el elemento subjetivo de la infracción. Esto porque rige en nuestro Derecho el principio de culpabilidad, que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca la responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999 en la que el Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. También la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) proclama en el artículo 130.1 el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”.(El subrayado es de la Agencia) En el asunto que examinamos la conducta de INFOMOROSOS –que recabó los datos del denunciante y actual recurrente a través de un formulario de su página web y que ha conservado la información relativa a la fecha en la que se cumplimentó el formulario, dirección electrónica remitente y dirección IP desde la que se envió- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 evidencia que desplegó la diligencia que era procedente y que las circunstancias del caso exigían, lo que priva a su conducta (incluso aunque tal conducta fuera antijurídica por haber sido un tercero el que suplantó la identidad del titular de los datos y cumplimentó el formulario) del elemento subjetivo de la culpabilidad. Así pues, a tenor del principio de culpabilidad, que implica que no puede exigirse responsabilidad por las conductas antijurídicas si no concurre el elemento de la culpa, sea a título de dolo, negligencia o simple inobservancia, los hechos sobre los que versa la denuncia no podrían dar lugar a la exigencia de responsabilidad administrativa sancionadora. La Audiencia Nacional ha seguido de modo reiterado esa doctrina pudiendo traer a colación la SAN de 29/04/2010 en la que el Tribunal manifestó lo siguiente: “Es cierto que el denunciante no ha dado su consentimiento para el tratamiento de sus datos de carácter personal por parte de (...), pero no lo es menos que nos hallamos ante un supuesto de uso fraudulento de su identidad por parte de un tercero (…) que se hizo pasar por D. Teodulfo (…) por lo que nada hacía sospechar que dicha persona no era quien aparentaba ser. Así, al igual que razonamos en nuestra sentencia de fecha 29 de octubre de 2009, a la vista de las especiales circunstancias concurrentes en el caso de autos, no cabe apreciar culpabilidad alguna (ni siquiera a título de culpa o falta de diligencia) en la actuación de la entidad recurrente, que actuó en la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal con una documentación en apariencia auténtica y a ella correspondiente, por lo que estaba legitimada para el tratamiento de sus datos de carácter personal”. La misma Sentencia afirma también que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) Por otra parte, a la vista de las alegaciones del recurrente procede señalar que la responsabilidad en la que pudiera haber incurrido un eventual suplantador la identidad del recurrente, que en tal caso habría cumplimentado el formulario y facilitado sus datos haciéndose pasar por él, y/o la responsabilidad en la que pudiera haber incurrido la denunciada por una eventual falsificación de la prueba, excede de la competencia atribuida a este organismo por lo que tal cuestión debería sustanciarse ante los Tribunales de justicia. Hechas las precisiones anteriores se dan por reproducidos los argumentos expuestos en la resolución impugnada, de la que se trascriben los siguientes Fundamentos Jurídicos: << II Actualmente se denomina “spam” a todo tipo de comunicación no solicitada hecha por vía electrónica y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 posibilidades que ofrece en cuanto al volumen de las transmisiones han permitido que esta práctica se realice de forma abusiva e indiscriminada. El envío de publicidad a través de medios electrónicos exige que previamente haya sido autorizado o consentido. Así lo establece el artículo 21 de la LSSI que obliga además al prestador del servicio a ofrecer al destinatario los mecanismos para oponerse al tratamiento de sus datos con fines promocionales exigiendo, si la comunicación comercial se efectúa por correo electrónico, que se ofrezca la posibilidad de oponerse a estos envíos a través de una dirección electrónica válida. El artículo 21 de la LSSI – según redacción introducida por Disposición Final segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (L.G.T.) - , dispone: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección” Por otra parte, la LSSI considera “Comunicación comercial” (apartado f, del Anexo “Definiciones”) a “toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica.” De los preceptos trascritos resulta que podría ser constitutivo de una infracción grave o leve de la LSSI -tipificadas, respectivamente, en los artículos 38.3.
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.