REPOSICION-PS-00060-2019

1/9 Procedimiento nº.: PS/00060/2019 180-100519 Recurso de reposición Nº RR/00420/2019 Examinado el recurso de reposición interpuesto por Don A.A.A., (en adelante, el recurrente), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00060/2019, y en base a los siguientes HECHOS PRIMERO: Con fecha 15 de abril de 2019, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00060/2019, en virtud de la cual se imponía a una sanción de 1.000 € (Mil euros), por la vulneración de lo dispuesto en el artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), infracción tipificada como leve en el artículo 38.4.

1. d)de esa norma, de conformidad con lo establecido en los artículos 39.1.
2. c)y 40 de la citada Ley. Dicha resolución, que fue notificada al recurrente en fecha 26 de abril de 2019, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, (en adelante LOPDPGDD), ello en base a lo dispuesto en la Disposición Adicional Cuarta de dicha Ley Orgánica, y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00060/2019, quedó constancia de los siguientes: procedimiento sancionador, <<HECHOS PROBADOS PRIMERO: Con fecha 27 de septiembre de 2018 se remitió una comunicación comercial desde la cuenta de correo ***EMAIL.1 a la dirección de correo electrónico ***EMAIL.2, en la que se ofrecían los servicios de viralizar cuentas de Instagram prestados por ***EMPRESA.1, Agencia de Social Media Marketing. SEGUNDO: Al pie de la mencionada comunicación comercial, que figuraba firmada por B.B.B. en calidad de Manager de ***EMPRESA.1, aparecía la siguiente información: Los datos de tu correo electrónico los hemos cogido de tu perfil de Instagram. Una vez mandado este correo, no volveremos a utilizar los datos de tu perfil. No estás en ninguna lista de suscripción, por lo que nunca te mandaremos más correos a nuestro nombre. Agradecemos tu consideración por facilitar tu correo electrónico a través de tu perfil de Instagram. Un saludo.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 TERCERO: El envío no ofrecía a su destinatario un procedimiento de baja consistente en una dirección de correo electrónico o dirección electrónica válida para evitar continuar recibiendo este tipo de comunicaciones comerciales. CUARTO: Con fecha constatándose: 6 de febrero de 2019 se accede a la página web ***URL.1, Que A.A.A. y B.B.B. se anuncian, respectivamente, en la misma como Instagram Growth Hacker y como Content Creator del equipo de la Agencia ***EMPRESA.1. Que en el “Aviso Legal” del mencionado portal se informa que: “La empresa titular de dominio web es A.A.A. (en adelante ***EMPRESA.1), con domicilio a estos efectos en ***DIRECCION.1 de CIF.: ***CIF.1 inscrita en régimen de autónomos”. >> TERCERO: Con fecha 29 de mayo de 2019 el recurrente ha presentado, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los siguientes argumentos: - Niega la autoría del envío aduciendo que la reclamación se dirige contra Don B.B.B., (en adelante CM), que fue quien envió la comunicación comercial desde la cuenta de correo privada ***EMAIL.1, pero no desde una cuenta del dominio ***DOMINIO.1 registrado a su nombre, lo que evidencia que la comunicación no se remitió desde una cuenta corporativa del reseñado dominio. - CM es un autónomo independiente que presta sus servicios como profesional experto, pero que en ningún momento actúa ni como representante de mi actividad ni como autónomo ni del dominio ***DOMINIO.1. - El recurrente puntualiza que: “1. Una cosa es actuar bajo el amparo de una sociedad mercantil, que bajo esa sociedad tenga registrado un nombre de dominio y se haya mandado desde esa cuenta de dominio el hecho que se me imputa, cuestión que no ha ocurrido. 2. Otra es representar a una marca comercial que carece de derechos y obligaciones para entablar contra ella acciones sancionadoras 3. y otra es la actividad que cada autónomo realice en su actividad independiente.” - Que se han vulnerado todos los principios del procedimiento administrativo sancionador al no haberse agotado todas las vías posibles para comunicarle el inicio del procedimiento sancionador con anterioridad a su publicación en el BOE. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, debe señalarse que en los Fundamentos de Derecho III al V, ambos incluidos, de la Resolución recurrida se razona, a la vista de los hechos que han resultado probados, la responsabilidad del recurrente en relación con la infracción imputada, tal como se transcribe a continuación: <<III A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. El artículo 21 de la LSSI señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. A su vez, el apartado
3. d)del anexo de la LSSI define al “Destinatario del servicio” o “destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información”. De este modo, la LSSI, en su artículo 21.1, prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Del precepto señalado se deduce que es de aplicación la normativa de protección de datos de carácter personal, si bien la remisión que se efectúa a la LOPD ha de interpretarse como hecha al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD en adelante), aplicable desde el 25 de mayo de 2018, y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), en vigor desde el 7 de diciembre de 2018. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 4.11) RGPD, que define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;”. Por su parte el artículo 6.1.
4. a)del RGPD establece en cuanto a la “Licitud del tratamiento” que: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
5. a)El interesado dio su consentimiento para el tratamiento de sus datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 personales para uno o varios fines específicos; “ A su vez, el artículo 7 del RGPD determina en cuanto a las “Condiciones para el consentimiento” que: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.” En cuanto al derecho de oposición, los apartados 2 al 4 del artículo 21 del RGPD disponen lo siguiente: “2. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia. 3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines. 4. A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información. 5. En el contexto de la utilización de servicios de la sociedad de la información, y no obstante lo dispuesto en la Directiva 2002/58/CE, el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas.” Así las cosas, de acuerdo con dicho Reglamento, el consentimiento otorgado para la recepción de publicidad por medios de comunicación electrónica, además de previo, libre, específico e inequívoco, deberá ser informado, ofreciendo la posibilidad de oponerse a dicho tratamiento con fines promocionales y advirtiendo sobre el derecho a retirar el consentimiento en cualquier momento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 IV Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
6. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. El concepto de comunicación comercial, de acuerdo con la definición recogida en el Anexo f), párrafo primero de la LSSI, engloba todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. Por otro lado, la LSSI en su Anexo a), define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales (…)”. Según el apartado
7. d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
8. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. V C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 En el presente procedimiento ha quedado probado que, con fecha 27 de septiembre de 2018, se remitió desde la cuenta de correo ***EMAIL.1 a la dirección de correo electrónico ***EMAIL.2 una comunicación comercial en la que se promocionaban los servicios de viralizar cuentas de Instagram prestados por la Agencia Social Media Marketing “***EMPRESA.1”. Del contenido de la propia comunicación se evidencia que para su remisión no mediaba autorización expresa o solicitud previa de su destinatario, puesto que en el cuerpo del mensaje se señala que el remitente obtuvo los datos del correo electrónico del destinatario de su perfil de Instagram. En consecuencia, se trata de un envío comercial remitido por un medio de comunicación electrónica sin mediar el consentimiento previo y expreso de su destinatario para ello, circunstancia que, por otra parte, no ha sido enervada mediante ningún medio de prueba por Don MVR, quien según la información obrante en la página web ***URL.1 es el titular del citado dominio web y actúa como Instagram Growth Hacker. Amén de lo anterior, el envío comercial analizado no ofrece al destinatario un mecanismo de baja para oponerse al uso de sus señas electrónicas con fines promocionales, ya que no incluye una dirección de correo electrónico o dirección electrónica válida a través de la que poder manifestar tal negativa. De lo razonado, se colige que ha quedado probado que Don MVR incumplió la prohibición recogida en el artículo 21 de la LSSI, toda vez que envío una comunicación comercial al correo electrónico del reclamante, destinatario de la misma, sin contar con el consentimiento previo y expreso de su destinatario y que, además, no contenía una dirección de correo electrónico u otra dirección electrónica válida para poder oponerse al tratamiento de sus señas electrónicas con fines publicitarios, no cabiendo en este supuesto aplicar la excepción al consentimiento recogida en el artículo 21.2 de la LSSI al no mediar relación contractual previa entre remitente y destinatario del correo electrónico comercial analizado. >> III En el presente caso ha quedado acreditado que el destinatario del envío no había consentido en forma expresa y previa la remisión de la comunicación comercial analizada ni tampoco mantenía una relación contractual anterior con el remitente, toda vez que al pie de la comunicación remitida se indica que la dirección de correo electrónico utilizada se había obtenido del perfil de Instagram del destinatario. El recurrente trata de exonerar su responsabilidad en la comisión de la infracción descrita aduciendo que fue remitida por CM desde una cuenta particular en lugar desde una cuenta corporativa. A este respecto señalar que el hecho de que el envío no se realizase desde una cuenta corporativa del dominio ***DOMINIO.1 registrado a su nombre no enerva la responsabilidad imputada al mismo en relación con el envío de la comunicación comercial no autorizada estudiada. No hay que olvidar que en la comunicación comercial reseñada se publicitan los servicios ***EMPRESA.1, Agencia de Social Media Marketing, ni que de la lectura del envío se evidencia que CM figura citado en el mismo como persona de contacto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 esa Agencia en su condición de manager de la misma. Por lo cual, no se trata, como pretende el recurrente, de un envío efectuado por CM a título individual o en el marco de una actividad del mismo independiente a ***EMPRESA.1, explicando, a su vez, que en el nombre de la cuenta de gmail.com desde la que se remitió la comunicación aparezca ***EMPRESA.1. Por otra parte, consta en el expediente que CM forma parte del equipo de ***EMPRESA.1 como “Content Creator” mientras que el recurrente lo hace “Instagram Growth Hacker” (hecho probado cuarto). El conjunto de circunstancias citadas vinculan la remisión de la comunicación comercial no autorizada estudiada al recurrente, que es el responsable de la página web ***URL.1 en la que se publicitan los servicios de Agencia, según figura en el Aviso Legal de la misma, y, por lo tanto, prestador de servicios de la sociedad de la información sobre el que recae la responsabilidad del envío de la comunicación comercial. En cuanto a la alegación efectuada respecto de la publicación del acuerdo de inicio del procedimiento sancionador vía BOE, se señala que en el Antecedente Cuarto de la Resolución se indica que la misma se practicó por dicha vía de conformidad con lo dispuesto en los artículos 44,45 y 46 de la Ley 39/2015, de 1 de octubre, del Procedimiento Común de las Administraciones Públicas. IV En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Don A.A.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 15 de abril de 2019, en el procedimiento sancionador PS/00060/2019. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
9. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
10. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es