1/6 Procedimiento nº.: PS/00258/2014 ASUNTO: Recurso de Reposición Nº RR/00895/2014 Examinado el recurso de reposición interpuesto por la entidad EL CORTE INGLES, S.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00258/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 21 de octubre de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00258/2014 , en virtud de la cual se imponía a la entidad EL CORTE INGLES, S.A., una sanción de 1.000 €, por la vulneración de lo dispuesto en el artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI),infracción tipificada como leve en el artículo 38.4.
- d)de dicha norma, de conformidad con lo establecido en los artículos 39.1.
- c)y 40 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 28 de octubre de 2014, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00258/2014, quedó constancia de los siguientes: procedimiento sancionador, <<HECHOS PROBAD OS PRIMERO: Consta que con fechas 11 y 17 de junio de 2013 la denunciante dirigió desde su cuenta de correo electrónico .....@aoutlook.es a la dirección de correo electrónico ......@elcorteingles.es, la última con copia a ....@viajes.... , sendas solicitudes en las que ponía de manifiesto su deseo de no recibir ningún tipo de publicidad en su dirección de correo electrónico. Consta también que con fecha 13 de junio de 2013 la denunciante dirigió desde su cuenta de correo electrónico .....@aoutlook.es a la dirección de correo electrónico ....@viajes.... petición solicitando que lo enviasen más publicidad ni promociones ni ofertas de ningún tipo a través de mi correo electrónico” (folios 2 al 4) SEGUNDO: Con fecha 26 de junio de 2013 la denunciante recibe en su cuenta de correo electrónico .....@aoutlook.es procedente de la dirección ......1@elcorteingles.es una comunicación con el Asunto “oposición”, en la que desde la Asesoría Jurídica de El Corte Ingles se le informa de que: “En respuesta a su atenta solicitud en la que se indica su deseo de no recibir publicidad, ponemos en su conocimiento, tal y como dispone la Ley Orgánica de Protección de Datos de Carácter Personal, que hemos procedido a dar las instrucciones necesarias para que no se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 efectúen nuevos envíos de publicidad a su domicilio aunque es posible que, con anterioridad a su solicitud, se hubieran preparado ya nuevos envíos que puede recibir en su domicilio al no haber sido posible su retirada del correo”. (folios 5, 33, 34, 64 y 65) TERCERO: Con fechas 02/08/2013, 26/09/2013, 31/10/2013 y 19/11/2013 la denunciante recibe en su cuenta .....@aoutlook.es desde la dirección de correo electrónico ......2@elcorteingles.es un total de cuatro comunicaciones comerciales con ofertas de diversos productos y servicios comercializados por El Corte Ingles. (folios 7, 8, 40 al 52, 75 al 80) CUARTO: Se ha comprobado que el dominio elcorteingles.es consta registrado a nombre de El Corte Inglés, S.A. (folios 125 y 126) QUINTO: En el marco de la inspección efectuada en la sede de El Corte Inglés, S.A. el representante de dicha entidad indicó, según consta en el Acta de Inspección E/07676/2013/I-0, que: - Los cuatro correos electrónicos objeto de inspección, que se correspondían con los recibidos por la denunciante, fueron remitidos por El Corte Inglés, S.A., en el marco de campañas publicitarias realizadas por dicha empresa destinadas a sus clientes y a los clientes de Financiera El Corte Inglés, EFC, S.A. (folios 53, 54, 56 al 61) - La dirección de correo electrónico ......1@elcorteingles.es es utilizada por El Corte Inglés, S.A para el envío de comunicaciones comerciales a sus clientes, así como para las campañas que encarga Financiera El Corte Inglés EFC, S.A. - El Corte Inglés, S.A. atiende las solicitudes de baja u oposición de los clientes a través de cualquier medio en el que se reciban, postal, electrónico (......@elcorteingles.
- es)o telefónico. (folio 53) SEXTO: Consta que el Corte Inglés, S.A. recibió la solicitud de fecha 17 de junio de 2013 en la que la denunciante reiteraba que no deseaba recibir ningún tipo de publicidad en su cuenta de correo electrónico. (folios 54 y 62 ) SÉPTIMO: Respecto de los datos de la denunciante, en los sistemas informáticos del grupo El Corte Inglés consta marcada la baja de publicidad en las empresas El Corte Inglés, S.A. y Centro de Seguros, no constando dada de baja en publicidad en las empresas Financiera El Corte Inglés, E.F.C., S.A. y Viajes El Corte Inglés, S.A. (folios 54 y 67 al 69) OCTAVO: En los sistemas informáticos del grupo El Corte Inglés los envíos comerciales objeto de denuncia aparecen en la columna de “Negocio” asignados al código 001 – EL CORTE INGLÉS”. (folios 54 y 69 al 72) NOVENO: En la “Solicitud de Tarjeta de Compra” suscrita por la denunciante, aportada por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 la representación de Financiera El Corte Inglés, EFC, S.A., no figura ningún campo a cumplimentar por el titular de la tarjeta o persona autorizada correspondiente al dato del correo electrónico. (folio 90) DÉCIMO: Financiera El Corte Inglés, EFC, S.A. ha afirmado no disponer del dato del correo electrónico de la denunciante, negando que ésta lo hubiera facilitado al suscribir el contrato de Tarjeta de Compra. También ha afirmado que no envía correos electrónicos con publicidad a sus clientes. (folios 88, 89, 119)>> TERCERO: EL CORTE INGLES, S.A., en lo sucesivo el recurrente, ha presentado en el Servicio de Correos, en fecha 25 de noviembre de 2014, recurso de reposición, registrado de entrada en esta Agencia Española de Protección de Datos con fecha 27 de noviembre de 2014, en el que, tras dar por reproducido lo manifestado en el procedimiento sancionador, fundamenta su impugnación, básicamente, en lo siguiente: Que la Agencia no ha tenido en cuenta que con posterioridad a que la denunciante solicitase la baja de envíos publicitarios y El Corte Inglés, SA marcase, a tales efectos, el registro informático de la afectada como Robinson, ésta contrató un servicio en una de las agencias de la sociedad Viajes El Corte Inglés, S.A., para lo cual suscribió un contrato en el que, entre otras condiciones recogidas en el clausulado del mismo, autorizaba a dicha sociedad a ceder los datos del cliente a todas las empresas del grupo El Corte Inglés, entre las que se encuentra la recurrente. Por lo tanto, esta nueva autorización provoca que se cree un nuevo registro del cliente y que se le remitan, nuevamente, emails publicitarios. - Que si la cliente se registra en otra empresa y solicita a la misma la cancelación de sus datos, pero esta empresa no comunica a los cesionarios de los datos de la denunciante copia de la solicitud o no informa adecuadamente de tal circunstancia, el cesionario no puede dar cumplimiento al artículo 16.4 de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 II En relación con las manifestaciones efectuadas por EL CORTE INGLES, S.A., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que éstas ya fueron analizadas y desestimadas en el Fundamentos de Derecho V de la Resolución recurrida, tal como se transcribe a continuación: <<V En el presente supuesto ha quedado acreditado que El Corte Inglés, S.A. remitió con fechas 02/08/2013, 26/09/2013, 31/10/2013, desde la cuenta de correo electrónico ......2@elcorteingles.es un total de cuatro comunicaciones comerciales a la dirección de correo electrónico .....@aoutlook.es de la denunciante promocionando productos y servicios comercializados por dicha empresa. Asimismo, ha quedado probado que las mencionadas comunicaciones comerciales se enviaron por la entidad imputada sin contar con el consentimiento previo y expreso de su destinataria, puesto que se remitieron tanto con posterioridad a que dicha empresa tuviera conocimiento de la voluntad de la denunciante de no recibir publicidad en sus señas electrónicas (folios 62 y 63), como después de habérsele confirmado por la Asesoría Jurídica de El Corte Inglés que se había procedido a dar las instrucciones pertinentes para ello (folios 64 y 65). En relación con dicha cuestión resulta conveniente señalar que la denunciante había manifestado su oposición a la recepción de envíos comerciales en su cuenta de correo electrónico dirigiendo, con fechas 11 y 17 de junio de 2013, sendas solicitudes en tal sentido a la dirección de correo electrónico ......@elcorteingles.es habilitada a tal efecto por El Corte Inglés, S.A. (folio 122) y enviando también otra solicitud de baja con fecha 13 de junio de 2013 a la dirección ....@viajes...., cuenta a la que también se remitió copia del correo de fecha 17 de junio de 2013. Además, se observa que en el expediente figura documentación interna del Grupo acreditativa de que, al menos, con fecha 18 de junio de 2013, la entidad imputada tenía conocimiento de la voluntad de la denunciante de que sus datos no se utilizarán con fines promocionales (folios 62 y 63), al igual que debía tenerlo Viajes El Corte Inglés, S.A. a cuya cuenta de bajas se envió solicitud de baja con fecha 13 de junio de 2013 y se remitió copia de la petición de fecha de 17 de junio de 2013. A mayor abundamiento, debe observarse que la entidad imputada no ha acreditado el origen del dato del correo electrónico utilizado para remitir las citadas comunicaciones comerciales a la denunciante. Así, no ha probado que procediera de Financiera El Corte Inglés, EFC, S.A., como se indicó durante la inspección de fecha 27 de marzo de 2014, puesto que dicha entidad ha afirmado que no recabo dicha información de la denunciante. Tampoco ha justificado que le fuera facilitado por la empresa Viajes El Corte Inglés, S.A., como afirmó en su escrito de fecha 26 de junio de 2014 al indicar que la denunciante se había registrado en la página web de dicha empresa, circunstancia que implicaba autorizar la cesión de sus datos a las empresas del Grupo El Corte Inglés. (folios 83, 84, 104 119, 121) Igualmente, no debe olvidarse que en los ficheros de marketing del Grupo El Corte Ingles figura marcada la baja de publicidad en los datos de la afectada asociados a la empresa El Corte Ingles, S.A. (folio 68), ni que dicha sociedad ha indicado que el motivo por el que la cuenta de correo de la denunciante está dada de baja de publicidad para esa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 empresa es por petición realizada por la cliente (folios 121 y 122). Por lo tanto, los envíos remitidos con fechas 02/08/2013, 26/09/2013, 31/10/2013 y 19/11/2013 por la entidad imputada desde una cuenta de correo electrónico utilizada por dicha empresa en sus campañas publicitarias, conforme consta en el Acta de Inspección levantada el día 27 de marzo de 2014, se efectuaron sin mediar consentimiento expreso de la denunciante para ello, puesto que en esas fechas El Corte Inglés S.A. ya conocía que ésta había manifestado su oposición al tratamiento de sus datos con fines promocionales, anulando de esta forma cualquier autorización que anteriormente hubiera podido prestar con tal finalidad, o que, incluso, pudiera derivar de una relación contractual previa mantenida entre ambas partes, la cual tampoco ha sido justificada en este supuesto. Sentado lo anterior, no puede considerarse que los envíos objeto de imputación estuvieran amparados por ningún tipo de autorización o solicitud previa de la denunciante, lo que supone un incumplimiento por parte de la entidad imputada de la prohibición recogida en el artículo 21.1 de la LSSI de enviar comunicaciones comerciales por medios de comunicación electrónica o similares que no hayan sido previamente solicitadas o expresamente autorizadas por los destinatarios de las mismas.>> III En cuanto al motivo alegado por la recurrente para justificar los envíos denunciados, esta Agencia se reitera en que EL CORTE INGLÉS, S.A. no ha acreditado, como pretende, que después de haber tramitado la baja de publicidad en sus sistemas se diera la circunstancia de que VIAJES EL CORTE INGLÉS, S.A. le hubiera cedido el dato del correo electrónico de la denunciante para su uso publicitario, toda vez que la afectada había consentido tal cesión a todas las empresas del grupo El Corte Inglés con posterioridad a sus solicitudes de baja de sus datos personales con fines publicitarios. Sobre esta cuestión se observa la existencia de discrepancia en las versiones ofrecidas por la recurrente en cuanto al modo en que, supuestamente, la afectada consintió la cesión de sus datos personales a las empresas del grupo, dando lugar con ello a la remisión de las comunicaciones comerciales denunciadas, toda vez que mientras en el escrito de alegaciones al acuerdo de inicio se indicaba que fue al registrarse en la página web de VIAJES EL CORTE INGLÉS, S.A. (folio 104), sin embargo en el recurso de reposición se señala que fue a raíz de contratar un servicio en una de las agencias de dicha empresa. De hecho, ya durante el período de práctica de pruebas del procedimiento se solicitó a la recurrente la realización, entre otras, de las siguientes pruebas para que acreditase sus alegaciones en lo referente a este asunto: “ - Envío de la documentación acreditativa del registro de la denunciante en la página web de Viajes El Corte Inglés, S.A., con justificación tanto de la fecha exacta en que la afectada se dio de alta en la misma como del detalle específico de los datos facilitados por ésta, en especial el relativo al correo electrónico. - C/ Jorge Juan, 6 28001 – Madrid Envío de los términos y condiciones vigentes en el momento del registro que aparecían en la citada página web, con remisión de prueba que acredite su www.agpd.es sedeagpd.gob.es 6/6 aceptación por la denunciante al registrarse. - Mecanismos establecidos para darse de baja de la página web de Viajes El Corte Inglés, S.A. que le fueron comunicados a la denunciante al darse de alta en la misma.” No obstante lo cual, y a pesar de tratarse de información vinculada a actos en los que la recurrente intervendría como parte en su condición de cesionaria, y que por lo tanto, podría haber sido aportada por la misma respecto de aquella información obrante en sus ficheros y dirigiéndose a la cedente para obtener el resto de información, se limitó a indicar que tal información debía ser solicitada a VIAJES EL CORTE INGLÉS, S.A. sin justificar mediante ningún medio de prueba, por lo tanto, sus afirmaciones, al igual que tampoco lo ha hecho al recurrir. IV Por lo tanto, en el presente recurso de reposición, EL CORTE INGLES, S.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por EL CORTE INGLES, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 21 de octubre de 2014, en el procedimiento sancionador PS/00258/2014. SEGUNDO: NOTIFICAR la presente resolución a la entidad EL CORTE INGLES, S.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es