← España

REPOSICION-PS-00281-2018

1/16 Procedimiento nº.: PS/00281/2018 ASUNTO: Recurso de Reposición Nº RR/00772/2018 Examinado el recurso de reposición interpuesto por la entidad XFERA MÓVILES, S.A.U. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00281/2018, y en base a los siguientes HECHOS PRIMERO: Con fecha 22 de octubre de 2018, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00281/2018, en virtud de la cual se imponía a XFERA MÓVILES, S.A.U., una sanción de 4.000 €, por la vulneración de lo dispuesto en el artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), infracción tipificada como leve en el artículo 38.4.

  1. d)de esa norma, de conformidad con lo establecido en los artículos 39.1.
  2. c)y 40 de la citada Ley. Dicha resolución, que fue notificada al recurrente en fecha 23 de octubre de 2018, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00281/2018, quedó constancia de los siguientes: procedimiento sancionador, <<HECHOS PROBADOS 1. D. A.A.A., (el denunciante), es titular del número de teléfono móvil ***TELEFONO.1, perteneciente a ORANGE ESPAÑA VIRTUAL, SLU en la fecha de los hechos denunciados. 2. El denunciante afirma no haber mantenido ni mantener relación contractual alguna con XFERA, así como no haber solicitado información comercial alguna o comunicado sus datos, no habiéndole tampoco autorizado a dicha empresa el envío de publicidad. Asimismo, ha negado haber facilitado sus datos a la página web www.premium-sales.es ni para participar en un sorteo ni para que sus datos fueran utilizados con fines comerciales o para cualquier otro uso. 3. Con fecha 25 de octubre de 2017 las sociedades AD 735 DATA MEDIA ADVERTISING, S.L. (en el contrato, AD735) y DIGITAL MEDIA, PUBLICIDAD, MARKETING Y DISTRIBUCIÓN, S.L., (en el contrato, DIGITAL MEDIA), suscribieron contrato en el que ambas empresas exponían: “(A) DIGITAL MEDIA es una compañía de publicidad especializada en la venta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 de espacios publicitarios on-line Y DE MENSAJES DE TEXTO A ANUNCIANTES. (B) El Propietario de los Datos posee una base de datos con las direcciones de correo electrónico y los números de teléfono de aquellos de sus clientes que han mostrado una disposición favorable a ser contactados por anunciantes con fines comerciales mediante correo electrónico y mediante mensajes de texto (La “Base de Datos”). (C) El Propietario de los Datos es consciente del potencial comercial que presenta dicha Base de Datos y, con la finalidad de explotarlo, desea ahora encargar a DIGITAL MEDIA: (
  3. i)que contacte con posibles anunciantes interesados en remitir publicidad a los sujetos que figuren en la Base de Datos y acuerde con ellos las relaciones comerciales pertinentes, y (II) que, en calidad de encargado del tratamiento, realice con la Base de Datos el tratamiento que sea necesario para que la publicidad de los anunciantes llegue a los sujetos incluidos en ella y para que pueda medirse la efectividad de dicha publicidad. (D) DIGITAL MEDIA subcontratará a terceros algunos de los servicios que va a prestar de acuerdo con el presente contrato (el “Contrato”) (E) Ambas partes están interesadas en la explotación por parte de DIGITAL MEDIA de la base de datos propiedad de AD735 en base a las siguientes: CLÁUSULAS PRIMERA.- OBJETO En virtud del presente contrato, AD735 confiere mandato (el “Mandato”) a DIGITAL MEDIA para que, en su nombre y representación: (
  4. i)Establezca las oportunas relaciones comerciales con los anunciantes interesados en remitir publicidad a los individuos que figuran en la Base de Datos, y (
  5. ii)Lleve a cabo en la Base de Datos el tratamiento que sea preciso para hacer posible que la publicidad de los anunciantes llegue a los sujetos incluidos en la misma y para que se mida y cuantifique la eficacia de la actividad publicitaria realizada.(…)” TERCERO.- LA BASE DE DATOS (…) 5. El Propietario de los Datos garantiza que la base de datos cumple con la Ley sobre Protección de Datos en vigor y con la Legislación Nacional en vigor. 6.El Propietario de los Datos reconoce que ha hecho todas las notificaciones exigidas por los organismos reguladores de acuerdo con la Ley sobre Protección de Datos y garantiza que dichas notificaciones son correctas y suficientes para permitir el procesamiento de datos de la información mantenida en la Base de Datos por parte de DIGITAL MEDIA y sus subcontratistas. 4. XFERA ha aportado “Contrato de Cesión de Uso de Bases de Datos” suscrito con fecha 15 de enero de 2018 por XFERA MÓVILES, SAU con las entidades DIGITAL MEDIA PUBLICIDAD, MARKETING y DISTRIBUCIÓN, S.L., (en adelante DIGITAL MEDIA), WILSON MEDIA PUBLICIDAD, MARKETING Y DISTRIBUCIÓN, S.L. (en adelante WILSON MEDIA) y D&D PERFORMANCE MARKETING, S.L. (en adelante D&D). Estas tres entidades, se mencionan en el contrato en conjunto como Grupo DIGITAL C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 MEDIA, mientras que XFERA aparece denominada como El Cliente. En la cláusula I del citado contrato consta que: “El objeto principal de este contrato lo constituye la cesión del uso de las bases de datos de Grupo Digital Media a favor del Cliente, que lo toma y acepta, para la realización de las campañas publicitarias (…). Así, el Cliente accederá al contenido de las bases de datos propiedad del Grupo Digital Media para llevar a cabo el envío de información comercial mediante SMS (Short Message Service) (…) La cesión de uso de bases de datos se llevará a cabo, conforme a las garantías realizadas por Grupo Digital Media mencionadas en el expositivo del presente contrato, una vez el Cliente formalice una orden de compra o pedido donde se identificará las bases de datos que se ponen a disposición del Cliente así como su código de inscripción en el Registro General de la Agencia Española de Protección de Datos como fichero. (…) “ 5. En el punto 3.
  6. a)del apartado de “Proteccion de datos de carácter personal” del documento “Términos y Condiciones” del sitio web www.premium-sales.es, del que AD735 es titular, consta en cuanto al “Registro y contacto” que: “El Sitio Web ofrece la posibilidad a los usuarios mayores de edad de registrarse como usuarios a través del apartado “Registrarse Ahora” para acceder a información ampliada sobre concursos y promociones de terceros. El registro requiere la aportación de los siguientes datos de carácter personal: nombre y apellidos, fecha de nacimiento, país de residencia, correo electrónico, dirección, nacionalidad, tenencia dehijos y, opcionalmente, teléfono móvil. (…) El registro supone la aceptación de las presentes condiciones y, en concreto, del sometimiento de los datos aportados a las siguientes finalidades de tratamiento: mantenimiento de la relación de AD735 Data media Advertising SL con el usuario; ofrecer al usuario promociones e información, mediante cualquier canal, incluidos los electrónicos, de productos y servicios tanto propios como de terceras empresas exclusivamente pertenecientes a los sectores de actividad siguientes: (…) Telecomunicaciones (…). En ningún caso se cederán o facilitarán datos personales a terceras empresas, personas o entidades sin contar conel consentimiento expreso del usuario.” 6. DIGITAL MEDIA ha indicado que los datos del denunciante le fueron facilitados por la mercantil AD735. para la prestación de servicios de publicidad, de acuerdo con lo establecido en el contrato suscrito entre ambas mercantiles el día 01/02/2018, cuyo contenido es el mismo que el del contrato presentado por AD735 como suscrito con DIGITAL MEDIA con fecha 25 de octubre de 2017. 7. AD735 ha indicado a esta Agencia respecto de los datos del denunciante comunicados a DIGITAL MEDIA para su uso con fines comerciales: - C/ Jorge Juan, 6 28001 – Madrid Que el denunciante facilitó voluntariamente su nombre, apellidos y número de teléfono móvil del denunciante, con fecha 4 de abril de 2017, al cumplimentar el formulario incluido en la web http://www.preium-sales.es www.agpd.es sedeagpd.gob.es 4/16 para participar en el sorteo de un viaje, momento en el que acepto la política de privacidad y las condiciones de uso y bases del sorteo haciendo clic en el checkbox que aparecía en dicho formulario, consintiendo de este modo también al tratamiento de los datos de carácter personal recabados para su uso con finalidades comerciales y publicitarias. - “AD375 no ha celebrado ningún contrato con MASMOVIL. No obstante, el tratamiento de los datos de carácter personal contenidos en el fichero automatizado del que es titular AD735 se ha encargado a la mercantil DIGITAL MEDIA PUBLICIDAD MARKETING Y DISTRIBUCIÓN, S.L.” para “llevar a cabo la explotación comercial del mismo, de conformidad con la normativa vigente en materia de protección de datos de carácter personal.” 8. En la captura de pantalla aportada por AD735 con los datos que supuestamente le facilitó el denunciante el día 04/04/2017 al cumplimentar el formulario para participar en el sorteo de un viaje únicamente consta su nombre, apellidos y número de móvil, no apareciendo el resto de datos personales que, en principio, deben ser facilitados por los usuarios al darse de alta en el formulario en cuestión. 9. XFERA ha aportado copia de un correo electrónico que afirma le fue remitido el día 14 de diciembre de 2017 por DIGITAL MEDIA junto con la base de datos en la que estaba incluido el número de teléfono móvil del denunciante. En relación con esa documentación, con fechas 14 y 17 de septiembre de 2018 se constató que el citado correo electrónico figuraba remitido con fecha 14 de diciembre de 2017 desde la cuenta B.B.B. <***EMAIL.1> a la dirección ***EMAIL.2, así como que el telefono ***TELEFONO.1 titularidad del denunciante estaba incluido en la base de datos adjuntada al mismo. 10. El denunciante ha aportado sendas grabaciones de vídeo que muestran que con fechas 22/12/2017, 07/02/2018 y 23/03/2018 recibió en su línea de teléfono móvil ***TELEFONO.1 tres SMSs comerciales en los que se ofertaban productos y servicios comercializados por XFERA. Estos envíos ofrecían un enlace de baja para no recibir más envíos.>> TERCERO: Con fecha 23 de noviembre de 2018 XFERA MÓVILES, S.A.U., (en lo sucesivo, el recurrente), ha presentado en esta Agencia Española de Protección de Datos recurso de reposición, en el que solicita la revocación de la resolución impugnada, para lo cual, da por reproducidas las alegaciones vertidas con anterioridad y, arguye, en síntesis, en relación con la resolución recurrida: - Falta de responsabilidad administrativa de XFERA a título de culpa. La recurrente discrepa de que el contrato celebrado el 15 de enero de 2018 con las entidades DIGITAL MEDIA, WILSON MEDIA y D&D, y cuyo objeto era la cesión de uso de las bases de datos a favor de XFERA para la realización de las campañas publicitarias, pueda calificarse de genérico, rechazando también que XFERA no contemple la adopción de las medidas necesarias para asegurarse de que la entidad contratada había recabado los datos cumpliendo las exigencias establecidas, tal y como puede observarse de lo establecido en el Exponen II del Contrato citado. El contrato informa del origen de los datos en el Exponen I y II, por lo que los requisitos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 descritos por la doctrina sostenida por la sentencia de la Audiencia Nacional no concurren en este caso, por lo que no puede exigírsele la responsabilidad administrativa que se le imputa. La resolución obvia que el Exponen II del contrato describe la operativa empleada por el proveedor para recabar, conservar y ceder los datos a XFERA, y que aunque no se cita a la LSSI, tanto en la parte expositiva del Contrato como en su clausulado se regula la actividad de que es objeto la LSSI. Se afirma que el hecho de no citar explícitamente dicha norma no puede ser constitutivo, por sí solo, de comisión de la infracción administrativa imputada. Discrepan de que su actuación no respondiera a la diligencia debida, ya que desplegó la diligencia debida que las circunstancias del caso exigían. A este respecto, mantiene que los datos personales del denunciante se trataron en el marco del negocio jurídico de la cesión de uso de las bases de datos, en las que se encontraban alojados los datos del denunciante para la realización de campañas publicitarias. Dicho negocio jurídico se formalizó mediante la celebración del contrato anteriormente reseñado, en el que se recogen una serie de garantías en las que por parte del proveedor se describe cuál es su operativa y se manifiesta que la misma cumple con la normativa aplicable, siendo bajo dicho marco jurídico y dichas garantías que se utilizaron los datos personales del denunciante para la remisión de los envíos comerciales denunciados. Por lo que mantiene que su conducta no genera ninguna responsabilidad administrativa. Subsidiariamente, alegan que en aplicación del principio de proporcionalidad recogido en el artículo 29 de la LRJSP la sanción debería ser graduada atendiendo como atenuantes, junto a los ya aplicados, los criterios a), c),
  7. e)y
  8. f)del artículo 40 de la LSSI. Subsidiariamente a lo anterior, solicita la aplicación de lo previsto en el artículo 39.2 bis de la LSSI al concurrir todos los requisitos exigidos para ello. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del IV al VII, ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<IV En el presente supuesto, de la valoración conjunta de los elementos fácticos y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 documentación obrantes en el procedimiento sancionador, ha quedado acreditado que XFERA envió con fechas 22 de diciembre de 2017 y 7 de febrero y de marzo de 2018 tres comunicaciones comerciales por SMS al número de teléfono móvil ***TELEFONO.1 del denunciante, constando también en el procedimiento que la información relativa a dicha línea le fue cedida a XFERA por DIGITAL MEDIA, que es una compañía especializada en comercializar bases de datos propiedad de terceros para su uso en campañas publicitarias a favor de los anunciantes, dato que, a su vez, le había sido comunicado a DIGITAL MEDIA por AD735, que es la empresa responsable y propietaria del fichero del que procedían los datos del denunciante usados por XFERA para llevar a cabo los envíos denunciados. Si bien XFERA ha reconocido haber realizado tales envíos comerciales utilizando el número de teléfono móvil del denunciante incluido en la base de datos que le fue cedida por DIGITAL MEDIA con fecha 14 de diciembre de 2017, sin embargo, de lo actuado no consta acreditado que estos mensajes se efectuaran mediando autorización expresa o solicitud previa del destinatario de los mismos para ello. Así, de la lectura del documento “Términos y Condiciones” del sitio web www.premium-sales.es que contiene la “Política de Privacidad y las condiciones de uso, así como las bases del sorteo” supuestamente aceptadas por el denunciante cuando, según la entidad AD735, se dió de alta para paticipar en el sorteo de un viaje cumplimentando el formulario incluido en dicho portal y marcando la casilla de aceptación de dicho documento, se evidencia que, de considerarse probado lo alegado por esa empresa, el denunciante únicamente habría consentido el uso de sus datos por parte de la misma para el mantenimiento de la relación y para recibir publicidad enviada por esa mercantil, por cualquier canal, incluidos los electrónicos, de productos y servicios propios y de terceras empresas pertenecienes a los sectores de actividad que se citaban en dicho documento. Es decir, los usuarios del portal que cumplimentaban el reseñado formulario y marcaban la casilla de aceptación de la política de privacidad del responsable del fichero únicamente consentían al tratamiento de sus datos personales por parte de AD735 con las finalidades descritas en el documento, no autorizando, por tanto, la cesión de sus datos a terceros con fines de publicidad o cualquier otra finalidad. De hecho, en el citado documento “Términos y Codiciones” AD735 informa a los usuarios que se registran en el sitio web que : “En ningún caso se cederán o facilitarán datos perrsonales a terceras empresas, personas o entidades sin contar con el consentimiento expreso del usuario.” Por lo tanto, las cesiones de datos del denunciante por parte de AD735 a DIGITAL MEDIA y de esta entidad a XFERA se llevaron a cabo incumpliendo el artículo 11.1 de la LOPD, toda vez que la comunicación de datos del denunciante se realizó sin mediar consentimiento previo del titular de los datos para ello, motivo por el cual se han instruido por esta Agencia a AD735 y DIGITAL MEDIA sendos procedimientos sancionadores por vulneración de dicho precepto, que bajo la rúbrica “Comunicación de datos“, dispone que: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado “, A mayor abundamiento, el denunciante ha negado haber facilitado sus datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 cumplimentando un formulario incluido en la página web www.premium-sales.es para poder participar en el sorteo de un viaje, al igual que ha negado haber consentido el uso de sus datos por dicha empresa para fines comerciales u otra finalidad. En relación con esta cuestión no se estima suficiente la documentación aportada por AD735 para justificar el origen de los datos del afectado registrados en el fichero propiedad de esa empresa (nombre, apellidos, telefono móvil), cuya explotación comercial AD735 encargó con fecha 25 de octubre de 2017 a DIGITAL MEDIA, empresa ésta que con fecha 14 de diciembre de 2017 cedió a XFERA una base de datos con números de teléfono móvil procedentes del fichero de AD735, en la que se incluía la línea de telefono del denunciante, para ser utilizados por este operador para enviar SMSs promocionales de sus productos y servicios. Así, mientras en la captura en blanco del formulario del sorteo aportada por AD735 los usuarios debían rellenar obligatoriamente los campos del nombre, apellidos, e-mail, fecha de nacimiento, país, dirección, codigo postal y población del usuario que se daba de alta y, opcionalmente, el teléfono móvil, sin embargo, en el archivo de registro (log) presentado por esa empresa recogiendo la información supuestamente facilitada, con fecha 4 de abril de 2017, por el denunciante al cumplimentar el formulario del sorteo de la página web http://www.premium-sales.es únicamente constan los datos correspondientes al nombre, apellidos, teléfono móvil y país del denunciante. Ante tales circunstancias, que afectan a la cuestión de la carga de la prueba, resulta de aplicación el criterio mantenido por la Audiencia Nacional en la Sentencia de fecha 17 de mayo de 2007, Recurso 157/2005, en el que, respecto de un caso que también afectaba al incumplimiento de lo previsto en el artículo 21 de la LSSI, se arguyó que: “En caso de que los afectados hubieran negado haber otorgado dicho consentimiento, que la Ley no exige que sea escrito, correspondería al denunciado probar su existencia, como ha reiterado esta Sala en relación con el tratamiento inconsentido de datos.” En consecuencia, al no mediar consentimiento previo y expreso del denunciante a ninguna de las dos empresas reseñadas para la cesión de sus datos personales a terceros con la finalidad de remitirle publicidad a través de cualquier canal, no está acreditada la existencia de autorización previa y expresa del denunciante para recibir publicidad de XFERA por medios electrónicos (SMS) en su línea de teléfono móvil. Sentado lo anterior, únicamente eximiría a XFERA del cumplimiento de contar con el consentimiento previo y expreso exigido en el artículo 21.1 de la LSSI la acreditación de la existencia de una relación contractual previa con el denunciante, tal y como se recoge en el primer párrafo del apartado 2 del artículo 21 de la LSSI, y ello siempre y cuando esa entidad, como prestadora de servicios de la sociedad de la información, hubiera obtenido de forma lícita los datos de contacto del afectado, (lo que ya se ha razonado no ha ocurrido). los utilizase para enviarle comunicaciones comerciales relativas a productos o servicios similares a los inicialmente adquiridos por éste en su condición de cliente, y, además, le hubiera ofrecido en el momento de recogida de los datos un mecanismo sencillo y gratuito para poder oponerse al tratamiento de sus datos con fines promocionales. En este supuesto no resulta de aplicación dicha excepción que hubiera podido amparar el envío de los SMSs electrónicos analizados sin mediar dicho consentimiento, ya que XFERA no ha acreditado la existencia de relación contractual previa con el denunciante en los términos expresados en el artículo 21.2 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 De este modo, a la luz de los elementos fácticos obrantes en el procedimiento cabe concluir que XFERA ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI al enviar tres SMSs publicitarios a la línea de teléfono al denunciante sin acreditar que contase con la autorización expresa o solicitud previa del mismo para ello, y sin que quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 de dicha norma. V XFERA ha alegado en su descargo falta de culpabilidad en la comisión de la infracción que se le imputa, entendiendo que la cesión de uso se efectúa conforme a las garantías realizadas por DIGITAL MEDIA en el contrato celebrado con fecha 15 de enero de 2018, en el que se exponía: “I. Que DIGITAL MEDIA es una agencia de medios interactivos especializada, entre otros, en la prestación de los servicios propios del denominado marketing de afiliación y que dispone para ello de ciertas bases de datos de particulares y empresas interesados en promocionar en sus soportes digitales productos y/o servicios de terceros anunciantes a cambio de una comisión. II. Que DIGITAL MEDIA garantiza al Cliente que:
  9. a)Los datos incluidos en sus bases de datos han sido recabados con el consentimiento del afectado para la finalidad para los que van a ser empleados por el Cliente conforme a lo dispuesto en este contrato, así como cumpliendo con todos los requisitos que para ello exige la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (“LOPD”) y su normativa de desarrollo.
  10. b)Sus bases de datos cumplen los requisitos necesarios para su utilización en la realización de campañas, de acuerdo con lo dispuesto en el artículo 30 de la LOPD, y que está debidamente inscritas en el Registro General de la Agencia Española de Protección de Datos.
  11. c)Ha eliminado, y va a eliminar, de sus bases de datos, los datos de todos aquellos interesados que aparecen en los ficheros comunes de exclusión del envío de comunicaciones comerciales. III. Que Cliente es una empresa que se dedica a la actividad de prestación de servicios de telecomunicaciones. IV. Que el Cliente está interesada en contratar los servicios de DIGITAL MEDIA destinados a promocionar, haciendo uso de las bases de datos de particulares y empresas de las que dispone DIGITAL MEDIA, productos y/o servicios del Cliente y, con ello, optimizar los resultados de las campañas de publicidad y marketing digital a ella encomendadas por dichos clientes.” En consecuencia, XFERA defiende que no es administrativamente responsable de los hechos estudiados, puesto que antes de remitir los envíos desplegó la diligencia que le resultaba exigible a la hora de establecer las condiciones bajo las cuales podía usar la base de datos que su proveedor le cedía. No cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, bajo la rúbrica “Responsabilidad” establece que “Sólo podrán ser sancionadas por hechos constitutivos de infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. La jurisprudencia mayoritaria de nuestro Tribunal Supremo, así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Así, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En el presente caso, si bien no puede acreditarse una conducta dolosa por parte de XFERA, se considera que existe responsabilidad administrativa por su parte en la comisión de la infracción imputada del artículo 21.1 de la LSSI a título de culpa. En la Sentencia de fecha 30 de abril de 2015, recaída en el Recurso Contencioso-Administrativo 242/2013, la Audiencia Nacional entendió insuficientes las garantías que por contrato se señalaban por un proveedor de bases de datos, echándose en falta alguna medida por parte del usuario de la citada base de dados, indicando sobre este particular que: “Pues bien, lo estipulado en el contrato sobre el tratamiento de datos personales es genérico, ya que se viene a referir a que Todo Data Integral Services, S.L., debe cumplir las previsiones contenidas al efecto en la LOPD, no estableciendo ninguna medida tendente al cumplimiento de dichas obligaciones por parte de la parte recurrente. Con ello no se excluye, como pretende la parte actora, la responsabilidad de ésta en el tratamiento de datos. En efecto, se olvida dicha parte del apartado 3 del art. 46 del RDLOPD, no habiendo probado, ni siquiera alegado, qué medidas necesarias adoptó para asegurarse de que la entidad contratada, Todo Data Integral Services, S.L., había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. Como dijimos en la Sentencia de 3 de octubre de 2007 -recurso nº. 38/2006-, la responsabilidad del tratamiento de datos “le obligaba a extremar la diligencia hasta el punto de que debía informarse de la procedencia de los datos personales utilizados por la responsable del fichero en la campaña publicitaria. Campaña publicitaria que se efectuó en exclusivo beneficio de dicha entidad recurrente…”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 Teniendo en cuenta la genérica plasmación contractual de las garantías manifestadas por DIGITAL MEDIA en el expositivo II del contrato al que se refiere XFERA, no cabe duda que esta empresa podría haber actuado con mayor cuidado en razón de su profesionalidad, en tanto que, como empresa habituada al envío de publicidad por distintos medios, le resulta exigible el conocimiento y cumplimiento de los requisitos establecidos en la LOPD, LGT y LSSI según los medios o canales utilizados para el envío de publicidad, ello sin perjuicio de la aplicación subsidiaria de la LOPD. Así, en este caso, la documentación contractual aportada por XFERA únicamente hace referencia a la LOPD y su normativa de desarrollo, mientras que los mensajes publicitarios denunciados se efectuaron por medios electrónicos a los que resulta de aplicación lo dispuesto en el artículo 21 de la LSSI, norma que no se menciona en el expositivo y clausulado del citado contrato de fecha 15 de enero de 2018. Sin embargo, esta específica circunstancia fue obviada por XFERA en el momento de contratar, a pesar de que iba a utilizar los datos personales cedidos en virtud de dicho contrato en campañas publicitarias de sus productos y/o servicios por medios de comunicación electrónica. Además, esta Agencia considera que de la lectura del Exponen II del reseñado contrato, se evidencia que DIGITAL MEDIA no precisa “con detalle la operativa empleada por el proveedor para recabar, conservar y ceder los datos a XFERA”, al igual que dicho proveedor tampoco describe en el Exponen I el origen de los datos ni los mecanismos utilizados para recabar el consentimiento expreso de los titulares de los datos para la cesión de los mismos a terceros para su uso en campañas publicitarias realizadas por medios electrónicos, limitándose a indicar que “dispone para ello de ciertas bases de datos de particulares y empresas interesados en promocionar en sus soportes digitales productos y /o servicios de terceros anunciantes a cambio de una comisión.”. En cualquier caso, la comisión de la infracción no deriva del “hecho de no citar explícitamente“ la LSSI en el contrato celebrado con fecha 15 de enero de 2018, sino del envío por parte de XFERA de tres SMSs al denunciante sin mediar autorización previa y expresa del mismo para recibir ese tipo de comunicaciones comerciales De este modo, a pesar de que DIGITAL MEDIA no menciona haber contemplado ninguna medida cautelar tendente a garantizar la existencia de consentimiento previo y expreso de los titulares de los datos a la cesión de los mismos a terceros para el envío de comunicaciones comerciales por medios electrónicos, incluidos los SMS, sin embargo, XFERA utilizó el teléfono móvil del denunciante que le fue cedido por DIGITAL MEDIA para enviarle tres SMSs comerciales sin adoptar ninguna precaución en ese sentido, tales como la realización de muestreos sobre el origen y forma de obtención de los datos recogidos, tipo de consentimiento obtenido para su tratamiento y cesión, información sobre formularios o sistemas utilizados para recabar los datos objeto de cesión, o cualquier otra adecuada y proporcional al caso analizado. Precauciones que de haberse adoptado, en forma previa o en el momento de suscribir el contrato, hubieran permitido verificar, en la medida de lo posible, si el uso de los datos cedidos se acomodaba a las exigencias de la LSSI. A tenor de lo cual, a XFERA le era exigible otra conducta diferente de la observada. De lo que se colige, que no es suficiente diligencia la firma de un contrato con un expositivo o clausulado genérico, en especial si el mismo ni menciona la normativa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 que resulta de aplicación en las campañas publicitarias a realizar con los datos cedidos. Por lo que atañe a la diligencia que es exigible en estos casos, la SAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Sentado lo anterior, en relación con el elemento subjetivo en la comisión de la infracción se considera probado que XFERA no observó la diligencia debida para asegurarse de la existencia de consentimiento del denunciante a la cesión de sus datos personales para recibir comunicaciones comerciales por SMS, y que le resultaba exigible debido a las continuas campañas publicitarias por medios electrónicos que lleva a cabo a fin de promocionar sus productos y servicios. En conclusión, XFERA resulta responsable, a título de culpa, de vulnerar la prohibición recogida en el artículo 21.1 de la LSSI. VI El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación”. La definición de prestador del servicio se contiene en el apartado
  12. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De acuerdo con lo establecido en el artículo 38 de la LSSI, se consideran infracciones graves y leves las siguientes: “Artículo 38. Infracciones. 1. Las infracciones de los preceptos de esta Ley se calificarán como muy graves, graves y leves. (…) 3. Son infracciones graves:
  13. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
  14. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción de carácter grave a los efectos de la LSSI. A partir del conjunto de hechos y circunstancias constatadas en el presente caso y con arreglo a lo dispuesto en los citados preceptos, la conclusión que se desprende es que el incumplimiento del artículo 21.1 de la LSSI que se estudia en el presente caso se ajusta al tipo de infracción calificada como leve en el artículo 38.4.
  15. d)de la LSSI, ya que el número de mensajes comerciales remitidos por XFERA al denunciante se limita a tres SMSs no consentidos ni solicitados, lo que no puede ser calificado como “envío insistente o sistemático” de comunicaciones comerciales no autorizadas por medios electrónicos por parte de la referida entidad. Por lo que XFERA resulta responsable, a título de culpa, de la comisión de una infracción leve a lo previsto en el artículo 38.4.
  16. d)de la LSSI, ya que dicha entidad no ha acreditado disponer de autorización previa y expresa del denunciante para el envío de publicidad al mismo por medios electrónicos, en este caso por SMS. VII Según establece el art. 39.1.c), de la LSSI, las infracciones leves podrán ser sancionadas con multa de hasta 30.000 €, fijando los criterios para su graduación los artículos 39 bis y 40 de la misma norma, que disponen lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
  18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  22. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  23. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador, por dicho incumplimiento.” “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  24. a)La existencia de intencionalidad.
  25. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  26. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  27. d)La naturaleza y cuantía de los perjuicios causados.
  28. e)Los beneficios obtenidos por la infracción.
  29. f)Volumen de facturación a que afecte la infracción cometida.
  30. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. En cuanto a la aplicación del apercibimiento contemplado en el artículo 39 bis 2 de la LSSI, ha de ponerse de manifiesto que de la literalidad del artículo 39 bis 2 se evidencia que la previsión contenida en el mismo de sustituir la incoación de un procedimiento sancionador por la figura del apercibimiento al infractor es potestativa del órgano sancionador, correspondiendo su ponderación a dicho órgano atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado 1 del mismo precepto , siempre y cuando también se cumplan los presupuestos
  31. a)y
  32. b)citados en el propio precepto. Es decir, la aplicación del artículo 39 bis 2 de la LSSI por el órgano sancionador resulta excepcional y discrecional, por lo que la mera concurrencia de los requisitos citados en dicho artículo no conlleva “per se” la obligatoriedad de su acuerdo por el órgano sancionador. En relación con los criterios de graduación de las sanciones recogidos en el transcrito artículo 40 de la LSSI, tras las evidencias obtenidas en el procedimiento sancionador, se considera que en este supuesto actúan como agravante el criterio
  33. a)del mencionado artículo, por cuanto se ha producido una falta de diligencia por parte de XFERA al remitir tres SMS al denunciante sin que conste el consentimiento expreso del mismo para el envío de comunicaciones comerciales por vía electrónica, siendo exigible a la citada entidad un mayor control a los efectos de verificar la existencia de tal autorización, en especial cuando la información utilizada procede de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 bases de datos de terceros que se han limitado a afirmar la previa obtención de tal consentimiento sin aportar prueba acreditativa de tal circunstancia, a lo que se suma que XFERA es una entidad habituada al envío de este tipo de mensajes comerciales en el desarrollo de su actividad, lo que la obliga a un especial conocimiento de los requisitos establecidos en el artículo 21 de la LSSI. Asimismo, se considera que actúan como atenuantes los criterios
  34. b)y
  35. d)del reseñado artículo 40 de la LSSI, atendido que se trata de tres envíos de naturaleza comercial remitidos en un plazo de tres meses y no hay constancia de que dicha entidad haya causado perjuicios al denunciante. Se rechaza que resulte de aplicación como atenuante el criterio
  36. e)del artículo 40 de la LSSI. Ya que frente a la ausencia de beneficios alegada como consecuencia de los SMS enviados resulta conveniente traer a colación la Sentencia de la Audiencia Nacional, Sala de lo Contencioso Administrativo, de 17/04/2018 (Rec. 254/2017) que rechazó la pretensión de la demandante, sancionada por la AEPD, de que se estimara esta circunstancia en calidad de atenuante. La SAN argumenta que “En cuanto a la ausencia de beneficios, no cabe sino reiterar lo argumentado por la resolución recurrida, respecto a que lo relevante es que la actuación de XXXX sí estuvo motivada por la búsqueda de beneficio económico, por lo que el hecho de que aquél no llegara finalmente a obtenerse no puede servir de fundamento a una atenuación de culpabilidad o antijuridicidad de su conducta”. Este mismo espíritu es el que recoge la SAN de 31/03/2017 (Rec. 845/2015), y que se considera también sustenta rechazar la aplicación del criterio
  37. f)del artículo 40 de la LSSI como atenuante. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 40 de la LSSI, se considera adecuado a la gravedad de los hechos analizados imponer una sanción de 4.000 € a la entidad XFERA MÓVILES, S.A.U. por la infracción del artículo 21.1 de la LSSI, cuantía que, por otra parte, se encuentra dentro del tercio inferior del rango establecido para las infracciones leves a la LSSI.>> III A la vista de las consideraciones efectuadas en el Fundamento de Derecho V se evidencia que la recurrente no actuó, como aduce, “con el debido control y la diligencia mínima que le resultaba exigible a la hora de establecer las condiciones bajo las cuales podía usar la base de datos que su proveedor le cedía”, puesto que no realizó ningún tipo de acción tendente a comprobar la veracidad de las manifestaciones y garantías contenidas en el Exponen I y II del reseñado Contrato y, además, no controló de forma alguna que el consentimiento de los titulares a la cesión de sus datos se extendiera a las comunicaciones electrónicas que precisan del consentimiento expreso de los destinatarios de los envíos para su realización. Conviene reseñar que el hecho de no citar explícitamente en el mencionado Contrato la LSSI no constituye la fundamentación de la comisión de la infracción administrativa imputada, sino que el uso de dicha circunstancia ratifica la falta de diligencia mostrada por XFERA. La infracción radica en la vulneración por la recurrente de la prohibición de enviar comunicaciones comerciales por medios electrónicos sin mediar autorización previa y expresa del destinatario de las mismas, en este caso el denunciante. Por lo tanto, teniendo en cuenta que XFERA como remitente de los SMS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 comerciales estudiados debía estar en disposición de acreditar que contaba con el consentimiento previo y expreso del denunciante para enviarle dichas comunicaciones, -lo que también se ha argumentado en la resolución no sucedía-, y no constando que tomase ninguna medida para comprobar dicha circunstancia en relación con la base de datos cuyo uso se cedía, y en la que se incluía la línea de teléfono móvil del denunciante, se estima que resulta responsable la comisión de la infracción imputada al estar probado que los tres envíos denunciados se remitieron por la recurrente al denunciante sin mediar autorización expresa del mismo para ello. Por otra parte, los argumentos utilizados por la recurrente para defender la inexistencia de culpa en la comisión de la infracción imputada se ven enervados teniendo en cuenta que la base de datos utilizada para la remisión de los SMS estudiados fue cedida a XFERA por DIGITAL MEDIA con fecha 14 de diciembre de 2017 y que la recurrente remitió el primer SMS comercial al denunciante el día 22 de diciembre de 2017, es decir, la cesión de la base de datos y la remisión del primer envío no autorizado se llevaron a cabo con anterioridad al día 15 de enero de 2018, fecha de celebración del “Contrato de Cesión de Base de Datos” aludido. IV En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por XFERA MÓVILES, S.A.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 22 de octubre de 2018, en el procedimiento sancionador PS/00281/2018. SEGUNDO: NOTIFICAR la presente resolución a la entidad XFERA MÓVILES, S.A.U.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  38. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  39. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.