REPOSICION-PS-00290-2016

1/9 Procedimiento nº.: PS/00290/2016 ASUNTO: Recurso de Reposición Nº RR/00003/2017 Examinado el recurso de reposición interpuesto por la entidad PROCTER & GAMBLE ESPAÑA contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00290/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 21 de noviembre de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00290/2016, en virtud de la cual se imponía a la entidad PROCTER & GAMBLE ESPAÑA, por una infracción del artículo 21 de la LSSI, tipificada como grave en el artículo 38.3

1. c)de la LSSI, una multa de 20.000 € ( veinte mil euros), de conformidad con lo establecido en el artículo 39 de la citada LSSI. Dicha resolución, que fue notificada al recurrente en fecha 30/11/2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00290/2016, quedó constancia de los siguientes: procedimiento sancionador, UNO.- Según consta en los sistemas de P & G, desde el mes de noviembre de 2013 los datos de la denunciante no podían ser utilizados para acciones comerciales por medios electrónicos. (Folio 90), tal como se deduce de la consulta realizada en dichos sistemas, sobre la tabla que guarda el histórico de solicitudes de baja, utilizando el criterio de búsqueda el correo electrónico que comience por “patricia_bautista”, hallándose dos solicitudes de baja de 20/11/2013. DOS.- Se desprende de los folios 59 a 64, los datos de la denunciante fueron incluidos en las campañas publicitarias entre el 22/07/2014 hasta al menos el 14/01/2016, lo que implica que ha sido receptora de comunicaciones comerciales por medios electrónicos. TRES.- Representantes de P & G manifiestan en escrito de 25/01/2016 en relación con lo sucedido con la denunciante, lo siguiente: (…)La denunciante entró en la base de Datos el 31 de Octubre del 2007 vía una promoción offline. En el año 2007, la Base de Datos de P&G estaba compuesta por dos Programas de CRM, llamados Corporate y GHH (también conocido como “Próxima a ti”). El primero incluía las comunicaciones marca por marca, y el segundo, un programa más completo, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 con características similares a otros portales femeninos en el mercado como “En Femenino” o “Telva”, y en el que, además de contenido de las marcas de P&G, podían encontrarse, contenidos generales interesantes para las consumidoras (consejos de belleza, recetas, etc.). El 5 de noviembre de 2013 la denunciada recibe, dentro del programa “Corporate”, un correo electrónico y la solicitud de baja realizada el 20 de noviembre de 2013, que se tramita ese mismo día a través del portal ARCO, se refiere a los envíos programa “Corporate”. En Junio de 2014 la denunciante fue migrada desde la base de datos de BISNODE a 1CP únicamente en el programa GHH ya que había sido dada de baja del programa “Corporate”.(…) TERCERO: PROCTER & GAMBLE ESPAÑA ha presentado en fecha 29/12/2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en lo siguiente: -aportación de documentos adicionales: La denunciante únicamente revoco su consentimiento a recibir publicidad de determinadas marcas de PG, manteniéndose vigente las del programa Próxima a Ti. Aportando al efecto la impresión de pantalla del portal ARCO vigente en noviembre de 2013, y no el que consta en el expediente que corresponde a una versión implantada a partir de 2014. En la impresión de pantalla del portal ARCO de 2013, se ofrecían ambas posibilidades a los usuarios, la baja respecto de Próxima a ti y respecto de marcas concretas. la impresión de pantalla que se acompaña al escrito de recurso acreditan que la denunciante no se dio de baja del programa Próxima a Ti, siendo plenamente conocedora de dicha circunstancia en el momento de su solicitud. La denuncia se refiere a la solicitud de baja del año 2015 y la denunciante no ha contradicho los hechos alegados por esta parte. Además fue receptora de comunicaciones desde 2013 hasta 2015 y no se opuso a las mismas, a pesar de que en cada una se ofrecía la posibilidad de hacerlo. Por tanto existen indicios que permiten establecer la vigencia del principio in dubio pro reo y presunción de inocencia. -incorrecta graduación de la sanción. No se compare la existencia de intencionalidad, ni que tampoco se vincule a un error informático, sino que como se expone anteriormente la denunciante no solicito la baja del programa PROXIMA A TI, sino solamente del programa CORPORATE. Asimismo en cuanto al plazo de tiempo que se ha venido cometiendo la infracción, y la calificación de grave y por tanto de “insistente o sistemática” debe señalarse que ambos elementos han servido para agravar la conducta lo que vulnera el principio de proporcionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por PROCTER & GAMBLE ESPAÑA, relativas a la incorrecta valoración de los hechos fundamentada en la aportación de documentación adicional, debe señalarse en primer lugar, el valor probatorio de los “pantallazos” (capturas de pantalla de un sistema informático) ha sido analizado por reiterada jurisprudencia, sirva citar la Sentencia de la Audiencia Nacional (Sala de lo Contencioso-Administrativo, Sección 1ª) Sentencia núm. 379/2016 de 15 julio, en cuyo Fundamento de Derecho Tercero recoge lo siguiente: En cuanto a la impresión del registro de pantalla en la página web www.lotonazo.com. en el año 2005, lo cierto es que esta Sala ha declarado en la Sentencia de 9 de abril de 2008 ( PROV 2008, 130034 ) -recurso nº.235/2006 -, que los pantallazos o reflejos informáticos no acreditan la prestación del consentimiento: "...no se trata más de un simple "pantallazo" informático, que nada acredita ni aporta ninguna información relevante a la hora de poder acreditar el consentimiento del titular de los datos". En igual sentido se pronuncia la Sentencia también de esta Sala de 17 de marzo de 2015 -recurso nº. 103/2014 -. Por otro lado, el acta notarial que recoge el proceso de inscripción en la citada web y la política de privacidad de éstas, es de 19 de octubre de 2006, y por tanto, posterior a la fecha en que ADSALSA afirma que se inscribió el denunciante en el año 2005, por lo que no puede establecerse la presunción de que se utilizó tal procedimiento de inscripción a la fecha en que causaron alta los datos del denunciante. Pero es que en todo caso, con la mencionada acta notarial se acredita que el procedimiento de inscripción es el que consta en dicho documento público, pero no que el denunciante hubiera inscrito sus datos. En relación con el certificado de Aldanti Internacional en el que aporta el nº de registro del denunciante en sus sistemas PK498902, es cierto que lleva fecha de 10 de febrero de 2012, cuando los hechos denunciados son de enero y febrero de 2013, pero aun tratándose de una error tipográfico, lo cierto es que dicha entidad no es un tercero independiente como considera la parte actora, pues aquella entidad tuvo relaciones comerciales con dicha parte. En efecto, como reconoce la parte actora en las alegaciones efectuadas en vía administrativa, entre los años 2005 y 2008, el citado grupo Aldanti, con sede en el Reino Unido, con el que la parte recurrente en aquel entonces mantenía relaciones comerciales, organizó un concurso a través del sitio web C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 "lotonazo.com". Es decir, se concluye que los elementos probatorios analizados no sirven para acreditar el consentimiento para el tratamiento de datos personales, lo que traído al presente caso, minimiza el valor probatorio para delimitar la revocación o la oposición a recibir comunicaciones comerciales que pretende P&G. A mayor abundamiento, en este caso ni siquiera se pretende probar que es el registro de la denunciante, sino que desde la representación de la recurrente se afirma – sin prueba alguna- que era el “portal ARCO” vigente en noviembre de 2013 y por dicha circunstancia (coincidencia de fechas) ha de entenderse que es el utilizado por la denunciante. La jurisprudencia citada avala la desestimación de las presente alegaciones, ya que en el caso analizado por el Tribunal se aportaba la política de privacidad vigente en un portal web en unas fechas determinadas, con escritura pública notarial y certificado de tercera entidad, y sin embargo tales parámetros probatorios no sustentaron que efectivamente el usuario en aquella ocasión, se inscribió y acepto dicha política de privacidad. En este caso, son aún más endebles los elementos que aporta la recurrente, puesto que es una impresión de pantalla respecto de cuyo valor probatorio debe hacerse la remisión al primer párrafo del presente fundamento de derecho. Finalmente, en cuanto a la aportación de documentos en esta instancia de recurso de reposición, que según se deduce, existían a la fecha de la tramitación del procedimiento sancionador, y nada se aportó, deben considerarse lo dispuesto en el segundo párrafo del artículo 118 de la LPACAP: No se tendrán en cuenta en la resolución de los recursos, hechos, documentos o alegaciones del recurrente, cuando habiendo podido aportarlos en el trámite de alegaciones no lo haya hecho. Tampoco podrá solicitarse la práctica de pruebas cuando su falta de realización en el procedimiento en el que se dictó la resolución recurrida fuera imputable al interesado. Por todo ello, las alegaciones referidas a la prueba de la oposición realizada por la denunciante, únicamente a un programa determinado, con los elementos aportados, han de ser desestimadas por las razones de fondo y formales que se han puesto de manifiesto. III En cuanto a la graduación de la sanción, con carácter subsidiario al primer motivo alegado por la recurrente, debe señalarse que la resolución analiza adecuadamente los elementos concurrentes para determinar la antijuricidad de la conducta y la culpabilidad de P&G, a cuyo Fundamento de Derecho V y VI se hace la oportuna remisión, y se transcribe a continuación. <<V De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 se consideran infracciones graves y leves las siguientes “3. Son infracciones graves:
2. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
3. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b), se producirá una infracción de carácter grave a los efectos de la LSSI. El presente supuesto se ajusta al tipo de infracción establecido en el artículo 38.3
4. c)de la LSSI, calificado como infracción grave, al tratarse de un envío masivo de comunicaciones comerciales, téngase en cuenta que la dirección de correo electrónico de la denunciante es objeto de dichas comunicaciones sin su autorización desde la fecha 22/07/2014 hasta al menos el 14/01/2016, en 99 ocasiones. VI Según establece el art. 39.1, apartados
5. b)y c), de la LSSI, las infracciones graves podrán ser sancionadas con multa de 30.001 hasta 150.000 € y las leves, con multa de hasta 30.000 €, fijando los criterios para su graduación los artículos 39 bis y 40 de la misma norma, que disponen lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
6. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9
7. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
8. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
9. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
10. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
11. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
12. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador, por dicho incumplimiento.” “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
13. a)La existencia de intencionalidad.
14. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
15. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
16. d)La naturaleza y cuantía de los perjuicios causados.
17. e)Los beneficios obtenidos por la infracción.
18. f)Volumen de facturación a que afecte la infracción cometida.
19. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 órgano u órganos competentes. P & G solicita la aplicación de la figura del apercibimiento prevista en el art. 39 bis 2 de la LSSI, sin embargo debe señalarse que es una potestad de la AEPD que no ha sido adoptada antes de iniciar el presente procedimiento, por lo que una vez iniciado el mismo no es posible su tramitación. Todo ello sin perjuicio de que el acaecimiento de las circunstancias que permiten su aplicación, no operan ipso iure, sino que es la administración competente la que, tras la valoración de las circunstancias concurrentes, adopta un acuerdo u otro. En las alegaciones formuladas a la propuesta de Resolución, P & G sostiene la vulneración del principio de legalidad, por dos motivos diferenciados (no aplicación del apercibimiento cumpliendo los requisitos legales, y no aplicación del art. 39 bis LSSI para degradar la gravedad, cumpliendo también los requisitos legales) que sin embargo no pueden prosperar y deben resolverse poniendo de manifiesto que dicho principio invocado – el de legalidad – se vulnera cuando la administración actúa al margen de la norma, es decir, fuera de las facultades que el ordenamiento jurídico le otorga y en el presente caso se ha actuado observando la estricta legalidad. No obstante lo anterior, concurren circunstancias que permiten aplicar la degradación prevista en el art. 39 bis 1 de la LSSI, en su apartado a), ya que concurre significativamente varios criterios del art. 40 que hacen disminuir la antijuridicidad de la infracción, como son la ausencia de constancia de beneficios obtenidos por la infracción – apartado e- y el volumen de facturación que afecta a la infracción cometida – apartado f). Por ello procede graduar dentro del intervalo de las infracciones leves, el importe de la sanción. Ahora bien, en relación con los apartados
20. a)existencia de intencionalidad y
21. b)plazo de tiempo durante el que se haya venido cometiendo la infracción debe señalarse que como parámetro de graduación, hacen determinar el importe de la sanción en el tramo superior, ya que debe recordarse que los hechos valorados ocurren por la deficiente gestión de los mecanismos de baja u oposición de los sistemas de la citada entidad. No puede admitirse que la razón por la que no se produjo efectivamente la baja es por que únicamente se eliminó del programa CORPORATE y de los restantes de su CRM no se hizo, ya que dicha circunstancias por si sola da forma al elemento de culpabilidad, ya que aun a título de simple inobservancia se puede imputar la comisión de una infracción (art. 130 LRJPAC). En ese sentido conviene traer a colación la Sentencia de la Audiencia Nacional de 26/03/2015 recaída en el recurso núm. 178/2013 que analiza el “error informático” como elemento insuficiente para eliminar la antijuricidad de la conducta, señalando (…)La concurrencia de un supuesto error informático como justificante de la remisión indebida de correos electrónicos no puede ser admitida por esta Sala y ellos pues son muchas las sentencias en las que se han insistido en que los errores informáticos no son suficientes para eliminar la antijuridicidad de las conductas sancionadas. Así en las sentencias dictadas en los recursos 110/2013 ó 368/2012. La existencia de un supuesto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 error informático, que también alega la parte recurrente en su escrito de demanda, no es suficiente para entender justificada la conducta de la recurrente y ello pues los referidos errores informáticos generan responsabilidad en quien los padece cuando producen daños a los titulares de otros bienes jurídicos como, en el caso presente, es el derecho a no recibir comunicaciones no deseadas (así se ha dicho por esta Sala en multitud de sentencias de entre las que cabe citar las correspondientes a los recursos 110/2013 ó 368/2012) En este caso debe atenderse a la profesionalidad del sujeto infractor y su relación con la aplicación de la LSSI – recuérdese que P & G comercializa sus productos, además de por los medios tradicionales, utiliza internet (www.proximaati.com)y la publicidad por correo electrónico- , de la que se deriva una diligencia en el cumplimiento de la misma de mayor rigor, que por ejemplo otra entidad dedicada a otro sector. Es decir, el citado apartado
22. a)del art. 40 – la existencia de intencionalidad -, hay que conectarlo con la diligencia exigible, y en este caso respecto de la entidad denunciada agrava el reproche sancionador, junto con la circunstancia prevista en el apartado
23. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción, que es aplicable al caso concreto dado el tiempo transcurrido desde la fecha en que consta en los sistemas de P & G la negativa de la denunciante a ser objeto de publicidad electrónica y la fecha en que efectivamente es excluida de tales acciones. Por todo ello, en relación con los criterios de graduación de las sanciones recogidos en los artículos transcritos y, en especial, las circunstancias previstas en los apartados
24. a)y
25. b)del art. 40, procede proponer la imposición de una sanción en la cuantía de 20.000 euros.>> La recurrente niega el acaecimiento de un error y mantiene que la denunciante únicamente curso la baja del programa CORPORATE y no del PROXIMA A TI, aportando en apoyo a dicha argumentación el elemento probatorio que ha sido ya analizado sin el resultado pretendido, por lo que no se ven alterados los parámetros utilizados en la Resolución recurrida para graduar el importe de la sanción atendiendo a la diligencia desplegada y exigible a la entidad. III Por lo tanto, en el presente recurso de reposición, PROCTER & GAMBLE ESPAÑA no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por PROCTER & GAMBLE ESPAÑA contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 21 de noviembre de 2016, en el procedimiento sancionador C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 PS/00290/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad PROCTER & GAMBLE ESPAÑA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es