1/9 Procedimiento Nº: EXP202406716 (PS/00356/2024) Recurso de Reposición Nº RR/00735/2024 Examinado el recurso de reposición interpuesto por la entidad DIGITAL PHOTO IMAGE, S.A. con NIF.: A60984259 (en adelante, la recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, el 24/10/24, en el procedimiento EXP202406716 (PS/00356/2024), por vulneración de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI) y en base a los siguientes: HECHOS PRIMERO: Con fecha 24/10/24, la Directora de la Agencia Española de Protección de Datos dictó Resolución en el Procedimiento EXP202406716 (PS/00356/2024), abierto a la entidad DIGITAL PHOTO IMAGE, S.A. con NIF.: A60984259, por la vulneración del artículo 21.1 de la LSSI, tipificada como leve en el art. 38.4.
- d)de la citada norma, con una sanción de 20.000 euros (veinte mil euros), por el envío de correos electrónicos de carácter publicitario sin que se hubieran solicitado o expresamente autorizado. SEGUNDO: Como hechos probados en el procedimiento, quedó constancia de: Primero: De la documentación aportada por la parte reclamante se desprende que la entidad Digital Photo Image S.A., es la responsable del tratamiento de los datos personales en relación con las comunicaciones electrónicas enviadas por la plataforma “Nikonistas” a través del correo electrónico noreply@nikonistas.com. Segundo: De la documentación aportada por la parte reclamante consta que, con fecha 30/01/24 la reclamante solicitó, mediante el formulario de contacto de la página web de Nikonistas (www.nikonistas.com), su baja del club y el cese del envío de correos electrónicos publicitarios pues así se desprende de la comunicación recibida por la reclamante desde la dirección noreply@nikonistas.com con el mensaje automático de acuse de recibo. Tercero: De la documentación aportada por la parte reclamante consta que, con fecha 14/02/24 y 21/02/24 la reclamante reiteró su solicitud de baja y eliminación de sus datos personales, pues seguía recibiendo correos electrónicos promocionales pues así se desprende de la copia de la comunicación recibida desde la dirección no-reply@nikonistas.com con el mismo mensaje automático de acuse de recibo. Cuarto: De la documentación aportada por la parte reclamante consta que ésta continuó recibiendo comunicaciones electrónicas con contenido publicitario de parte de la entidad reclamada. Se acompañan como prueba los siguientes correos electrónicos, enviados desde la dirección no-reply@nikonistas.com a la dirección de correo de la reclamante los días, 29/02/24; 14/03/24; 25/03/24; 27/03/24 y 05/04/24. Quinto: De la documentación aportada por la parte reclamante consta que, ésta también intentó ejercer sus derechos de cancelación de datos enviando un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 correo electrónico directo a la dirección club@nikonistas.com el día 05/03/24, en el cual reiteraba su solicitud de baja y la eliminación de sus datos personales. Se aporta copia del correo electrónico enviado. Sexto: Todos los correos electrónicos publicitarios enviados por Digital Photo Image S.A. desde la dirección no-reply@nikonistas.com incluyen el siguiente mensaje estándar al pie de los mismos: “Puedes ejercer los derechos de acceso, rectificación, cancelación, oposición, supresión, limitación y portabilidad modificando los datos personales en ‘editar mi perfil’, después de acceder a www.nikonistas.com o al formulario de contacto. No contestes a este correo, este remitente no admite correo entrante, por lo que no recibirás contestación.” TERCERO: Con fecha 19/11/24, tiene entrada en esta Agencia, escrito de recurso de reposición presentado por la recurrente, en el cual manifestaba lo siguiente: “EXPOSICIÓN DE LOS HECHOS PRIMERO.- Con fecha 24 de octubre de 2024, hemos tenido conocimiento de la resolución dictada por la AEPD en el procedimiento sancionador EXP202406716 (PSI 003561 2024), iniciado a raíz de la reclamación presentada por A.A.A., quien solicitaba la baja de nuestras comunicaciones comerciales. Sin embargo, solo hemos sido notificados de la resolución cuando ya se encontraba en fase de sanción, lo que nos ha causado una grave indefensión, al no haberse dado la oportunidad de presentar alegaciones o defendernos en tiempo y forma durante el desarrollo del procedimiento. SEGUNDO.- El motivo de nuestra falta de conocimiento previo sobre la reclamación radica en que la notificación se efectuó a la dirección de correo electrónico equivocada (nikonistas.com), que no corresponde a la dirección válida para recibir notificaciones administrativas de nuestra entidad. La dirección correcta de correo electrónico es ***EMAIL.1 y de la misma forma nuestra dirección física postal consta por todas partes y ya desde el inicio del procedimiento, por figurar en la misma resolución administrativa que servía de fundamento al inicio del procedimiento. Y no obstante lo anterior, nunca se intentó realizar las notificaciones en la referida dirección, ni buscar en la base de datos cual era la dirección de correo electrónico habilitada para las notificaciones administrativas. Por tanto, no hemos podido ejercer nuestro derecho de defensa ni conocer a tiempo los hechos imputados, lo que constituye una clara vulneración de nuestras garantías procesales. MOTIVACIÓN DEL RECURSO 1. Falta de notificación adecuada y grave indefensión: La Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece en su artículo 40 que las notificaciones deben efectuarse a la dirección electrónica que conste en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 registro de la Administración o a la que expresamente haya sido facilitada por la entidad destinataria. Sin embargo, la notificación de la resolución fue enviada a nikonistas.com, una dirección de correo electrónico que no corresponde a nuestra entidad. Esta falta de notificación adecuada ha provocado que, hasta la fecha de la resolución, no tuviéramos conocimiento alguno del procedimiento administrativo en curso. De esta manera, solo hemos sido informados cuando el expediente ya se encontraba en fase de sanción, lo que ha generado una grave indefensión para nuestra entidad, ya que no hemos tenido oportunidad de presentar nuestras alegaciones y ejercer nuestra defensa en las fases previas del procedimiento. Les copiamos y pegamos para su información lo que figura en nuestra web para formular la solicitud de cancelación, anulación, supresión y rectificación de los datos de carácter personal de los usuarios (…) La indefensión que se ha ocasionado es aún más grave si tenemos en cuenta que la Sra. A.A.A. solicitó la baja de nuestras comunicaciones comerciales y que todos sus datos personales ya fueron cancelados por nuestra entidad, en cumplimiento con la legislación vigente en materia de protección de datos y fecha 1.4 de mayo de 2024. La falta de notificación en un momento adecuado ha entorpecido nuestra capacidad para aportar esta información crucial durante el desarrollo del procedimiento. Adjuntamos pantallazo de nuestra base datos del momento de la cancelación de los mismos: 2. Cancelación de los datos personales de la Sra. A.A.A.: Adicionalmente, queremos destacar que los datos personales de la Sra. A.A.A. fueron completamente cancelados el 16 de mayo de 2024, conforme a lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD) y la Ley Orgánica 3/ 2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Dicha cancelación fue formalizada y confirmada mediante un certificado de cancelación, el cual adjuntamos a este recurso. Dado que la Sra. A.A.A. no figura ya en nuestra base de datos, ya desde el pasado 16 de mayo de 2024 no estamos en posición de enviarle comunicaciones comerciales, lo que hace que la sanción impuesta sea innecesaria y desproporcionada. Por todo lo expuesto, solicitamos lo siguiente: 1. La nulidad de la. notificación de la resolución del procedimiento sancionador, ya que no se ha realizado conforme a las garantías legales de notificación. La notificación debe efectuarse a la dirección de correo electrónico correcta de la entidad, o en la dirección física que figura en todos los lugares de nuestra compañía. La retroacción del procedimiento para realizar la notificación conforme a los procedimientos legales establecidos, otorgando un nuevo plazo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 para ejercer nuestro derecho de defensa y presentar alegaciones, si así lo consideramos oportuno. El archivo del procedimiento sancionador debido a que los datos personales de la Sra. A.A.A. han sido cancelados de manera efectiva, en cumplimiento con las obligaciones legales en materia de protección de datos. En este sentido, adjuntamos el certificado de cancelación que lo acredita. Documentación adjunta: Certificado de cancelación de los datos personales de la Sra. A.A.A., emitido por nuestra entidad. Prueba de la dirección de correo electrónico correcta de nuestra entidad: (…) desde la página de DEHU. Notificaciones administrativas. Prueba de que nuestra dirección de correo electrónico desde 1 de enero de 2024 hasta fecha de la formalización del presente recurso no hemos sido notificados por ustedes, pero si por otros organismos que saben perfectamente cual es nuestra dirección habilitada para notificaciones administrativas desde la página de DEHU. Notificaciones administrativas. Junto al escrito de recurso, se presenta la siguiente documentación: - Pantallazo de un formulario de registro donde se pueden leer lo siguiente: “Fecha de alta: 16/04/2006 Fecha de Baja:16/05/2024 Nombre: A.A.A. 1º Apellido: (…) 2º Apellido: <<campo vacío>> Dirección: <<campo vacío>> Población: Valencia Provincia: Coruña Email: ***EMAIL.2” - Copia de un documento titulado “Certificado de Supresión de Datos Personales”, fechado el 16/05/24 y dirigido a la reclamante, donde se informa que han procedido al bloquear sus datos personales. FUNDAMENTOS DE DERECHO I Competencia. Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) y el art. 43.1, párrafo segundo, de la de la LSSI. II Contestación a las alegaciones En relación con las manifestaciones efectuadas en el recurso, cabe señalar lo siguiente: Primero: Sobre la presunta falta de notificación adecuada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 La entidad alegante sostiene que no tuvo conocimiento del procedimiento hasta la notificación de la resolución que ponía fin al procedimiento debido a que las notificaciones se dirigieron a una dirección de correo electrónico incorrecta, lo que supuestamente vulneró su derecho de defensa y causó una grave indefensión. Sin embargo, dicha afirmación no se ajusta a la realidad de los hechos ni al marco normativo aplicable y veamos porqué. En primer lugar, el artículo 14.2 de la LPACAP, sobre el “Derecho y obligación de relacionarse electrónicamente con las Administraciones Públicas” establece que estarán obligados a relacionarse a través de medios electrónicos con las Administraciones Públicas para la realización de cualquier trámite de un procedimiento administrativo, al menos, los siguientes sujetos:
- a)Las personas jurídicas.
- b)Las entidades sin personalidad jurídica.
- c)Quienes ejerzan una actividad profesional para la que se requiera colegiación obligatoria, para los trámites y actuaciones que realicen con las Administraciones Públicas en ejercicio de dicha actividad profesional. En todo caso, dentro de este colectivo se entenderán incluidos los notarios y registradores de la propiedad y mercantiles.
- d)Quienes representen a un interesado que esté obligado a relacionarse electrónicamente con la Administración.
- e)Los empleados de las Administraciones Públicas para los trámites y actuaciones que realicen con ellas por razón de su condición de empleado público, en la forma en que se determine reglamentariamente por cada Administración. Por otra parte, el artículo 41 de la LPACAP, establece que la Administración practicará las notificaciones preferentemente por medios electrónicos y, en todo caso, cuando el interesado resulte obligado a recibirlas por esta vía. El artículo 43.1 De la LPACAP establece que las notificaciones por medios electrónicos se practicarán mediante comparecencia en la sede electrónica de la Administración u Organismo actuante y que a los efectos previstos, se entenderá por comparecencia en la sede electrónica, el acceso por el interesado o su representante al contenido de la notificación, añadiendo el apartado 2º del mismo artículo que, una notificación se considerará válidamente practicada cuando conste la recepción o el acceso al contenido por parte del interesado. Y por su parte, el artículo 42 del Real Decreto 203/2021, de 30 de marzo, por el que se aprueba el Reglamento de actuación y funcionamiento del sector público por medios electrónicos señala que las notificaciones por medios electrónicos previstas en 43.1 de la LPACAP se practicarán mediante comparecencia en la sede electrónica o sede electrónica asociada de la Administración, organismo público o entidad de derecho público, a través de la Dirección Electrónica Habilitada única (DEHU). En nuestro caso, consta acreditado en el certificado emitido por la DEHU, que la notificación del acuerdo de inicio del expediente sancionador, EXP202406716 (PS/00356/2024), fue debidamente puesta a disposición de la entidad destinataria el día 13/09/24, a las 11:05 horas, siendo accedida y aceptada en destino el mismo día 13 a las 12:51 horas por el representante legal de DIGITAL PHOTO IMAGE S.A., B.B.B., Documento: ***NIF.1 mediante identificación con certificado electrónico válido. Por tanto, el hecho de que la notificación fuese efectivamente aceptada y accedida el mismo día de su puesta a disposición descarta cualquier posibilidad de falta de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 conocimiento o indefensión, dado que está acreditado que la entidad tuvo acceso oportuno al contenido de la notificación. Además, se debe destacar y tener presente que, la resolución del procedimiento sancionador indicado fue puesta a disposición el 24/10/24 a las 15:16 horas en la sede electrónica produciéndose el acceso al contenido de la notificación el mismo día 24/10/24 a las 15:22 horas por el representante legal de DIGITAL PHOTO IMAGE S.A., D. B.B.B., Documento: ***NIF.1 mediante identificación con certificado electrónico válido. Segundo: Sobre la dirección de notificación alegada como incorrecta: La alegación de que las notificaciones se dirigieron a una dirección de correo electrónico incorrecta (nikonistas.com) resulta infundada y no guarda relación con los hechos acreditados en el procedimiento, pues la notificación de la incoación del expediente no se efectuó mediante correo electrónico a la dirección que indica la recurrente, sino a través del sistema electrónico habilitado conforme a la normativa vigente, específicamente diseñado para garantizar la seguridad, trazabilidad y validez jurídica de las notificaciones administrativas. Recordemos que el artículo 42 del RD 203/2021, señala que las notificaciones por medios electrónicos previstas en 43.1 de la LPACAP se practicarán mediante comparecencia en la sede electrónica o sede electrónica asociada de la Administración a través de la DEHU y que al artículo 14.2 de la LPACAP establece que las personas jurídicas están obligadas a relacionarse electrónicamente con las Administraciones Públicas para la realización de cualquier trámite, incluida la recepción de notificaciones, siendo responsabilidad del obligado a mantener actualizado su acceso y comprobar regularmente las notificaciones en dicho sistema. Pero es que, como ya se ha señalado anteriormente, la notificación de la incoación del expediente fue accedida en el plazo establecido, demostrando que la entidad contaba con los medios electrónicos necesarios y que no existió ningún error en la dirección de notificación. Además, el representante legal accedió al contenido mediante un sistema seguro (DNIe/certificado), lo que refuerza la validez de la notificación practicada. No obstante lo anterior, el artículo 41.6 de la LPACAP también indica que, con independencia de que la notificación se realice en papel o por medios electrónicos como fue el caso, las Administraciones Públicas enviarán un aviso al dispositivo electrónico y/o a la dirección de correo electrónico del interesado que éste haya comunicado, informándole de la puesta a disposición de una notificación en la sede electrónica de la Administración o en la DEHU, pero también indica que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por tanto, según este precepto, el aviso, que no la notificación, de la recepción de una notificación a la sede electrónica se remitirá al dispositivo electrónico o la dirección de correo electrónico que el interesado haya comunicado voluntariamente a la Administración a tal efecto, siendo el interesado el único responsable de que dispone de acceso al dispositivo o a la dirección de correo electrónico y en caso de que dejasen de estar operativos o se pierda la posibilidad de acceso, el interesado estaría C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 obligado a comunicar a la Administración que no se realice el aviso en tales medios por imposibilidad de acceso. Por tanto, la omisión de esta obligación por parte del interesado no puede ser imputada a la Administración, la cual queda exenta de responsabilidad por el posible envío de avisos a medios inoperativos. Asimismo, cabe recordar que la validez de la notificación no depende del aviso, sino de la correcta puesta a disposición de la misma en la sede electrónica correspondiente, en este caso la DEHU. Por otra parte, la entidad alega que no pudo ejercer su derecho de defensa, lo que habría supuesto una vulneración del artículo 24 de la Constitución Española. Sin embargo, tal afirmación carece de fundamento dado que:
- a)La notificación del acuerdo de inicio fue válida y conforme a derecho, como ya se ha demostrado.
- b)La entidad tuvo pleno conocimiento del procedimiento desde el momento inicial, lo que le permitió participar y presentar alegaciones dentro de los plazos establecidos. La falta de actuación o diligencia en el ejercicio de sus derechos no puede imputarse a la Administración, ya que esta cumplió con sus obligaciones legales en materia de notificaciones, como así lo atestigua el Certificado de la DEHU incluido en el expediente. Tercero: Sobre la supuesta cancelación de los datos de la reclamante el 16/05/24. La parte recurrente sostiene que los datos personales de la reclamante fueron cancelados en dicha fecha, acompañando un supuesto certificado de cancelación como prueba. No obstante, de la documentación aportada por la reclamante se acredita que ésta ejerció su derecho de oposición a recibir comunicaciones comerciales en diversas ocasiones, la primera el 30/1/24, sin que se hubiera atendido su solicitud, pues siguió recibiendo correos electrónicos publicitarios hasta al menos el 05/04/24. Según la documentación aportada por la reclamante, esta, el 30/01/24 ejerció, por primera vez, su derecho de oposición a recibir más comunicaciones comerciales a través del formulario de contacto indicado en la propia página web de la entidad reclamada, reiterando su solicitud de oposición en dos ocasiones más, el 14/02/24, el 21/02/24, pues así se indica en la información que se incluye en los correos electrónicos comerciales recibidos: “Puedes ejercer los derechos de acceso, rectificación, cancelación, oposición, supresión, limitación y portabilidad modificando los datos personales en 'editar mi perfil', después de acceder a www.nikonistas.com o al formulario de contacto. No contestes a este correo, este remitente no admite correo entrante, por lo que no recibirás contestación”. Recibiendo en cada uno de los intentos el acuse de recibo de la entidad, como por ejemplo, el que recibió cuando intentó oponerse el 30/01/24: De: Nikonistas.com no-reply@nikonistas.com C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Asunto: Nikonistas: Consulta de soporte enviada Fecha: 30 de enero de 2024, 19:20 Para: ***EMAIL.2 “Nikonistas: Consulta de soporte enviada. Muchas gracias por contactar con nosotros. En relación a tu consulta en el plazo más breve posible uno de nuestros agentes de soporte te remitirá la respuesta con la información apropiada. Nombre y apellidos: A.AA.. Correo electrónico: ***EMAIL.2 Descripción de la consulta: Solicito la baja de Nikonistas Club y que dejen por favor de enviarme correos electrónicos También intentó ejercitar su derecho el 05/03/24 mediante el envío de un correo electrónico a la dirección club@nikonistas.com, el cual aparece como correo de contacto en la “Política de Privacidad” de la web, pero continuó recibiendo comunicaciones comerciales no deseadas, según la documentación aportada, en los días 14/03/24, 25/03/24, 27/03/24 y 05/04/24, lo que vulnera claramente el artículo 21.1 de la LSSI. Por lo que respecta a la cancelación alegada de los datos de la reclamante con fecha de baja el 16/05/24, este dato no puede eximir a la entidad de responsabilidad ya que se produce después de tres intentos en los que la reclamante solicita que no vuelvan a enviarla más comunicaciones comerciales, siendo el primer intento tres meses y medio antes de la supuesta baja, el 30/01/24, y en cuyo periodo de tiempo la recurrente ha venido incumpliendo la atención del derecho, con el envío de 5 correos electrónico publicitarios, incluso acusando recibo de la recepción de las solicitudes. En consecuencia, tras el análisis detallado de todo lo anteriormente expuesto, se concluye que las alegaciones formuladas en su escrito de recurso carecen de entidad suficiente para desvirtuar los hechos acreditados y debidamente probados en el expediente administrativo. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la entidad DIGITAL PHOTO IMAGE, S.A. con NIF.: A60984259, contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, el 24/10/24, en el procedimiento EXP202406716 (PS/00356/2024). SEGUNDO: NOTIFICAR la presente resolución a DIGITAL PHOTO IMAGE, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la DA cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es