1/6 Procedimiento nº.: PS/00361/2016 ASUNTO: Recurso de Reposición Nº RR/00039/2017 Examinado el recurso de reposición interpuesto por la entidad CENTROS COMERCIALES CARREFOUR S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00361/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 20 de diciembre de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00361/2016, en virtud de la cual se imponía a la entidad CENTROS COMERCIALES CARREFOUR S.A., una sanción de 7.000 €, por la vulneración de lo dispuesto en el artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico ( LSSI en adelante) , tipificada como leve en el artículo 38.4
- d)de la citada norma, y de conformidad con lo establecido en su artículo 40. Dicha resolución, que fue notificada al recurrente en fecha 27/12/2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00361/2016, quedó constancia de los siguientes: procedimiento sancionador, UNO.- En fecha de 17/03/2016 se recibe en la dirección de correo A.A.A. una comunicación desde el clubcarrefour@envios.carrefour.es que incluye un enlace para oponerse a la recepción de comunicaciones. DOS.- En fecha 18/03/2016, a través del propio correo recibido, solicito la baja, utilizando un enlace existente en el mismo con el texto “si quieres darte de baja pulsa aquí”. El enlace redirige la navegación a una página web que aloja un formulario donde se solicita la siguiente información: el número de tarjeta del Club Carrefour y la dirección de correo electrónico del solicitante. TRES.-Tras la cumplimentación se recibe en la cuenta de correo proporcionada una comunicación desde la dirección cuéntaseloacarrefour@carrefour.com con el título “Respuesta”, en el que aparecen los datos que ha facilitado al solicitar la baja y se le solicita que remita un escrito por correo postal y que adjunte una copia de su D.N.I. para ejercer sus derechos ARCO. CUATRO.- El denunciante manifestó a solicito de la AEPD que C/ Jorge Juan, 6 28001 – Madrid no remitió a www.agpd.es sedeagpd.gob.es 2/6 CARREFOUR el escrito con copia de su D.N.I., tal y como le solicitaban en el correo, al entender suficiente el cumplimentar el formulario existente en el enlace de baja del propio correo. CINCO.- En fechas de 22/03/2016 y 1/04/2016 se reciben comunicaciones comerciales de El Club Carrefour y Carrefour La buena Mesa en los que se incluyen idénticos medios de oposición que el descrito anteriormente. TERCERO: CENTROS COMERCIALES CARREFOUR S.A. ha presentado en fecha 13/01/2017 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en las alegaciones que formulo durante el procedimiento sancionador, como la vulneración del principio de tipicidad, y centrándose el cumplimiento de los requisitos del art. 21 LSSI para remitir comunicaciones: obtención licita de los datos, relación comercial previa, aceptación de bases y condiciones de Club Carrefour. Aplicación analógica de la LOPD. Con carácter subsidiario y por ser contraria al principio de proporcionalidad y a los criterios del art. 40 de la LSSI se aplique una sanción en su grado mínimo. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por CENTROS COMERCIALES CARREFOUR S.A., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho II, IV y VI de la Resolución recurrida, tal como se transcribe a continuación: <<II Ha resultado probado que el medio de baja ofrecido por la entidad denunciada, redirigía a una formulario donde se solicitaba el número de Tarjeta Club, y una dirección de correo electrónico, que al introducir dicha información se recibía en la dirección de correo proporcionada un mensaje con el título “Respuesta” solicitando que se remita un escrito postal con copia del DNI. El supuesto fáctico analizado es el procedimiento instaurado por CC C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 CARREFOUR para el ejercicio de los derechos de los destinatarios de los Servicios de la Sociedad de la Información que protege la LSSI y que contraviene el sentido del art. 21 de la LSSI, cuando establece la obligación de incluir un procedimiento sencillo para oponerse al tratamiento de sus datos con fines promocionales, y el ofrecimiento de una dirección electrónica válida. Es decir, si ya en un primer estadio de los actos que tiene que realizar el destinatario de los Servicios de la Sociedad de la Información, supone introducir, en primer lugar, el número de socio de la Tarjeta Club, para luego en segundo lugar solicitar copia del DNI y finalmente remitir un escrito postal, todo ello supone una carga excesiva que contraviene el espíritu de la norma y la interpretación que en reiteradas resoluciones ha mostrado esta Agencia Española de Protección de Datos. Dicha afirmación se sustenta, precisamente, de la interpretación lógica y sistemática del precepto y los posteriores: el procedimiento sencillo al que alude la norma no puede estar configurado de modo que no sea sencillo y que se le exija al usuario una carga extra, tanto formalmente, como la copia del DNI como materialmente, enviar un escrito a una dirección postal. En la misma línea, el siguiente art. 22.1 LSSI, cita para revocar el consentimiento o autorización previa, la simple comunicación. Precisamente la modificación del art. 21 de la LSSI, al introducir el término “dirección electrónica válida”, busca huir de los procedimientos tradicionales como son el escrito y la dirección postal, para conseguir la rapidez y dinámica consustancial a los Servicios de la Sociedad de la Información y compensar, en términos de igualdad, los procesos y ventajas que dicha sociedad de la información ofrece a los Prestadores de Servicios, con los medios de reacción que tienen los destinatarios de dichos Servicios de la sociedad de la Información. En conclusión, reconduciendo el medio de oposición a un escrito, junto con copia de DNI y su remisión a una dirección postal, se contraviene frontalmente el sentido de la norma y debe considerarse vulnerada la obligación de introducir un medio de oposición. Asimismo debe señalarse que CENTROS COMERCIALES CARREFOUR, S.A, confunde el procedimiento para el ejercicio de los derechos ARCO previsto en la LOPD y en su Reglamento de Desarrollo, con el previsto en la LSSI. Es decir, no puede exigirse la copia del DNI para el ejercicio de los derechos de oposición (art. 21.2 LSSI) y revocación (art 22.1 LSSI) que recoge la citada norma, por resultar excesivo y contravenir el espíritu de la norma, tal como se ha expuesto anteriormente. IV Asimismo debe señalarse que los envíos comerciales posteriores al momento en que el denunciante pretende oponerse a la recepción de comunicaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 comerciales, no encuentran legitimación ni acomodo en el art. 21 de la LSSI, por lo que se estima su vulneración. VI Según establece el art. 39 LSSI, las infracciones leves podrán ser sancionadas con multa hasta 30.000 €, fijando los criterios para su graduación en el artículo 40 de la misma norma, que dispone lo siguiente: “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
- a)La existencia de intencionalidad.
- b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
- c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
- d)La naturaleza y cuantía de los perjuicios causados.
- e)Los beneficios obtenidos por la infracción.
- f)Volumen de facturación a que afecte la infracción cometida.
- g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. En relación con los criterios de graduación de las sanciones recogidas en el artículo 40 y en especial la existencia de intencionalidad, tanto en el diseño del medio de oposición que vulnera el art. 21.2 de la LSSI, y que se encuentra estandarizado, como en el posterior envío de comunicaciones comerciales. También en relación con la existencia de intencionalidad y la diligencia debida como parte integrante del elemento subjetivo en la comisión de la infracción y parámetro del dolo o culpa que se ha de valorar, debe señalarse que el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables” sin que pueda obviarse que CC CARREFOUR es una entidad que opera, además de por los medios tradicionales, utilizando servicios de la Sociedad de la Información, y ofrece sus productos, desde hace años en internet con multitud de clientes, siendo tributario de un conocimiento y cumplimiento de las normas que regulan esa actividad, y en lo que aquí interesa de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, y por tanto siendo mayor el desvalor de la acción típica, que otra entidad ajena a los Servicios de la Sociedad de la Información, lo que le hace merecedor de un mayor reproche sancionador. En segundo lugar, debe tenerse en cuenta el criterio de la reincidencia en la comisión de infracciones de la misma naturaleza que hayan resultado firmes, en este sentido CC CARREFOUR fue sancionada mediante la Resolución R/00435/2016 de 07/03/2016 por hechos similares a los analizados en el presente expediente, circunstancia que opera como un agravante. Por lo expuesto se impone una sanción en la cuantía de 7.000 €. >> CC CARREOUR centra sus alegaciones en los supuestos que permiten el envío de comunicaciones comerciales por medios electrónicos, pero nada sostiene al respecto de la vulneración de la obligación de ofrecer un medio sencillo y gratuito para su oposición de acuerdo con el último párrafo del art. 21 de la LSSI, que recoge expresamente la existencia de una dirección electrónica valida. Frente a la alegación de la recurrente respecto de la aplicación analógica de la LOPD al caso concreto, debe considerarse que su aplicación ha de ser supletoria de acuerdo con el principio de especialidad normativa – sin perjuicio de lo dispuesto en el art. 19 LSSI- , es decir, la norma aplicable en primer término seria la LSSI, por lo que existiendo una regulación específica de los medios de oposición a la recepción de comunicaciones comerciales por medios electrónicos – y que contiene un régimen sancionador con definición de conductas típicas y antijurídicas - , esa norma es la que ha de ser observada. III Por lo tanto, en el presente recurso de reposición, CENTROS COMERCIALES CARREFOUR S.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por CENTROS COMERCIALES CARREFOUR S.A. contra la Resolución de esta Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Protección de Datos dictada con fecha 20 de diciembre de 2016, en el procedimiento sancionador PS/00361/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad CENTROS COMERCIALES CARREFOUR S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es