1/13 Procedimiento nº.: PS/00373/2014 ASUNTO: Recurso de Reposición Nº RR/00013/2015 Examinado el recurso de reposición interpuesto por la entidad LOHER PUBLICIDAD, .S.L. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00373/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 20 de noviembre de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00373/2014 , en virtud de la cual se imponía a la entidad LOHER PUBLICIDAD, S.L, una sanción de 1000 €, por la vulneración de lo dispuesto en el artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), infracción tipificada como leve en el artículo 38.4.
- d)de dicha norma, de conformidad con lo establecido en los artículos 39.1.
- c)y 40 de la LSSI. Dicha resolución, que fue notificada al recurrente en fecha 24 de noviembre de 2014, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00373/2014, quedó constancia de los siguientes: procedimiento sancionador, <<HECHOS PROBADOS PRIMERO: Con fechas 13 de enero 2014 tiene entrada en este Centro denuncia formulada por el administrador de la entidad AGEMUR, subsanada con fecha 20 de febrero de 2014, denunciando a la mercantil LOHER por remitir comunicaciones comerciales no consentidas con posterioridad a las solicitudes de oposición a la recepción de envíos publicitarios por cualquier medio, en especial los dirigidos a la dirección de correo ....@..... (folios 1 y 25) SEGUNDO: El denunciante ha presentado copia de tres solicitudes de BAJA remitidas con fechas 01/10/2012, 3 de junio y 31 de octubre de 2013 a la cuenta ....@loherpublicidad.com en las que el citado administrador efectuaba las peticiones que figuran en el hecho probado anterior. (folios 4, 7, 10, 30,33, 36) TERCERO: Dichas solicitudes de baja se efectuaron en respuesta a la recepción de tres comunicaciones comerciales enviadas, con fechas 29 de septiembre de 2012, 3 de junio y 31 de octubre de 2013, a la cuenta de correo electrónico ....@.... desde la dirección de correo electrónico ....1@loherpublicidad.com . Estos envíos publicitaban C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 diversos productos y servicios sin ofrecer a su destinatario un mecanismo de baja . (folios 4, 7, 10, 30,33, 36) CUARTO: Con fecha 8 de enero de 2014 el denunciante recibió en su cuenta de correo electrónico ....@.... una comunicación comercial procedente de la cuenta de correo ....1@loherpublicidad.com en la que se publicitaba la apertura de una parafarmacia. El envío no incluía una dirección de correo electrónico ni una dirección electrónica válida para poder oponerse a la recepción de nuevos envíos publicitarios por dicha vía. (folios 14 al 16 y 40 al 42) QUINTO: El dominio loherpublicidad.com está registrado a nombre de LOHER (folio 69 ) SEXTO: LOHER ha comunicado que la dirección de correo electrónico del denunciante fue obtenida, junto con otros datos de AGEMUR, en una base de datos empresarial de Aragón adquirida a la empresa CENTRAL FAX, S.L. en el año 2012. Asimismo ha afirmado no mantener relación contractual con el denunciante ni haber recibido las solicitudes de baja a las que éste se refiere en sus escritos de denuncia. (folios 60 al 63, 93) SÉPTIMO: A los efectos del ejercicio de los derechos de acceso, rectificación, cancelación, y oposición, en la página web www.loherpublicidad.com se incluye junto con una dirección postal y números de teléfono y Fax el correo electrónico ....@loherpublicidad.com >> TERCERO: Con fecha 30 de diciembre se registra de entrada en esta Agencia recurso de reposición presentado el día 22 de diciembre de 2014 por LOHER PUBLICIDAD, S.L. en el Servicio de Correos, en el que solicita la imposición de la sanción en su grado mínimo con sustento, básicamente, en los siguientes argumentos: - Aunque recuerda que por la relación contractual previa existente con otros agentes exclusivos de Crédito y Caución no se precisaba el consentimiento de AGEMUR para el envío de comunicaciones comerciales a la cuenta de correo electrónico de dicha empresa, se incide, especialmente, en que se considera que ese consentimiento se entendía prestado a la empresa que vendió a la recurrente la base de datos para el envío de comunicaciones comerciales y, por extensión, también a la propia recurrente, por lo que LOHER no estaba obligada a pedir autorización a AGEMUR para el envío de comunicaciones comerciales. - No obstante que en el envío denunciado hubiera una falta de información expresa sobre el mecanismo de baja, la recurrente tenía habilitado como procedimiento para solicitar la baja el propio correo electrónico desde el que producía la comunicación comercial, entendiendo que no procedía volver a ponerlo. Dicha omisión, no intencionada y sin mala fe, ha sido subsanada. - La recurrente no ha recibido las solicitudes de baja ni la llamada telefónica que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 AGEMUR indica haber efectuado, si bien como muestra de su cuidadoso cumplimiento de la LOPD y la LSSI procedió a dar de baja los datos de dicha empresa tan pronto como recibió el requerimiento de información de la AEPD. - Falta de responsabilidad en su conducta, sin que pueda exigírsele otra distinta a la observada ni mantener que no ha desplegado toda la diligencia que le resultaba exigible, toda vez que “se considera que la adquisición de un listado con efectos publicitarios a una tercera empresa, cumplirá con la normativa aplicable”. Añade que entre sociedades mercantiles la remisión de comunicaciones comerciales son prácticas habituales y las empresas se someten en sus prestaciones recíprocas a las exigencias de la buena fe. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por LOHER PUBLICIDAD, .S.L., reiterándose en las mismas alegaciones que fueron presentadas a la propuesta de resolución del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho IV al IX, ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<IV En este caso, de la valoración conjunta de las actuaciones conviene efectuar las siguientes puntualizaciones: practicadas, A) Aunque el denunciante ha remitido copia de las tres solicitudes de baja dirigidas a la entidad imputada requiriendo la cancelación de los datos de la AGEMUR a efectos publicitarios, especialmente en lo que atañe a sus señas electrónicas, sin embargo, no ha aportado ningún medio de prueba que permita justificar su efectiva recepción por LOHER, entidad que, por otra parte, para apoyar sus manifestaciones negando la recepción de tales solicitudes ha aportado escrito de la empresa que gestiona las cuentas de correo del dominio loherpublicidad.com en el que se indica que durante el año 2013 no se ha recibido ningún correo desde la cuenta ....@..... (folio148) B) Conforme lo previsto en el artículo 45 de la LSSI que establece que “las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves a los seis meses” y lo dispuesto en el artículo 132.2 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, que dispone que: “2. El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 infracción se hubiera cometido. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, (…)” los correos electrónicos comerciales remitidos desde ....1@loherpublicidad.com a la cuenta de correo electrónico ....@.... con fechas 29 de septiembre de 2012,- correspondiente al que el denunciante indica haber recibido el 1 de octubre de 2012-, 3 de junio y 31 de octubre de 2013 ya estaban prescritos, toda vez que habían transcurrido más de seis meses desde su remisión hasta el 26 de junio de 2014, día en que se acordó el inicio del presente procedimiento sancionador. De hecho los dos primeros envíos ya estaban prescritos en el momento en que se presentó la denuncia, mientras que el tercero prescribió durante la realización de las actuaciones previas de inspección que se efectuaron para determinar si concurrían circunstancias que justificasen tal iniciación una vez subsanada con fecha 20 de febrero de 2014 la denuncia de 13 de enero de 2014. C) De este modo, en el acuerdo de inicio únicamente se imputó el envío de la comunicación comercial remitida con fecha 8 de enero de 2014 al denunciante desde una cuenta de correo electrónico titularidad de LOHER. V Partiendo de lo anterior, y pasando a estudiar los hechos objeto de imputación, de las actuaciones practicadas en el presente procedimiento sancionador se desprende que LOHER ha incumplido no sólo la prohibición recogida en el apartado 1 del artículo 21 de la LSSI al enviar una comunicación comercial a la dirección de correo electrónico del administrador de AGEMUR sin contar con el consentimiento previo y expreso del destinatario para ello, ni existir, tampoco, una relación contractual previa entre ambas partes conforme reconoció la propia entidad imputada en las actuaciones previas de inspección que hubiera podido amparar su envío sin mediar dicho consentimiento, sino que también ha vulnerado el requisito recogido en los apartados segundo y tercero del artículo 21.2 de la LSSI al no ofrecer al destinatario del mensaje enviado el 8 de enero de 2014 un mecanismo de baja consistente en un correo electrónico o una dirección electrónica válida. Así, y en lo que se refiere al incumplimiento de la prohibición prevista en el artículo 21.1 de la LSSI, en el presente supuesto ha quedado acreditado que el día 8 de enero de 2014 la entidad denunciada remitió una comunicación comercial no consentida desde la cuenta de correo ....1@loherpublicidad.com a la dirección de correo electrónico ....@.... utilizada por el administrador de la empresa AGEMUR. Dicho envío publicitaba los servicios de la parafarmacia “XXXXX”. En este caso, LOHER ha reconocido que obtuvo la dirección de correo electrónico ....@.... utilizada para la remisión del citado correo comercial de una base de datos empresarial de Aragón adquirida a la empresa Central Fax, S.L., manifestación que por sí misma prueba que el envío comercial analizado no había sido solicitado previamente por la entidad destinataria del mismo ni que tampoco mediaba una autorización previa y expresa de AGEMUR que habilitase su remisión a dicho destinatario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 Conviene recordar que en este tipo de infracciones el hecho de que el destinatario de la comunicación comercial objeto de análisis sea una persona jurídica resulta irrelevante a la hora de entender cometida, o no, la infracción por la entidad denunciada, ya que el apartado
- d)del anexo de la LSSI define como “Destinatario del servicio” o ”destinatario” a la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información.”. Además, en este supuesto no nos encontramos ante una posible infracción a la Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), sino a la normativa específica sobre la materia, atendido que el ilícito administrativo objeto de imputación se recoge en el citado artículo 21 de la LSSI al tratarse del envío de una comunicación comercial no consentida enviada por correo electrónico sin ofrecer un mecanismo de baja a su destinatario, ello con independencia de que en determinados supuestos, que no son el que nos ocupa, también pudiera resultar de aplicación lo previsto en el artículo 19.2 de la LOPD ya transcrito. En cuanto al fondo del asunto, la obtención de los datos de la cuenta de correo electrónico del administrador de AGEMUR de una base de datos empresarial adquirida a un tercero no implica que LOHER se encuentre autorizada por el titular de dichas señas electrónicas para utilizarlos para la remisión de comunicaciones comerciales, siendo esta una acción independiente y autónoma de la adquisición de la misma que responde únicamente a la voluntad de LOHER de dar un uso publicitario a los datos adquiridos, en este caso a la mencionada dirección de correo electrónico, no obstante que no contaba con el consentimiento expreso del destinatario para ello ni se trataba de un envío previamente solicitado. Este argumento resulta extensible tanto cuando el dato procede de una revista en la que AGEMUR anuncia sus servicios incluyendo dicha información como dato de contacto a tal fin, como cuando el dato se conoce a través de páginas de Internet Es decir, la posesión o conocimiento de una dirección de correo electrónico de un tercero no implica, incluso cuando aparezca difundida en páginas web de Internet o figure incluida en bases de datos empresariales o tenga su origen en fuentes accesibles al público, considerando como tales las contempladas en el artículo 3.
- j)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y entre las que no se incluyen las páginas de Internet, una autorización del titular de la dirección de correo electrónico en cuestión para recibir publicidad a través de medios de comunicación electrónica o similares, pues precisamente ese derecho a no recibir comunicaciones comerciales por esos medios que no hayan sido previamente solicitadas o expresamente autorizadas es el que protege el artículo 21 LSSI. En este sentido se pronunciaba la Audiencia Nacional en su Sentencia de 5 de febrero de 2013, Rec. nº 468/2011, al señalar en su Fundamento de Derecho Segundo lo siguiente: “Tal y como hemos indicado, entre otras, en las SSAN 19-2-2008 (Rec. 267/2006) y 14-11-2009 (Rec. 280/2008), se requiere para la remisión de mensajes por correo electrónico con fines de venta directa, el consentimiento previo e informado del abonado titular de la línea destinataria de los citados mensajes. Resulta por ello secundario el hecho de que la dirección de correo procediese de una base de datos con fines comerciales, pues lo relevante, a los efectos aquí analizados, es que tal afectado no haya otorgado su consentimiento previo a la entidad demandante para la remisión de los mismos. Interpretación que se realiza al amparo de la Directiva 2002/58/CE del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 Parlamento y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y la protección de la intimidad en el sector de las telecomunicaciones electrónicas, pues establece el artículo 13.1 de dicha Directiva que “Solo se podrá autorizar la utilización de sistemas de llamada automática sin intervención humana (aparatos de llamada automática), fax o correo electrónico con fines de venta directa respecto de aquellos abonados que hayan dado su consentimiento previo”. La modificación introducida en el artículo 13.1 de la citada Directiva por la Directiva 2009/136/CE del Parlamento Europeo y del Consejo, de 25 de noviembre de 2009, no afecta a la cuestión que nos ocupa, al haber quedado la redacción de dicha precepto con el siguiente literal: “Solo se podrá autorizar la utilización de sistemas de llamada automática sin intervención humana (aparatos de llamada automática), fax o correo electrónico con fines de venta directa respecto de aquellos abonados o usuarios que hayan dado su consentimiento previo”. Únicamente eximiría a LOHER del cumplimiento de contar con tal consentimiento la existencia de una relación contractual previa con AGEMUR, tal y como se recoge en el primer párrafo del apartado 2 del artículo 21 de la LSSI, y ello siempre y cuando la imputada, como prestador de servicios de la sociedad de la información, hubiera obtenido de forma lícita los datos de contacto de la entidad destinataria, los utilizase para enviarle comunicaciones comerciales relativas a productos o servicios similares a los inicialmente adquiridos por su cliente, y además, le hubiera ofrecido tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales enviadas con posterioridad al mismo un mecanismo sencillo y gratuito para poder oponerse al tratamiento de sus datos con fines promocionales. En este supuesto no resulta de aplicación dicha excepción, ya que conforme reconoció la entidad imputada al contestar el requerimiento de información de la AEPD no existía una relación contractual previa con AGEMUR, empresa que representa en exclusiva a Crédito y Caución en Aragón. A mayor abundamiento, la recepción de envíos publicitarios de otros agentes exclusivos de Crédito y Caución invocada en el escrito de alegaciones al acuerdo de inicio no conlleva, como LOHER pretende, el mantenimiento de una relación contractual entre Crédito y Caución y esa empresa ni tampoco modifica que LOHER no tenga la condición de cliente del remitente en los términos expresados en el artículo 21.2 de la LSSI, resultando, por ello, irrelevante a los efectos que nos ocupan que la entidad imputada haya recibido información publicitaria procedente de otro agente exclusivo de Crédito y Caución. De este modo , a la luz de los elementos fácticos obrantes en el procedimiento cabe concluir que la entidad imputada ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI al enviar un correo electrónico de tipo comercial al denunciante sin contar con la autorización expresa o solicitud previa del mismo para ello, y sin que quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 al haber quedado justificada la inexistencia de una relación contractual previa entre remitente y destinatario del envío en cuestión. VI En lo que respecta al incumplimiento del deber de ofrecer un mecanismo de baja al destinatario del envío, la redacción vigente del párrafo tercero del artículo 21.2 de la LSSI establecía en el momento de la comisión de los hechos que cuando las comunicaciones comerciales se remitían por correo electrónico, dicho mecanismo debía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 consistir, necesariamente, en una dirección electrónica válida, habiéndose añadido en la actual redacción del precepto la posibilidad de que también pueda ser una dirección de correo electrónico, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. De lo actuado se ha constatado que la comunicación comercial de fecha 8 de enero de 2014, al igual que los otros tres envíos prescritos, no ofrecía a la entidad destinataria del mismo un medio sencillo y gratuito para oponerse al tratamiento de sus señas electrónicas con fines promocionales en la forma establecida en el artículo 21.2 de la LSSI. No puede entenderse, como pretende la representación de LOHER, que como la dirección de correo electrónica habilitada para atender las solicitudes de baja es la misma desde la que se efectuó el envío no resulta necesario incluir dicha información en el contenido de las comunicaciones comerciales remitidas por ese medio, puesto que la inclusión de dicho procedimiento de oposición es una obligación establecida en el citado precepto que debe ser cumplida por el prestador de servicios en su calidad de remitente del correo electrónico comercial antes citado, y ello con independencia de que, como en el caso de dicha empresa, se produzca una coincidencia entre la dirección de origen de los correos y la dirección electrónica habilitada para gestionar las bajas. En consecuencia, la mera aparición en el envío denunciado del correo electrónico de origen del mismo no conlleva el cumplimiento “de facto” de la reseñada obligación, ya que dicho dato no permite por sí mismo asociar dicha información de forma clara y específica al procedimiento sencillo y gratuito de oposición requerido en el citado artículo 21.2. Es decir, si la LSSI ha querido imponer una formalidad específica que permita a los destinatarios de este tipo de envíos oponerse al tratamiento de sus datos para el envío de mensajes publicitarios a fin de garantizar su derecho a no recibir comunicaciones de naturaleza comercial en sus señas electrónicas, el hecho de que por parte del prestador de servicios no se incluya en cada uno de los envíos un procedimiento sencillo y gratuito de los previstos en el tercer párrafo del artículo 21.2 de dicha norma conculca la obligación establecida en el mencionado precepto de la LSSI. Del análisis y lectura del contenido del correo comercial de fecha 8 de enero de 2014 se evidencia que éste no incluye una dirección de correo electrónico o alguna dirección electrónica válida concreta y específica a través de la cual posibilitar al destinatario el cese del tratamiento de sus señas electrónicas con fines publicitarios, a pesar de que la LSSI prohíbe el envío de correos electrónicos comerciales que no incluyan dicha dirección. Esta exigencia de facilitar un mecanismo que permita manifestar la negativa a la recepción de también se recoge en el artículo 22.1 de dicha norma que establece respecto de los derechos de los destinatarios de los servicios que: “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos.” Por otra parte, del tenor literal de los artículos 21.2 y 22.1 de la LSSI se desprende que la atención de las solicitudes de oposición o revocación al tratamiento no requiere el cumplimiento de requisito alguno por parte del destinatario ni la presentación de ningún documento acreditativo de su identidad, bastando la simple notificación de su voluntad al remitente de no continuar recibiendo más publicidad a través del mecanismo de baja habilitado por éste a tal efecto, solicitud que debe ser atendida sin necesidad de que la persona física o jurídica que utiliza dicho medio presente su DNI o CIF. Cuestión distinta sería si nos encontrásemos ante el ejercicio por parte de una persona física de los derechos personalísimos recogidos en los artículos 15 al 16 del título III de la LOPD, cuyo ejercicio requiere, conforme a lo previsto a los artículos 17 de dicha norma y el artículo 25 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD la presentación por el afectado de una comunicación dirigida al responsable del fichero que debe ir acompañada de documento válido que lo identifique. En consecuencia, de lo expuesto con anterioridad, ha quedado probado que la entidad imputada también ha incurrido en la infracción del artículo 21.2, párrafos segundo y tercero, de la LSSI, al no ofrecer en la comunicación comercial dirigida, con fecha 8 de enero de 2014, a la cuenta de correo electrónico del denunciante una dirección electrónica válida que el destinatario del envío pudiera utilizar para no continuar recibiendo publicidad por dicha vía. VII Conforme al artículo 9.3 de la Constitución Española, “La Constitución garantiza (…) la irretroactividad de las disposiciones sancionadoras no favorables o restrictivas de derechos individuales”. Y en este sentido constante jurisprudencia ha mantenido el principio de retroactividad de la ley sancionadora más favorable. Destacamos así la Sentencia del Tribunal Constitucional 131/1986 de 29 de octubre que señala refiriéndose al principio de retroactividad de la ley penal más favorable “es que, además, dicho principio supone la aplicación íntegra de la ley más beneficiosa, incluidas aquellas de sus normas parciales que puedan resultar perjudiciales en relación con la ley anterior, que se desplaza en virtud de dicho principio, siempre que el resultado final, como es obvio, suponga beneficio para el reo, ya que en otro caso la ley nueva carecería de esa condición de más beneficiosa que justifica su aplicación retroactiva”. Y en este sentido el artículo 128.2 de la ley 30/1992, de 28 de noviembre, dispone: “Las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”, dado que, como señala el apartado 17 de su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 Exposición de motivos, es objeto de la misma la aplicación de "los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia". En consecuencia, en aplicación del anterior criterio jurisprudencial procede aplicar de forma retroactiva el régimen sancionador de la LSSI introducido por la modificación operada en dicha norma por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, al resultar éste en su conjunto más favorable que el vigente en el momento de la comisión de los hechos objeto de imputación. VIII De acuerdo con lo establecido en los apartados 3.
- c)y 4.
- d)del artículo 38 de la LSSI actualmente en vigor, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
- c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
- d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. A partir del conjunto de hechos y circunstancias constatadas en el procedimiento sancionador y vistos los fundamentos de derecho anteriores, la conclusión que se despende es que la conculcación del artículo 21 de la LSSI que se imputa a LOHER se ajusta al tipo de infracción calificada como leve en el artículo 38.4.
- d)de la vigente LSSI. De esta forma, la remisión de un correo electrónico comercial al denunciante sin contar con el consentimiento previo y expreso del mismo y sin ofrecerle una dirección electrónica válida de baja como obligatoriamente debía incluir en la fecha de los hechos o, en su caso, una dirección de correo electrónico de baja como actualmente también se permite, no puede calificarse como envío insistente o sistemático de comunicaciones comerciales por medios electrónicos por parte de dicha entidad al denunciante, sin que en este caso, quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 al no haberse acreditado la existencia de una relación contractual previa entre las partes en los términos señalados en dicho precepto. En el presente caso, si bien no puede acreditarse una conducta dolosa por parte de LOHER, si puede imputarse la responsabilidad en la comisión de la infracción del artículo 21 de la LSSI a título de culpa, ya que esta mercantil no mostró, con anterioridad a la realización del envío denunciado, la diligencia y el deber de cuidado que le eran exigibles para asegurarse que cumplía los requisitos exigidos en el artículo 21 de la LSSI en relación con la obtención del consentimiento previo y expreso del destinatario del envío denunciado, máxime cuando no obtuvo las señas electrónicas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 utilizadas directamente de su titular, y garantizar, en consecuencia también, que el destinatario del mensaje promocional contara con un mecanismo para poder manifestar su voluntad de no recibir nuevos mensajes publicitarios por dicha vía. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante para excluir la imposición de una sanción únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva, es la diligencia desplegada en la acción por el sujeto, . En este orden de ideas, esta Agencia considera que a la entidad imputada le era exigible otra conducta diferente de la que observó, puesto que en el procedimiento sancionador no consta que la entidad denunciada adoptara ninguna acción tendente a comprobar, con anterioridad a la realización de los envíos denunciados, si la utilización de las señas electrónicas registradas en la base de datos adquirida podría vulnerar la prohibición recogida en el artículo 21.1 de la LSSI, ya que la exigencia de obtener el consentimiento previo y expreso de los titulares de los datos respecto de la utilización de sus correos electrónicos con fines comerciales recae directamente sobre el prestador de servicios de la sociedad de la información, ya que es éste, y no el vendedor de la base de datos, quien decide los usos y fines a los que va a destinar los datos. Deber de cuidado que también le resulta exigible en lo que respecta al cumplimiento de la obligación de ofrecer un mecanismo de baja a los destinatarios de los correos electrónicos comerciales. En definitiva, LOHER no desplegó toda la diligencia que le era exigible para asegurarse de que el correo comercial en cuestión se envió mediando el consentimiento de su destinatario, lo que lleva a considerar la existencia de culpabilidad, pues cabe pensar que actuando de otro modo hubiera podido evitarse el tratamiento de las señas electrónicas con finalidades publicitarias sin autorización de su titular y sin ofrecer una dirección a través de la cual oponerse a la recepción de nuevos correos publicitarios, motivo por el cual hay que rechazar la falta de culpabilidad en su conducta derivada de su condición de tercero de buena fe adquiriente de la base de datos. Todo lo expuesto lleva a considerar la existencia del elemento de culpabilidad en la conducta de LOHER en el ilícito administrativo imputado, ya que ha quedado probado el envío a la entidad denunciante por su parte de una comunicación comercial no autorizada que no incluía, tampoco, una dirección electrónica válida para poder dar de baja este tipo de envíos, lo que incumple la prohibición de enviar comunicaciones comerciales por medios de comunicación electrónica o similares recogida en el artículo 21 de la LSSI. IX A tenor de lo establecido en el artículo 39.1.
- c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma que dispone: “Artículo 40. Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
- a)La existencia de intencionalidad.
- b)Plazo de tiempo durante el que se haya venido cometiendo la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13
- c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
- d)La naturaleza y cuantía de los perjuicios causados.
- e)Los beneficios obtenidos por la infracción.
- f)Volumen de facturación a que afecte la infracción cometida
- g)La adhesión a un código de conducta o aun sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes”. En relación a los criterios de graduación de las sanciones recogidos en el citado artículo 40 de la LSSI, se estima que, si bien no ha existido intencionalidad en la conducta de LOHER, sin embargo la falta de diligencia observada en su conducta opera como agravante, máxime si se tiene en cuenta que, en tanto que empresa dedicada a los servicios de publicidad y marketing, LOHER utiliza habitualmente los medios de comunicación electrónica con fines publicitarios , causa por la que debe ser especialmente conocedora de las exigencias recogidas en la LSSI. Paralelamente, se valoran como circunstancias atenuantes en la comisión de la infracción, los criterios relativos a la falta de constancia de que el denunciante haya sufrido perjuicios derivados de la recepción del citado correo comercial electrónico y ausencia de beneficios obtenidos por la imputada con motivo de la comisión de la infracción del artículo 21 de la LSSI. Por todo lo cual, procede imponer a LOHER de una sanción de 1.000 €.>> III Frente al alegato relativo a la buena fe que ha presidido su conducta, debe señalarse que el Tribunal Supremo (STS 16/04/91 y STS 22/04/91) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23/01/98). En el mismo sentido la Audiencia Nacional en Sentencia de fecha 14 de febrero de 2007, Recurso nº 195/2005, señalaba en cuanto a la culpabilidad de la entidad imputada lo siguiente: ”En el presente caso, no puede basarse la exculpación frente a un comportamiento típicamente antijurídico (tal como resulta de la simple lectura del precepto aplicado por la resolución) con la invocación de ausencia de culpa sino que es preciso que se haya empleado la diligencia que era exigible por quien aduce su inexistencia (STS 23.1.98), y si bien no se puede hablar en el expediente administrativo de que el hecho se cometiese dolosamente con plena intención, es lo cierto que su realización pone de manifiesto una evidente negligencia o falta de celo en el cumplimento de la norma. La Jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus sentencias de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional (después de su STC 76/1990) destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de los principios de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 legalidad y prohibición de exceso (artículo 25.1 CE), o de la exigencias inherentes a un Estado de Derecho, y requieren la existencia de dolo o culpa. Precisamente el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia, sin que esta simple inobservancia pueda ser entendida, por la razón antes indicada, como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva. Las exigencias derivadas del principio de culpabilidad se traducen en la necesidad de exigir una especial diligencia a las entidades gestoras de los datos, y en el caso de autos dicha diligencia faltó desde el momento en que (…) remitió un correo electrónico con destinatario múltiple sin comprobar que los destinatarios ó habían solicitado la información remitida ó habían consentido en la utilización de sus correos electrónicos para estos fines.” Así, conforme a dicho criterio jurisprudencial y a la vista de los argumentos expresados en el Fundamento de Derecho VIII de la resolución recurrida, debe rechazarse la falta de culpa en su conducta alegada por la recurrente. Por lo tanto, en el presente recurso de reposición, LOHER PUBLICIDAD, .S.L. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por LOHER PUBLICIDAD, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 20 de noviembre de 2014, en el procedimiento sancionador PS/00373/2014. SEGUNDO: NOTIFICAR la presente resolución a LOHER PUBLICIDAD, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es