← España

REPOSICION-PS-00403-2014

1/22 Procedimiento nº.: PS/00403/2014 ASUNTO: Recurso de Reposición Nº RR/00113/2015 Examinado el recurso de reposición interpuesto por la entidad GROUPALIA COMPRA COLECTIVA, S.L. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00403/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 23 de diciembre de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00403/2014 , en virtud de la cual se imponía a la entidad GROUPALIA COMPRA COLECTIVA, S.L., una sanción de 20.000 €, por la vulneración de lo dispuesto en el artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), infracción tipificada como grave en el artículo 38.3.

  1. c)de dicha norma, de conformidad con lo establecido en los artículos 39.1.
  2. b)y c), 39 bis 1.
  3. c)y
  4. d)y 40 de la LSSI. Dicha resolución, que fue notificada al recurrente en fecha 29 de diciembre de 2014, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00403/2014, quedó constancia de los siguientes: procedimiento sancionador, <<HECHOS PROBADOS PRIMERO: Con fechas 18 de diciembre de 2013 y 23 de enero de 2014 se registran de entrada en esta Agencia escritos de Don A.A.A., el denunciante, comunicando que GROUPALIA continúa enviándole comunicaciones comerciales con posterioridad al ejercicio por su parte de los derechos de cancelación y oposición al tratamiento de sus datos personales. En la copia de algunos de los envíos aportados por el denunciante se aprecia que al pie de los mismos se consigna como domicilio para ejercer los derechos ARCO de la Ley 15/1999, sobre Protección de Datos Personales, la c/ (C/.............1) de Barcelona o el e-mail a .....@groupalia. (folios 1 al 6 y 11 al 27) SEGUNDO: GROUPALIA ha informado que con fecha 19 de julio de 2011 el denunciante se suscribió, voluntariamente, en la plataforma web de GROUPALIA en la modalidad de “Usuario Registrado” para recibir diariamente boletines comerciales en su cuenta de correo electrónico con las ofertas y descuentos disponibles en asuntos de viajes, shopoing y ocio Madrid y realizar compras a través de dicha entidad. Dicho registro requería la aceptación de las Condiciones de Uso y Política de Privacidad de dicha empresa, constando en el primer documento que el usuario registrado consentía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 expresamente la recepción de todas las newsletters de GROUPALIA con las ofertas y descuentos disponibles, y figurando en el segundo documento citado que la finalidad del tratamiento de los datos de carácter personal recabados era la remisión de dichas ofertas y descuentos a través de la dirección de correo proporcionada y la gestión administrativa de la compra del producto o servicio asociado a las ofertas. (folios 41 al 43, 51, 119, 133) TERCERO: En la ficha de registro del denunciante obrante en los sistemas de GROUPALIA aparecen su nombre y apellidos, el email .....@hotmail.com, su fecha de nacimiento y género (folio 133) CUARTO: Con posterioridad a su inscripción el denunciante adquirió productos y servicios ofrecidos por GROUPALIA. (folios 1, 57 al 59 y 120 ) QUINTO: Con fecha 15 de noviembre de 2013 el denunciante, dirigió un escrito certificado a GROUPALIA a la dirección c/ (C/.............1) de Barcelona en el que, junto con una reclamación relativa a la devolución del importe de unos cupones cobrados erróneamente, se solicitaba “la oposición y cancelación de mis datos personales de sus ficheros para no volver a recibir sus comunicaciones.” El escrito fue recibido por GROUPALIA con fecha 21 de noviembre de 2013. (folios 3, 4, 44 ) SEXTO: GROUPALIA cerró la incidencia contestando con fecha 27 de noviembre de 2013, vía email, dicha reclamación comunicando al denunciante que se había cancelado su pedido y procedido al reembolso inmediato del mismo. La contestación no hacía ninguna mención a la solicitud de oposición y cancelación de los datos personales del afectado. (folios 44, 54) SÉPTIMO: GROUPALIA ha reconocido que con posterioridad a dicha fecha continuó enviando diariamente a la cuenta de correo electrónico del denunciante .....@hotmail.com boletines electrónicos con ofertas sobre productos y descuentos, (folios 5, 6, 11 al 27, 127 ) En consecuencia, entre el 4 de diciembre de 2013, fecha a partir de la que se dan por transcurridos diez días hábiles a contar desde la recepción del escrito el 21 de noviembre de 2013 que contenía la solicitud del ejercicio de los derechos de oposición y cancelación de datos del denunciante, y el 11 de junio de 2014 , fecha en que se cancelaron los datos del denunciante en los sistemas de la entidad, éste recibió un total de 189 comunicaciones comerciales en su cuenta de correo electrónico procedentes de GROUPALIA. OCTAVO: Los boletines electrónicos comerciales remitidos por GROUPALIA contienen un enlace de baja (dirección electrónica válida de baja). (folios 122, 134 al 136). NOVENO: GROUPALIA dio de baja al denunciante en sus sistemas con fecha 11 de junio de 2014 (folio 51) DÉCIMO: En el apartado denominado “Ejercicio de derechos de “Acceso, rectificación, cancelación y oposición” de la Política de Privacidad del sitio web es.groupalia.com figura lo siguiente: “En cualquier momento, el Usuario Registrado o Usuario Subscriptor tendrá el derecho de acceso, rectificación, cancelación y oposición a todos sus datos personales. Para ejercitar esta facultad el Usuario Registrado deberá acceder a www.groupalia.com, al apartado "Mi Cuenta" (pestañas: "editar", "cambiar información" C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22 y "darse de baja de Groupalia") o dirigirse por escrito a c/ (C/.............1) Barcelona, vía email a .....@groupalia.com. Asimismo, para solicitar más información los usuarios también podrán contactar con el departamento de atención al cliente llamando al 902******.” (folios 92, 93 y 125)>> TERCERO: La representación de GROUPALIA COMPRA COLECTIVA, S.L., en adelante la recurrente, ha presentado en fecha 27 de enero de 2015, en esta Agencia Española de Protección de Datos, recurso de reposición dando por reproducidas las alegaciones efectuadas a la propuesta de resolución y solicitando la declaración de nulidad de la resolución impugnada con acuerdo de archivo de las actuaciones practicadas por inexistencia de la infracción imputada, lo que fundamenta, básicamente, en que conforme a lo previsto en el artículo 63 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, ( LRJPAC) dicha resolución se ha dictado con vulneración de los principios de responsabilidad y proporcionalidad recogidos en los artículos 130 y 131 de la mencionada norma. Respecto de la vulneración del principio de responsabilidad se señala que la conducta de la recurrente no ha sido culposa, no pudiendo ser objeto de reproche alguno al haber desplegado, en este caso concreto y en toda su trayectoria, la máxima diligencia y cuidado que le son exigibles en relación con las obligaciones impuestas en la LSSI y la LOPD. Se reitera la puesta en marcha de todos los medios a su alcance para evitar la comisión de hechos antijurídicos y se reincide en que los hechos denunciados se originan en un error humano, que no se podía prevenir de ningún modo, por lo que su mera comisión no puede interpretarse como un incumplimiento en el deber de diligencia y, con ello, como un incumplimiento de la LSSI. En cuanto a la vulneración del principio de proporcionalidad recogido en el artículo 131 de la LRJPAC se afirma que la imposición de una sanción desproporcionada también implica la nulidad de la resolución recurrida. Manifiesta su disconformidad frente al modo en que se ha graduado la sanción impuesta, no sólo porque la resolución no se pronuncia sobre los criterios
  5. f)y
  6. g)del artículo 40 de la LSSI que considera también favorables para la recurrente, sino fundamentalmente porque se ha realizado una interpretación errónea de los criterios
  7. a)y
  8. b)de dicho precepto al considerarlos como agravantes. De este modo aduce que reconocida la falta de intencionalidad en la resolución, y trayendo causa el expediente de un error humano, dicho criterio sólo puede funcionar como atenuante, no siendo adecuado entrar en otras consideraciones ajenas a esta circunstancia como el deber de diligencia o cuidado. Respecto del criterio del plazo de tiempo en que se ha cometido la infracción se indica que GROUPALIA desconocía, por el citado error humano, que se estuviera cometiendo una infracción, indicando que los envíos se prolongaron en el tiempo porque el afectado no utilizó el enlace de baja incluido en los envíos. Por lo tanto, la AEPD debería haber reconocido la concurrencia de seis de los siete criterios de graduación de las sanciones recogidos en el artículo 40 de la LSSI y haber fijado una sanción de una cuantía menor, como ocurrió en las resoluciones R/00173/2014, de 3 de febrero de 2014 y R/00771/2014 de 8 de abril de 2014, cuya identidad con el caso analizado es invocada. Al hilo de lo cual, y en forma subsidiaria, se solicita la reducción de la sanción, ya que al concurrir en el presente caso como atenuantes seis de los siete criterios del artículo 40 de la LSSI no resulta coherente ni C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 proporcionado la imposición de una sanción mayor que la adoptada en las dos resoluciones citadas en las que sólo operaban tres criterios de atenuación. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. II En relación con las manifestaciones efectuadas por GROUPALIA COMPRA COLECTIVA, S.L., debe señalarse que la mayor parte de los razonamientos en los que sustenta la vulneración de los principios que rigen la potestad sancionadora de las Administraciones Públicas ya fueron analizados y desestimados en los Fundamentos de Derecho del V al X, ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<V En el presente supuesto, ha quedado acreditado que entre el 4 de diciembre de 2013 y el 11 de junio de 2014 GROUPALIA remitió 189 correos electrónicos comerciales al denunciante sin contar con el consentimiento previo y expreso del mismo. Todos ellos contenían ofertas y promociones acordes a los productos elegidos por el denunciante al registrarse como usuario de la plataforma web. A este respecto, señalar que GROPUPALIA recibió el 21 de noviembre de 2013 un escrito del denunciante que contenía una solicitud de oposición y cancelación de sus datos personales para no volver a recibir comunicaciones. Por lo tanto, cuando GROUPALIA remitió las comunicaciones comerciales objeto de análisis ya conocía la voluntad del denunciante de que sus datos personales, y entre los que se encuentra su email, no se utilizaran para enviarle los boletines promocionales objeto del negocio de dicha entidad. Dichos envíos se integran por los correos comerciales remitidos transcurridos 10 días hábiles desde la recepción del escrito del denunciante conteniendo la mencionada solicitud y se ha finalizado el día en se bloquearon los datos del afectado en sus ficheros. Por lo tanto, con independencia de que el envío de comunicaciones comerciales al correo electrónico del denunciante se hubiera venido produciendo con la autorización del “usuario registrado” en la plataforma web al objeto de recibir dichos boletines comerciales, la recepción por parte de GROUPALIA de la mencionada solicitud con anterioridad a los envíos objeto de análisis dejaba sin efecto, de esta forma, cualquier consentimiento anteriormente prestado para recibir boletines publicitarios en su cuenta de correo electrónico, haciendo decaer también la salvedad al consentimiento que pudiera derivarse de la relación contractual mantenida entre ambas partes con posterioridad a dicho registro. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 En este mismo sentido se pronuncia la Audiencia Nacional en un caso similar en su sentencia de fecha 18 de octubre de 2013, Rec. nº 162/2012, al señalar: “En el supuesto que nos ocupa, ha quedado acreditado que la entidad recurrente remitió más de 47 e-mails publicitarios a la denunciante desde octubre hasta diciembre de 2010, con posterioridad a la solicitud y confirmación de la cancelación de los datos de la denunciante, por lo que ha de considerarse infringido el citado precepto, al no contar con el consentimiento de la destinaria. Por otro lado, aunque en este supuesto hubiese existido una relación comercial previa con la destinataria, ésta no le habilita a remitir publicidad comercial cuando el cliente ha manifestado, como es el caso que nos ocupa, su expreso deseo de no recibirla, pues la excepción prevista en el apartado segundo del citado art. 21 de la Ley 34/2002, de 11 de julio, establece expresamente la posibilidad de ofrecer al destinatario “la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija”. Más en el presente supuesto en que se había procedido a la cancelación de los datos de la denunciante. Carece de relevancia, por tanto, el sistema que para los envíos publicitarios tuviera establecido la entidad recurrente, pues no se trata tanto de cuestionar el tratamiento indebido de datos sino de impedir el envío de publicidad no consentida, para lo cual la empresa dispuso de tiempo suficiente para articular los mecanismos correctores necesarios para evitar que se siguiera mandando publicidad comercial a la denunciante” Con arreglo a este criterio jurisprudencial, no cabe duda que los 189 correos electrónicos recibidos por el denunciante después de haber solicitado la oposición y cancelación de sus datos a efectos de no volver a recibir newsletters publicitarios eran comunicaciones comerciales no consentidas por su destinatario, por lo que éstos resultan perfectamente encuadrables en el concepto de “spam” reseñado en el Fundamento de Derecho III de esta resolución. En nada modifica tal consideración, que el denunciante se hubiera dado de alta en el servicio de boletines comerciales antes de ejercer los reseñados derechos, tuviera identificado al remisor de los mismos, conociese el funcionamiento de los envíos publicitarios y se tratara del mismo tipo de información que la recibida con anterioridad a su ejercicio, puesto que al ejercitarlos manifestó su negativa a recibir comunicaciones procedentes de GROUPALIA. La mencionada interpretación, por lo tanto, se encuentra en concordancia con lo el espíritu de la LSSI, en cuya Exposición de Motivos se afirma que “En lo que se refiere a las comunicaciones comerciales, la Ley establece que éstas deban identificarse como tales, y prohíbe su envío por correo electrónico u otras vías de comunicación electrónica equivalente, salvo que el destinatario haya prestado su consentimiento.”. A mayor abundamiento, del tenor literal del artículo 21 de la LSSI se observa que la justificación ofrecida por GROUPALIA para mantener que los envíos imputados no pueden ser calificados de “spam” no está contenida como excepción al consentimiento previo y expreso del destinatario requerido en el citado precepto, causa por la que los hechos analizados encajan en el tipo infractor descrito y se produce antijuridicidad en la conducta de GROUPALIA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 VI En las alegaciones al acuerdo de inicio GROPUPALIA manifestó que el denunciante intentaba hacer valer el derecho de oposición regulado en la LSSI, a través de una referencia incompleta y carente de forma a los derechos de oposición y cancelación de la LOPD y su normativa de desarrollo, a pesar de que los derechos de estas normas, aunque conexos, son distintos y disponen de na naturaleza jurídica diferente. Se recalcaba que el denunciante no había utilizado ninguno de los cuatro mecanismos habilitados por GROUPALIA, en cumplimiento de lo dispuesto en los artículos 21.2 y 22.1 de la LSSI, alegato reiterado en las alegaciones a la propuesta de resolución. También se insistía en que no se estaba ante un supuesto del ejercicio de los derechos ARCO de la LOPD en atención a que la solicitud de oposición y cancelación se incluía en forma poco precisa y clara en un escrito cuyo objeto principal era una reclamación de consumo, lo que obstaculizaba la comprensión de la voluntad del interesado, y dado que dicha solicitud no cumpliría los requisitos establecidos en el título III del RLOPD. En las alegaciones a la propuesta de resolución GROUPALIA intenta derivar su responsabilidad en la comisión de la infracción imputada insistiendo en que los hechos objeto de expediente traen causa de un error humano producido la persona que atendió la reclamación, la cual no entendió del tenor del escrito que se tratase del ejercicio de derechos ARCO y sólo dio trámite a la reclamación de consumo. En el presente caso, y sin perjuicio de que la incoación del presente procedimiento sea de aplicación el régimen sancionador previsto en la LSSI, en tanto que es una norma especial que prohíbe el envío de comunicaciones comerciales por correo electrónico u otras vías de comunicación electrónica equivalente, la correcta valoración de los hechos imputados hace preciso recordar que, de conformidad con lo previsto en el artículo 19.2 de la LSSI, también ha de estarse a lo previsto en la LOPD y su normativa de desarrollo. De este modo, la LOPD resulta de aplicación al haberse producido el tratamiento de los datos personales del denunciante correspondiente a su cuenta de correo electrónico y haberse utilizado por éste una dirección postal habilitada por la empresa remitente de los envíos denunciados para el ejercicio de los derechos ARCO, entre los que se encuentran los derechos de cancelación y de oposición. A los efectos de dilucidar la cuestión planteada resulta necesario citar la siguiente normativa de protección de datos. Los artículos 16.1, 2 y 3 y 17.1 de la LOPD, en relación con los derechos de cancelación y oposición señalan que: “Art. 16 Derecho de rectificación y cancelación. 1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. (…) Art. 17. Procedimiento de oposición, acceso, rectificación o cancelación. 1. Los procedimientos para ejercitar el derecho de oposición, acceso, así como los de rectificación y cancelación serán establecidos reglamentariamente.” El artículo 30.4 de la LOPD señala en cuanto a los tratamientos con fines de publicidad y de prospección comercial que cuando los datos hayan sido facilitados por los propios interesados y obtenidos con su consentimiento que: “4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.” Por su el parte los párrafos 4 y 5 del artículo 24 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (RDLOPD), señalan respecto de las condiciones generales para su ejercicio que: “4. Cuando el responsable del fichero o tratamiento disponga de servicios de cualquier índole par la atención a su público o el ejercicio de reclamaciones relacionadas con el servicio prestado o los productos ofertados al mismo, podrá concederse la posibilidad al afectado de ejercer sus derechos de acceso, rectificación, cancelación y oposición a través de dichos servicios. En tal caso, la identidad del interesado se considerará acreditada por los medios establecidos para la identificación de los clientes del responsable en la prestación de sus servicios o contratación de sus productos. 5. El responsable del fichero o tratamiento deberá atender la solicitud de acceso, rectificación, cancelación u oposición ejercida por el afectado aún cuando el mismo no hubiese utilizado el procedimiento establecido específicamente al efecto por aquél, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud, y que ésta contenga los elementos referidos en el párrafo 1 del artículo siguiente. A su vez, el artículo 25 del RDLOPD dispone sobre el procedimiento que: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
  9. a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
  10. b)Petición en que se concreta la solicitud.
  11. c)Dirección a efectos de notificaciones, fecha y firma del solicitante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22
  12. d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber. 6. El responsable del fichero deberá adoptar las medidas oportunas para garantizar que las personas de su organización que tienen acceso a datos de carácter personal puedan informar del procedimiento a seguir por el afectado para el ejercicio de sus derechos. 7. El ejercicio de los derechos de acceso, rectificación, cancelación y oposición podrá modularse por razones de seguridad pública en los casos y con el alcance previsto en las Leyes.” Los artículos 31.2, 32.1 y 2, 34 y 35. 1 y 2 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (RDLOPD), señalan respecto del ejercicio de estos derechos y su denegación lo siguiente: El artículo 31.2 del RDLOPD establece que: “2. El ejercicio del derecho de cancelación dará lugar a que se supriman los datos que resulten ser inadecuados o excesivos, sin perjuicio del deber de bloqueo conforme a este reglamento. En los supuestos en que el interesado invoque el ejercicio del derecho de cancelación para revocar el consentimiento previamente prestado, se estará a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento.” Los apartados 1 y 2 del artículo 32 del RDLOPD establecen que: “1. La solicitud de rectificación deberá indicar a qué datos se refiere y la corrección que haya de realizarse y deberá ir acompañada de la documentación justificativa de lo solicitado. En la solicitud de cancelación, el interesado deberá indicar a qué datos se refiere, aportando al efecto la documentación que lo justifique, en su caso. 2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 El artículo 34 del RDLOPD indica en relación con el derecho de oposición que “es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos: ” (…)
  13. b)Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial, en los términos previstos enel artículo 51 de este reglamento, cualquiera que sea la empresa responsable de su creación.” Mientras el artículo 35 del RDLOPD contempla que: “1. El derecho de oposición se ejercitará mediante solicitud dirigida al responsable del tratamiento. (…) 2. El responsable del fichero resolverá sobre la solicitud de oposición en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 3. El responsable del fichero o tratamiento deberá excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición o denegar motivadamente la solicitud del interesado en el plazo previsto en el apartado 2 de este artículo.” Los apartados 1 y 2 del artículo 33 del RDLOPD establecen respecto de la denegación del derecho de cancelación lo siguiente: “1. La cancelación no procederá cuando los datos de carácter personal deban ser conservados o durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado que justificaron el tratamiento de los datos. 3. Podrá también denegarse los derechos de rectificación o cancelación en los supuestos en que así lo prevea una ley o una norma de derecho comunitario de aplicación directa o cuando éstas impidan al responsable del tratamiento revelar a los afectados el tratamiento de los datos a los que se refiera el acceso. “ Del análisis de estos artículos se infiere que el ejercicio de los derechos de cancelación y oposición suponen el cese en el tratamiento y uso de los datos personales del solicitante por parte del responsable del fichero al que se dirige la solicitud que contiene los mismos, siempre y cuando no se dé ninguna causa o limitación legal que impida que la cancelación de la información personal se produzca, debiendo en este último caso informar de la misma al solicitante, al igual que debe requerírsele la subsanación de la solicitud cuando se entienda que ésta no responde a los requisitos fijados en el artículo 25.1 del RDLOPD. VII Sentado lo anterior, de lo actuado C/ Jorge Juan, 6 28001 – Madrid han quedado acreditadas las siguientes www.agpd.es sedeagpd.gob.es 10/22 circunstancias: Primero, El denunciante utilizó uno de los procedimientos establecidos específicamente por GROUPALIA para el ejercicio de los derechos ARCO de la LOPD, toda vez que el escrito se dirigió a la dirección de Barcelona que figuraba en el sitio web es.groupalia.com y también constaba en la parte final de los mensajes recibidos, donde, por cierto, no se reseñaba debieran ser dirigidas a un departamento específico. Segundo, la solicitud, con independencia de que estuviera incluida en un escrito que también contenía una reclamación económica relativa al cobro de dos cupones, identificaba claramente al interesado, cuyos datos personales y dirección aparecían en el encabezamiento del escrito, tenía fecha y estaba firmada por el solicitante. Además, incluía la petición exacta en que se concretaba la solicitud, pudiendo interpretarse sin ningún tipo de duda que el objeto de la misma era la cancelación de sus datos personales y la oposición al tratamiento de los mismos para no recibir comunicaciones, que en este caso están referidas a los boletines comerciales remitidos diariamente por GROUPALIA a la cuenta de correo electrónico facilitada por el denunciante cuando se inscribió en la plataforma web de la empresa al objeto de recibir los mismos. Por tanto, sólo podía referirse al email .....@hotmail.com que es el único que figura en la ficha de usuario registrado del denunciante (folios 51 y 133) y es coincidente con el que aparece en el correo de fecha 25/11/2013 remitido al denunciante comunicándole el reembolso efectuado con motivo de la reclamación (folio 54). Es decir la reclamación, contenía la información suficiente para inferir la petición del solicitante e iniciar el protocolo de baja del sistema de newsletter o, en su caso, solicitar al denunciante que subsanase los defectos formales que, según se indica en las alegaciones a la propuesta de resolución, dificultaron detectar el ejercicio de derechos ARCO a la persona que atendió la reseñada reclamación. Por otra parte, la falta de mención del asunto de la baja en las comunicaciones anteriormente cruzadas con el denunciante no obstaculiza su solicitud posterior. Tercero, GROUPALIA no hizo efectivos los mencionados derechos en el plazo de diez días a contar desde su recepción, a pesar que hay constancia de que el escrito que contenía la solicitud de cancelación y oposición se envió por correo certificado y fue recibió con fecha 21/11/2013. Tampoco contestó a la misma en ningún sentido, puesto que ni requirió al afectado la subsanación de los requisitos que alega no se contenían en la misma ni comunicó al afectado que procedía su denegación por causa de los supuestos previstos para ello. Por lo tanto, la entidad imputada fue conocedora no sólo de que dicha solicitud de cancelación y oposición conllevaba no sólo el bloqueo de todos los datos personales del denunciante obrantes en sus ficheros, sino también de que impedía el tratamiento de sus datos con fines promocionales. Cuarto, la circunstancia de que el denunciante no utilizase para oponerse al uso de sus señas electrónicas con fines comerciales ninguno de los mecanismos de baja implantados por la entidad a los efectos previstos en los artículos 21 y 22.1 de la LSSI, no enerva el hecho de que los envíos comerciales recibidos por el afectado se remitieran incumpliendo los requisitos establecidos en el artículo 21.1 de la LSSI, toda vez que el consentimiento inicialmente prestado por éste para recibir correos comerciales en su dirección de correo electrónico decayó a partir del momento en que GROUPALIA tuvo conocimiento de la oposición al tratamiento de sus datos personales con fines publicitarios, a lo que hay que sumar que la citada empresa no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 solicitó al afectado la subsanación de las deficiencias que señala contiene la solicitud. Téngase en cuenta que el ejercicio de ambos derechos conlleva el bloqueo de los datos personales por la entidad titular del fichero, sin que, por otra parte, entre las salvedades establecidas en el artículo 16.3 de dicha norma, que ampara la conservación de los mismos para la atención de las responsabilidades nacidas del tratamiento, figure el uso de los datos bloqueados para fines publicitarios. En consecuencia, el ejercicio del derecho de cancelación y oposición de datos contemplado en la LOPD constituye un procedimiento válido para evitar la recepción de correos electrónicos publicitarios una vez se bloquean los datos, con independencia de que los destinatarios de los mensajes comerciales puedan manifestar su voluntad de no recibir más correos publicitarios a través de otras vías, tales como la utilización de los mecanismos de baja que la LSSI obliga a habilitar a los prestadores de servicios a estos efectos en el artículo 21.2 de la LSSI o mediante la revocación al consentimiento inicialmente prestado utilizando los mecanismos que se informan por el prestador de servicios por medios electrónicos tal y como fija el artículo 22.1 de la LSSI. Otra interpretación, supondría vaciar de contenido el derecho de los afectados a no recibir comunicaciones comerciales que previamente no hayan sido solicitadas o autorizadas, siendo, por otra parte, un derecho de éstos denunciar ante el organismo competente el incumplimiento de su derecho a no recibir comunicaciones comerciales por medios de comunicación electrónica. En correlación con lo ya expuesto, en este caso no se produce la analogía pretendida por GROUPALIA entre este supuesto y el criterio mantenido por la Audiencia Nacional en su Sentencia 3673/11 de 15/07/2011, en la que ésta entendió, en esa ocasión, que al no haberse utilizado por el destinatario de los mensajes comerciales el mecanismo de baja incluido en los mismos “pudo interpretarse como conformidad con los posteriores envíos”, calificando la infracción a la LSSI como leve en lugar de grave. Este análisis no resulta de aplicación al caso que nos ocupa, ya que sin perjuicio de que el denunciante no utilizó el enlace de baja incluido en los boletines comerciales, sin embargo, con anterioridad a la recepción de los envíos imputados, había manifestado en forma expresa ante GROPUPALIA su rechazo a la recepción de comunicaciones comerciales en su cuenta de correo ejercitando los derechos de cancelación y oposición al uso de datos personales con dicha finalidad, negativa que no se había producido en el caso valorado en la Sentencia aludida. De lo que se evidencia, que la falta de activación del enlace por el denunciante después de recibir el primer boletín enviado con posterioridad al ejercicio de los reseñados derechos no implica que GROUPALIA pudiera interpretar que éste estuviera conforme con los posteriores envíos, consideración que, en este caso, se extiende a las siguientes comunicaciones comerciales enviadas, ya que la remitente sabía de la voluntad del afectado de no continuar recibiéndolas. En correlación con lo expuesto, cabe concluir que no puede considerarse que los envíos objeto de imputación estuvieran amparados por el consentimiento previo y expreso del denunciante, lo que supone un incumplimiento por parte de la entidad imputada de la prohibición recogida en el artículo 21.1 de la LSSI de enviar comunicaciones comerciales por medios de comunicación electrónica o similares que no hayan sido previamente solicitadas o expresamente autorizadas por los destinatarios de las mismas. VIII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 La entidad imputada ha defendido en todo momento la falta de dolo o culpa en su conducta, aunque a lo largo del procedimiento ha ido variando los motivos centrales argüidos para su justificación. En las alegaciones al acuerdo de inicio se aducía que la empresa había actuado con la máxima diligencia para satisfacer la pretensión principal del usuario en materia de consumo y, de esta forma, no perjudicar al denunciante acudiendo a un órgano de consumo. En las alegaciones a la propuesta de resolución, cambiando de línea argumental, se defendía que la falta de tramitación de la baja del correo electrónico se debió a un error humano no imputable o a GROUPALIA, entidad que siempre ha observado el deber de cuidado que le era exigible implementando medidas de seguridad y formación de sus empleados en las responsabilidades en la materia. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. En esta línea, en la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece en cuanto a la aplicación del principio de culpabilidad que “ Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Trasladando dicho criterio jurisprudencial al presente caso, si bien no puede acreditarse una conducta dolosa en la entidad imputada, sin embargo, si se aprecia la existencia de responsabilidad por parte de GROUPALIA en la comisión de la infracción imputada a título de culpa, ya que esta mercantil, en el momento de recibir el escrito del denunciante conteniendo dos peticiones diferentes, una originada en una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 incidencia relativa a los cupones del usuario y otra referente a la solicitud de ejercicio de los derechos de cancelación y oposición al tratamiento de sus datos personales, no mostró la diligencia y cautelas que le eran exigibles en orden a hacer efectiva la mencionada solicitud que hubiera impedido la remisión de las newsletters, limitándose a dar respuesta a la petición de reembolso de cupones. Asimismo, el hecho de que el escrito, que no estaba dirigido a ninguna unidad concreta, fuera tramitado en el departamento de Atención al Cliente que habitualmente gestiona las bases de datos, tampoco modifica la falta de rigor mostrada. Teniendo en cuenta que GROUPALIA es una entidad habituada a tramitar solicitudes de derechos ARCO y a gestionar las bajas de las newsletters de los usuarios, se estima que no hay motivo para que este tipo de solicitudes no puedan ser reconocidas conforme a su propia naturaleza al margen del tipo de escrito en el que se incluyan y la unidad a la que organizativamente le competa su tramitación. Se recuerda que en protocolo específico sobre ejercicio de derechos ARCO incluido en el Documento de Seguridad de la empresa actualizado el 08/11/2013, es decir, con anterioridad antes de formularse la solicitud por el denunciante, y aportado por GROUPALIA, se incluye un apartado relativo a las formas a través de las cuales pueden ser ejercitados los derechos en el que se precisa, en concordancia con lo dispuesto en el artículo 24.4 del RDLOPD, lo siguiente: “
  14. a)Si el responsable del fichero dispone de servicios para la atención a su público o el ejercicio de reclamaciones relacionadas con sus servicios o productos podrá concederse la posibilidad al afectado de ejercer sus derechos de acceso, rectificación, cancelación y oposición a través de dichos servicios. En este caso, la identidad del interesado se considerará acreditada por los medios establecidos para la identificación habitual de los clientes.” Por todo lo cual, la AEPD considera que a la entidad imputada le era exigible otra conducta diferente de la que observó, puesto que no adoptó todas las medidas necesarias para controlar la difusión y correcta ejecución de los protocolos instaurados a fin de evitar situaciones como la que nos ocupa, asegurándose así de que éstos eran conocidos por el personal a su servicio y funcionaban adecuadamente. De hecho, fue con posterioridad a los hechos imputados, concretamente el 16 de junio de 2014, cuando consta que GROUPALIA dirigió un mensaje recordatorio a todo el personal de la compañía con la finalidad de asegurar que el tratamiento de datos de carácter personal de los usuarios y la respuesta al derecho a no recibir comunicaciones comerciales se realizase correctamente, con independencia de la forma en que se expresasen tales peticiones (folios 49 y 55). En congruencia con lo expuesto, debe rechazarse que los hechos analizados se debieran a un error humano de la persona que desatendió la solicitud, ya que su falta de tramitación se produce en el marco organizativo y dentro de la esfera de responsabilidad de GROUPALIA como empresa remitente de las comunicaciones comerciales objeto de denuncia. En definitiva, la entidad imputada no desplegó toda la diligencia que le era exigible para asegurarse de que los envíos comerciales remitidos al denunciante en el período indicado en el hecho séptimo contaban con el consentimiento de su destinatario, lo que lleva a considerar la existencia del elemento de culpabilidad en la conducta de GROUPALIA en el ilícito administrativo imputado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 IX El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos) La definición de prestador del servicio se contiene en el apartado
  15. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De acuerdo con lo establecido en los apartados 3.
  16. c)y 4.
  17. d)del artículo 38 de la LSSI actualmente en vigor, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  18. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
  19. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción de carácter grave a los efectos de la LSSI. A partir del conjunto de hechos y circunstancias constatadas en el procedimiento sancionador y con arreglo a lo dispuesto en los citados preceptos, la conclusión que se despende es que la conculcación del artículo 21 de la LSSI que se imputa a GROUPALIA se ajusta al tipo de infracción calificada como grave en el artículo 38.3.
  20. c)de la vigente LSSI. Así, el envío durante seis meses de un boletín publicitario diario a la cuenta de correo del denunciante, tal y como se desprende de las alegaciones de la imputada, sin contar con su consentimiento previo y expreso para ello debe ser calificado como de “envío insistente o sistemático” por parte de la referida entidad, resultando irrelevante a estos efectos que la periodicidad y cantidad de los envíos no autorizados fuera proporcional a la consentida cuando tramitó el alta en el servicio de newsletter. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 X A tenor de lo establecido en el los apartados
  21. b)y
  22. c)del artículo 39 de la LSSI las infracciones graves podrán sancionarse con multa desde 30.001 hasta 150.000 euros mientras que las infracciones leves podrán sancionarse con multa de hasta 30.000 euros, estableciéndose los criterios para su graduación en los artículos 39 bis 1 y 40 de la misma norma, cuyo tenor literal es el siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  23. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
  24. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  25. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  26. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  27. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  28. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  29. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  30. a)La existencia de intencionalidad.
  31. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  32. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 así haya sido declarado por resolución firme.
  33. d)La naturaleza y cuantía de los perjuicios causados.
  34. e)Los beneficios obtenidos por la infracción.
  35. f)Volumen de facturación a que afecte la infracción cometida.
  36. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En cuanto a la solicitud de aplicar lo previsto en el artículo 39 bis 1 de la LSSI a los efectos de la rebaja sustancial de la sanción a imponer, se considera que, en este caso, no se ha producido una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad de los hechos como consecuencia de la concurrencia significativa de varios de los criterios del artículo 40 de la LSSI que contempla el supuesto
  37. a)del precepto, habiéndose razonado ya la responsabilidad de GROUPALIA en la comisión de la infracción grave imputada, la cual no se ve mermada por la colaboración mostrada por dicha entidad durante la realización de las actuaciones previas o durante la tramitación del procedimiento sancionador. Asimismo, GROUPALIA no ha reconocido espontáneamente su responsabilidad como se requiere en el supuesto
  38. d)del artículo 39 bis 1 de la LSSI, defendiendo en todo momento la inexistencia de culpabilidad en su conducta. Tampoco estamos ante una infracción cometida con anterioridad a un proceso de fusión por absorción que recoge el supuesto e). No obstante lo cual, se estima la concurrencia del supuesto b), ya que si bien GROUPALIA no actuó con el rigor debido a la hora de tramitar la solicitud recibida del denunciante con fecha 21 de noviembre de 2013, ha de valorarse que cuando dicha entidad conoció, con fecha 6 de junio de 2014, a través del requerimiento de información enviado por la Agencia la situación irregular derivada de la falta de atención de la citada solicitud, procedió, rápidamente, a dar de baja al denunciante en sus sistemas, en concreto, con fecha 11 de junio de 2014, a fin de subsanar rápidamente la situación irregular Además, se considera que también se produce el supuesto
  39. c)del artículo 39 bis 1 de la LSSI al entender que la conducta del afectado ha podido inducir a la comisión de la infracción. Aunque éste ha utilizado uno de los mecanismos previstos por la entidad imputada para satisfacer los derechos ARCO, no puede obviarse que tal petición se incluía en la parte final de un escrito aparentemente centrado en una reclamación de cantidades. Esta circunstancia, una vez cerrada la incidencia del cobro de los cupones por personal no especializado en atender el ejercicio de derechos ARCO o las solicitudes de baja de los envíos comerciales, pudo dificultar la correcta gestión del ejercicio de los derechos de cancelación y oposición también solicitados por el afectado en el escrito en cuestión, y dar lugar a la continuación de la remisión de este tipo de envíos, a pesar de que el denunciante había manifestado su voluntad de no recibirlos a través de la reseñada solicitud incluida en el escrito de tanta cita. Situación que, por otra parte, se prolongó en el tiempo ante la falta de constancia de la entidad de que el denunciante hubiera utilizado los procedimientos de oposición y/o revocación habilitados en cumplimiento de las exigencias de los artículos 21.2 y 22.1 de la LSSI con posterioridad a la resolución de la reclamación de consumo incluida en el citado escrito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 En relación a los criterios de graduación de las sanciones recogidos en el citado artículo 40 de la LSSI, se estima que actúan como agravantes los criterios
  40. a)y b), ya que, si bien no ha existido intencionalidad en su conducta, la falta de diligencia observada, en un principio, por GROUPALIA para atender la petición de oposición y cancelación del denunciante propició la remisión al mismo de 189 comunicaciones electrónicas no deseadas durante seis meses. Esta conducta, que lesiona el bien jurídico protegido por el artículo 21.1 de la LSSI, resulta especialmente relevante si se tiene en cuenta que, en tanto que el objeto del negocio es la remisión de comunicaciones comerciales a través de correo electrónico, GROPUALIA debería tener un especial cuidado en detectar y atender, en cumplimiento de las exigencias recogidas en el artículo 21.1 de la LSSI, cualquier solicitud de sus usuarios tendente a no recibir comunicaciones comerciales en sus señas electrónicas realizada mediante cualquier procedimiento legalmente válido para ello, lo que incluye no sólo los medios de oposición y/o revocación a los que se refieren los artículos 21.2 y 22.1 de la LSSI, sino también el ejercicio de los derechos de cancelación, oposición y revocación contemplados en la LOPD cuando, como en este caso, dichos envíos supongan un tratamiento de datos personales, conforme a lo previsto en el artículo 19.2 de la LSSI, cuando se produce un tratamiento de datos de carácter personal. A su vez, se consideran que los criterios c),
  41. d)y
  42. e)actúan como atenuantes, al no producirse reincidencia por comisión de infracciones de la misma naturaleza, no haber constancia de que el destinatario de los boletines comerciales haya sufrido perjuicios derivados de la recepción de los mismos, ni existir prueba de que esta entidad haya obtenido beneficios con motivo de la comisión de la infracción del artículo 21.1 de la LSSI. Por todo lo cual, se estima proporcional a la gravedad de los hechos imputados imponer una sanción de 20.000 euros a GROUPALIA.>> III Alega la recurrente que el recurso se impone al amparo de lo previsto en los artículos 62 y 63 de la LRJPAC, preceptos que disponen lo siguiente: “Artículo 62. Nulidad de pleno derecho. 1. Los actos de las Administraciones públicas son nulos de pleno derecho en los casos siguientes:
  43. a)Los que lesionen los derechos y libertades susceptibles de amparo constitucional.
  44. b)Los dictados por órgano manifiestamente incompetente por razón de la materia o del territorio.
  45. c)Los que tengan un contenido imposible.
  46. d)Los que sean constitutivos de infracción penal o se dicten como consecuencia de ésta.
  47. e)Los dictados prescindiendo total y absolutamente del procedimiento legalmente establecido o de las normas que contienen las reglas esenciales para la formación de la voluntad de los órganos colegiados.
  48. f)Los actos expresos o presuntos contrarios al ordenamiento jurídico por los que se adquieren facultades o derechos cuando se carezca de los requisitos esenciales para su adquisición. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22
  49. g)Cualquier otro que se establezca expresamente en una disposición de rango legal. 2. También serán nulas de pleno derecho las disposiciones administrativas que vulneren la Constitución, las leyes u otras disposiciones administrativas de rango superior, las que regulen materias reservadas a la Ley, y las que establezcan la retroactividad de disposiciones sancionadoras no favorables o restrictivas de derechos individuales.” Artículo 63. Anulabilidad. 1. Son anulables los actos de la Administración que incurran en cualquier infracción del ordenamiento jurídico, incluso la desviación de poder. 2. No obstante, el defecto de forma sólo determinará la anulabilidad cuando el acto carezca de los requisitos formales indispensables para alcanzar su fin o dé lugar a la indefensión de los interesados. 3. La realización de actuaciones administrativas fuera del tiempo establecido para ellas sólo implicará la anulabilidad del acto cuando así lo imponga la naturaleza del término o plazo.” Ambos preceptos se anudan a la vulneración de los principios de responsabilidad y de proporcionalidad de la potestad sancionadora contemplados en los artículos 130 y 131 de la LRJPAC, los cuales establecen lo siguiente: “Artículo 130. Responsabilidad. 1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia. 2. Las responsabilidades administrativas que se deriven del procedimiento sancionador serán compatibles con la exigencia al infractor de la reposición de la situación alterada por el mismo a su estado originario, así como con la indemnización por los daños y perjuicios causados que podrán ser determinados por el órgano competente, debiendo, en este caso, comunicarse al infractor para su satisfacción en el plazo que al efecto se determine, y quedando, de no hacerse así, expedita la vía judicial correspondiente. 3. Cuando el cumplimiento de las obligaciones previstas en una disposición legal corresponda a varias personas conjuntamente, responderán de forma solidaria de las infracciones que, en su caso, se cometan y de las sanciones que se impongan. Serán responsables subsidiarios o solidarios por el incumplimiento de las obligaciones impuestas por la Ley que conlleven el deber de prevenir la infracción administrativa cometida por otros, las personas físicas y jurídicas sobre las que tal deber recaiga, cuando así lo determinen las Leyes reguladoras de los distintos regímenes sancionadores. Artículo 131. Principio de proporcionalidad. 1. Las sanciones administrativas, sean o no de naturaleza pecuniaria, en ningún caso podrán implicar, directa o subsidiariamente, privación de libertad. 2. El establecimiento de sanciones pecuniarias deberá prever que la comisión de las infracciones tipificadas no resulte más beneficioso para el infractor que el cumplimiento de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 normas infringidas. 3. En la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
  50. a)La existencia de intencionalidad o reiteración.
  51. b)La naturaleza de los perjuicios causados.
  52. c)La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme.” La invocación de los artículos 62 y 63 de la LRJPAC se produce en forma genérica sin concretar el supuesto concreto de los contemplados en dichos preceptos de los que derivaría la nulidad o anulabilidad solicitadas, a lo que hay que añadir que tampoco se argumenta el modo en que la aducida conculcación de los principios de responsabilidad o proporcionalidad pudieran encajar en dichos supuestos. Dicho esto se advierte que no se ha producido lesión del derecho constitucional a la defensa, ya que a lo largo del procedimiento se ha ofrecido a GROUPALIA la posibilidad de defenderse presentando las pruebas y alegaciones que considerase oportunas, derecho que ha ejercido alegando frente al acuerdo de inicio del procedimiento, la propuesta de resolución del mismo y la resolución, conforme consta en el propio expediente. Asimismo, la resolución recurrida se ha dictado por el Director de la AEPD en su condición de órgano competente para ello en virtud de lo dispuesto en el artículo 43.1 de la LSSI. El expediente se ha tramitado respetando escrupulosamente los principios del procedimiento sancionador, en relación con los cuales los artículos 134 y 135 de la LRJPAC establecen lo siguiente: “Artículo 134. Garantía de procedimiento. 1. El ejercicio de la potestad sancionadora requerirá procedimiento legal o reglamentariamente establecido. 2. Los procedimientos que regulen el ejercicio de la potestad sancionadora deberán establecer la debida separación entre la fase instructora y la sancionadora, encomendándolas a órganos distintos. 3. En ningún caso se podrá imponer una sanción sin que se haya tramitado el necesario procedimiento. Artículo 135. Derechos del presunto responsable. Los procedimientos sancionadores garantizarán al presunto responsable los siguientes derechos: A ser notificado de los hechos que se le imputen, de las infracciones que tales hechos puedan constituir y de las sanciones que, en su caso, se les pudieran imponer, así como de la identidad del instructor, de la autoridad competente para imponer la sanción y de la norma que atribuya tal competencia. A formular alegaciones y utilizar los medios de defensa admitidos por el Ordenamiento Jurídico que resulten procedentes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22 Los demás derechos reconocidos por el artículo 35 de esta Ley.” Así, contrastando la mencionada normativa el procedimiento se estima lo siguiente: con las actuaciones realizadas en En congruencia con dichos principios del procedimiento sancionador, el expediente cuya resolución se recurre se ha tramitado conforme a lo establecido en el capítulo III del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, y supletoriamente, en lo no establecido en el mismo, conforme a lo previsto en la LRJPAC y en el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto (en adelante REPEPOS), en virtud de la Disposición Final Única del propio RDLOPD. Tampoco la recurrente ha justificado que se haya producido alguno de los restantes supuestos citados en el artículo 62.1 de la LRJPAC, al igual que no lo ha hecho en relación con los casos en los que podría sustentarse la anulabilidad del artículo 63 de dicha norma. En lo referente a la conculcación del principio de responsabilidad, esta Agencia se reitera en los argumentos expuestos en los Fundamentos de Derecho VII y VIII de la resolución recurrida para rechazar la falta de culpa aducida, habida cuenta que en los mismos se analizan detalladamente las causas que enervan la ausencia de culpa por conducta diligente y por el error humano aducido. En lo que respecta a las alegaciones efectuadas sobre la conculcación del principio de proporcionalidad, en el Fundamento de Derecho X de la resolución recurrida se justifica detalladamente la valoración que se ha realiza de los criterios de moderación y graduación de las sanciones recogidos en los artículos 39 bis y 40 de la LSSI en los que se sustenta la resolución recurrida. El hecho de que la recurrente discrepe de tal interpretación no conlleva vulneración del principio de proporcionalidad ni que la ponderación efectuada no se ajuste a derecho. Así, se considera que el criterio relativo a “la existencia de intencionalidad” recogido en el artículo 40.
  53. a)cabe subsumirlo dentro del principio de responsabilidad recogido en el artículo 131 de la LRJPAP, por lo que esta Agencia entiende que la ausencia de intencionalidad observada no obsta para entender que se ha producido una grave falta de diligencia en su conducta en la forma expresada en la resolución recurrida. En paralelo, se considera adecuado entender como agravante el supuesto del artículo 40
  54. b)de la LSSI, y ello en razón del prolongado plazo de tiempo en que se remitieron los envíos comerciales no obstante que esa empresa conocía la voluntad del afectado de que sus señas electrónicas no se utilizarán con dicha finalidad. Además, la incidencia de la conducta del denunciante en la comisión de la infracción imputada se valoró por esta Agencia al aplicarse lo previsto en el artículo 39 bis 1.c), lo que dio lugar a la imposición de una sanción dentro del rango de las infracciones leves a dicha normativa en lugar de las infracciones graves. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22 A pesar de lo alegado, no se produce la identidad de supuestos “casi total” que la recurrente invoca entre el presente caso y los analizados en las resoluciones R/00173/201 y R/00771/2014 en las que se impusieron 1.200 € y 600 € de multa, respectivamente. En primer lugar, no debe olvidarse que los procedimientos sancionadores que dieron lugar a las mismas derivaban de una infracción leve a lo previsto en el artículo 38.4.
  55. d)de la LSSI, mientras que en este caso estamos ante la comisión de una infracción grave a lo previsto en el artículo 38.
  56. c)de dicha norma. En segundo lugar mientras en esos casos se sancionó por el envío de una comunicación comercial no autorizada, en este supuesto se enviaron 168 correos electrónicos sin consentimiento del afectado. En tercer lugar, en los expedientes invocados no constaba que el destinatario de los envíos denunciados hubiera manifestado su oposición a la recepción de nuevos envíos publicitarios, mientras que en el expediente cuya resolución ahora se recurre está acreditado que todos las comunicaciones comerciales objeto de imputación se enviaron con posterioridad a que GROUPALIA hubiera recibido la solicitud de cancelación y oposición del denunciante al tratamiento de sus datos personales, entre ellos su correo electrónico. En cuarto lugar, tampoco puede exigirse el mismo nivel de conocimiento de la normativa de aplicación en este tipo de envíos comerciales realizados por medios de comunicación electrónica a particulares, como ocurre en los supuestos señalados por la recurrente, que a empresas como GROUPALIA habituadas a su remisión por constituir parte de su propia actividad. Así, la ponderación de todas estas circunstancias ha resultado fundamental para imponer las sanciones que se consideraron adecuadas en esos procedimientos a la gravedad de los hechos objeto de análisis. Por otro lado, la posible consideración como atenuante del criterio del supuesto
  57. f)del artículo 40 de la LSSI, relativo al “Volumen de facturación a que afecte la infracción cometida”, y que la recurrente entiende también se produce en este caso, no supone para esta Agencia un elemento de juicio que justifique la minoración de la cuantía impuesta, ya que la fijación de la cuantía no constituye una mera cuantificación del número de atenuantes que se producen frente a los agravantes considerados, sino en un análisis de la trascendencia de los mismos como elemento de juicio para adecuar la sanción a la gravedad de los hechos cometidos. IV Por lo tanto, en el presente recurso de reposición, GROUPALIA COMPRA COLECTIVA, S.L. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por GROUPALIA COMPRA COLECTIVA, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 23 de diciembre de 2014, en el procedimiento sancionador PS/00403/2014. SEGUNDO: NOTIFICAR la presente resolución a la entidad GROUPALIA COMPRA COLECTIVA, S.L.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/22 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.