REPOSICION-PS-00408-2024

1/15  Expediente nº.: EXP202407136 (RR/00466/2025) RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por la entidad AD735 DATA MEDIA ADVERTISING, S.L. (AD735), con NIF.: B87781795 (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 03 de junio de 2025, y en base a los siguientes HECHOS PRIMERO: Con fecha 03 de junio de 2025 se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202407136 (PS/00408/2024), en virtud de la cual se imponía a la entidad AD735 DATA MEDIA ADVERTISING, S.L. una multa de 10.000 euros (diez mil euros) por una infracción del Artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada en el artículo 38.4.

1. d)de la citada norma. Dicha resolución, que fue notificada a la parte recurrente en fecha 04 de junio de 2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, (en lo sucesivo, LOPDGDD) y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado procedimiento sancionador, quedó constancia de los siguientes: <<Primero: Se constata que la entidad responsable del tratamiento de los datos personales vinculados al presente procedimiento es la entidad AD735 DATA MEDIA ADVERTISING, S.L., con CIF.: B87781795. La mencionada entidad figura como titular del fichero automatizado que contiene los datos personales del reclamante, según lo indicado en las comunicaciones comerciales enviadas y en la documentación aportada por la misma. Segundo: Se adjunta al escrito de reclamación copia de dos correos electrónicos remitidos a la dirección del reclamante: ***EMAIL.1, desde la dirección de correo electrónico, <<…vía AD735 (***EMAIL.2)>>, con fecha 23/04/24, con información comercial relacionada con ofertas de trabajo: “Nuevo webinar.- Escápate de ese curro que no soporta. Descubre como los empleos en el campo Tecnológico están transformando el panorama laboral…” En estos correos electrónicos se incluye, en el pie de los mensajes, un apartado informativo que señalaba que los datos personales del destinatario se encuentran en un fichero gestionado por AD735 DATA MEDIA ADVERTISING, S.L. Dicho apartado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/15 informa sobre los derechos de oposición y supresión, así como los canales disponibles para su ejercicio, incluyendo un formulario web y direcciones electrónicas específicas. De conformidad con lo dispuesto en la normativa vigente en materia de protección de datos de carácter personal, el Reglamento General de Protección de Datos 2016/679, y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, le informamos que sus datos personales forman parte de un fichero automatizado del que es responsable AD735 DATA MEDIA ADVERTISING, S.L., con CIF B87781795, y domicilio en la Cl. Ibersierra, 15, bajo de 28440 Guadarrama, Madrid. Si usted no desea continuar recibiendo comunicaciones comerciales, puede ejercitar sus derechos de supresión y oposición al tratamiento de sus datos personales dirigiéndose por correo postal a la dirección indicada, a la dirección bajas@ad735.es, o en www.ad735.es/bajas Si Usted desea ejercer los derechos de acceso, rectificación, portabilidad de sus datos y los de limitación a su tratamiento le rogamos acceda al siguiente enlace www.ad735.es/derechosRGPDAD735.pdf Se aporta además, pantallazo de la página que aparece a través del link existente en los correos electrónicos publicitarios, https://www.ad735.es/bajas/ donde aparece un formulario para solicitar la supresión de los datos personales. Tercero: La documentación aportada por la entidad reclamada junto al escrito enviado a esta Agencia con fecha 28/06/24, se incluye: - Copia del documento titulado, “CERTIFICADO DE SUPRESION DE DATOS DE CARÁCTER PERSONAL” dirigido al reclamante donde le informan que sus datos han sido borrados con fecha 14/06/24, como respuesta a la solicitud de cancelación recibida el 28/05/24. - Copia del documento titulado, “CERTIFICADO DE OBTENCIÓN DE DATOS PERSONAL”, donde se puede leer, entre otra información, lo siguiente: “Fecha Obtención: 19/03/2022 17:34 III.- PROCEDENCIA DE LOS DATOS PERSONALES OBJETO DE TRATAMIENTO.- Sus datos de carácter personal que figuran en el fichero de AD735 DATA MEDIA ADVERTISING denominado PREMIUM SALES, han sido obtenidos a través de los formularios habilitados en el sitio web www.premium-sales.es, del que es titular. En el formulario de participación recibido consta que el usuario otorgó a AD735 DATA MEDIA ADVERTISING el consentimiento libre y expreso para el tratamiento de sus datos personales con fines de mercadotecnia, y la cesión de sus datos a terceros para estos fines, mediante la aceptación de la política de privacidad, las condiciones de uso y las bases del sorteo aplicables en ese momento, accesibles en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/15 sitio web www.premium-sales.es , y establecidas de conformidad a la legislación en materia de protección de datos de carácter personal vigente el día 19 de marzo de 2022 (...)”. Cuarto: La documentación aportada por la reclamada junto al escrito de alegaciones a la incoación del expediente, enviado a esta Agencia con fecha 18/11/24, incluye: - Copia del documento etiquetado por la reclamada como, “Doc. Uno.- Fichero registro (log) con los datos de registro del reclamante” donde se puede leer, entre otra información, lo siguiente: “Búsqueda: SELECT FROM.- “log_access;” WHERE.- “ip“ LIKE (...).- Id: (...); Fechaaccion: 2022-03-19; IP: (...) Url: http://prb.premiumsales.esisorteosl...; Acción: registro sorteo (…)” - Copia del documento etiquetado por la reclamada como, “Doc. Dos.Certificados de tabla de registro y de verificación de email emitidos por el responsable del fichero de datos personales” donde se puede leer, entre otra información: “Id: (…); email: ***EMAIL.1 ; fechinsercion: 2022-03-19 IP: (...); Comunicación: S; Enveterceros: S; Emailverifique: https://cp.premíumsales.es/public//profile//verify... Verify date: 2022-03-20 09:44”. - Copia del documento etiquetado por la reclamada como “Doc. Tres.- Modelo de formulario web a través del cual se obtuvo el consentimiento del reclamante”, donde se puede leer la siguiente información: “Déjanos tus Datos: Desde Premium Sales Nos pondremos en contacto contigo a través de email en caso de que resultes premiado. Correo electrónico: ___ _ He leído y acepto la Política de Privacidad © de AD735 Data Media AdvertisingSL _ Acepto recibir comunicaciones comerciales por parte de AD735 sobre servicios y productos relacionados con los sectores de actividad reflejados en la política de privacidad de AD735 _ Acepto que AD735 ceda el tratamiento de mis datos a terceras empresas relacionadas con los sectores de actividad que se detallan en la política de privacidad de AD735. <<PARTICIPAR>>”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/15 TERCERO: La parte recurrente ha presentado en fecha 4 de julio de 2025, en esta Agencia Española de Protección de Datos, recurso de reposición, en el cual manifiesta lo siguiente: “PRIMERA.- I.- Con fecha 23 de abril de 2024, el reclamante presenta reclamación ante la Agencia Española de Protección de Datos, por una supuesta infracción del REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, en adelante, RGPD y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, LOPDGDD. II.- No consta en los sistemas de AD735 DATA MEDIA ADVERTISING ninguna solicitud de acceso ni supresión de los datos personales del reclamante. Junto con su escrito de reclamación, el afectado presenta una captura de pantalla del formulario habilitado por la reclamada para ejercitar el derecho de supresión de los datos personales. En la captura de pantalla se puede comprobar que el formulario no está cumplimentado. Además, no se puede comprobar la fecha de la obtención de la captura de pantalla. El reclamante no aporta copia del correo automático de respuesta que se envía por la reclamada una vez que se remite el formulario de supresión cumplimentado y que confirma la tramitación correcta de las solicitudes. III.- Recibido el traslado de reclamación y solicitud de información por parte de la reclamada se realizan las gestiones correspondientes para identificar en sus ficheros de datos el registro del reclamante. La supresión de los datos personales del reclamante se tramita en los ficheros de AD735 DATA MEDIA ADVERTISING el día 11 de junio de 2024. La supresión de los datos personales del reclamante se comunica a los encargados del tratamiento, a los efectos oportunos, el mismo día 11/06/2024. AD375 DATA MEDIA ADVERTISING, de conformidad con la obligación establecida en el artículo 32 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en adelante LOPDGDD, procedió al bloqueo de los datos del reclamante, consistiendo dicho bloqueo en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas. Una vez bloqueados, los datos del reclamante no han sido utilizados, en lo sucesivo, para ser tratados para ninguna finalidad distinta de las señaladas en el párrafo anterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/15 SEGUNDA.- Recibido el acuerdo de inicio de procedimiento sancionador en el EXP202407136 (PS/00408/2024), esta parte, en tiempo y forma, evacuó el trámite conferido presentando escrito de alegaciones que consta en el expediente y junto al que se aportó la documentación probatoria del consentimiento informado, libre y expreso del interesado para el tratamiento de sus datos personales por parte de AD735 DATA MEDIA ADVERTISING: 1. Fichero registro (log) con los datos de registro del reclamante. 2. Certificados de tabla de registro y de verificación de email emitidos por el responsable del fichero de datos personales 3. Modelo de formulario web a través del cual se obtuvo el consentimiento del reclamante. Además, se detalla y prueba en el escrito de alegaciones la diligencia desempeñada por parte de la reclamada tanto en su actividad diaria como en el tratamiento de los datos personales del reclamante, dando cumplimiento al principio de responsabilidad proactiva, accountability, recogido en los artículos 5.2 del RGPD y 28 de la LOPDGDD, que establece que el responsable del tratamiento de datos no solo debe cumplir la normativa de protección de datos, sino que además debe ser capaz de demostrar que cumple. La reclamada ha implementado medidas organizativas y técnicas adecuadas, analizando riesgos, aplicando medidas de seguridad adaptadas a los riesgos, cumpliendo con la confidencialidad, integridad y disponibilidad de los datos y revisando periódicamente la adecuación de las medidas. Ha aportado la documentación que prueba el cumplimiento con la normativa vigente en materia de protección datos en lo referente al tratamiento de los datos del reclamante. Ha aplicado un enfoque de privacidad desde el diseño y por defecto, incorporando medidas de protección de datos desde el inicio, limitando el tratamiento de datos del reclamante a lo estrictamente necesario y configurando por defecto las opciones más respetuosas con la privacidad del reclamante. TERCERA.- La documental aportada constituye un medio de prueba válido y suficiente para acreditar la obtención del consentimiento conforme a los artículos 6 y 7 del RGPD, así como a lo establecido en la Directriz 5/2020 del Comité Europeo de Protección de Datos sobre el consentimiento. En particular, los apartados 105 a 108 de dicha Directriz aclaran que no existe un sistema de prueba tasada ni se exige formato documental único o predeterminado, sino que corresponde al responsable demostrar la validez del consentimiento por cualquier medio que resulte fiable y verificable, incluidos los registros electrónicos de aceptación, logs de sistema o mecanismos equivalentes. La normativa europea reconoce expresamente la validez de estos soportes como prueba suficiente, siempre que permitan acreditar que el consentimiento fue otorgado de manera libre, informada, específica e inequívoca. En consecuencia, la desestimación genérica de esta prueba sin un análisis individualizado de su contenido supone una vulneración del principio de presunción de inocencia y del derecho de defensa. Como queda probado a lo largo de todo el procedimiento administrativo, AD735 DATA MEDIA ADVERTISING no se ha limitado a “referirse únicamente a una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/15 configuración o página-formulario del sitio web en cuestión”, como se expresa en la resolución de procedimiento sancionador recurrida, sino que ha desplegado una actividad probatoria completa y concluyente. CUARTA.- La resolución sancionadora parte de la premisa de que la entidad reclamada ha incurrido en una conducta negligente al efectuar comunicaciones comerciales supuestamente sin consentimiento válido del reclamante. Sin embargo, tal conclusión no se sustenta en una valoración completa de las circunstancias concurrentes. AD735 DATA MEDIA ADVERTISING ha implantado procedimientos específicos de obtención, conservación y verificación del consentimiento, que incluyen el registro detallado de los datos identificativos (entre otros, correo electrónico, dirección IP, fecha y hora), la aceptación expresa de la política de privacidad y la información relativa al ejercicio de derechos. Tales medidas evidencian un grado de diligencia y cuidado que excluye la existencia de una actuación dolosa o de una negligencia grave. Además, tan pronto como la reclamante tuvo conocimiento efectivo de la reclamación, procedió de manera inmediata a la supresión y bloqueo de los datos del reclamante, y al cumplimiento de sus obligaciones, con constancia documental fehaciente, tal y como consta en el expediente. Esta actuación muestra una disposición proactiva y cooperativa orientada a restaurar la situación reclamada y a evitar cualquier potencial reiteración, en línea con los principios de responsabilidad proactiva y buena fe en el tratamiento de datos personales. La disposición y respuesta de la reclamada en este asunto pone de manifiesto cualquier carencia de dolo o negligencia en su conducta. Por todo ello, debe concluirse que en la conducta de AD735 DATA MEDIA ADVERTISING no concurre intencionalidad, dolo ni siquiera negligencia apreciable en grado suficiente para fundamentar una sanción, conforme a los criterios establecidos en el artículo 40 de la LSSI y en el artículo 29.3 de la Ley 40/2015. Esta circunstancia excluye la culpabilidad como presupuesto necesario de la responsabilidad administrativa sancionadora, que no puede fundarse en la mera existencia de un resultado sin la concurrencia de elemento alguno. QUINTA.- El principio de presunción de inocencia en materia sancionadora administrativa constituye una garantía básica del procedimiento y está expresamente reconocido en: Artículo 53.2.
2. b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común: “En el procedimiento sancionador, el presunto responsable tiene derecho a la presunción de no existencia de responsabilidad administrativa mientras no se pruebe lo contrario.” Artículo 24.2 de la Constitución Española, que consagra el derecho fundamental a la presunción de inocencia. La doctrina del Tribunal Supremo que ha reiterado que la carga de la prueba de los hechos constitutivos de la infracción corresponde a la Administración. En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/15 consecuencia, no pueden imponerse sanciones sobre la base de meras afirmaciones o manifestaciones de la parte reclamante, sin que concurran medios de prueba objetivos, verificables y suficientes que acrediten de manera indubitada la comisión de la conducta infractora. En el presente expediente la única base para imputar la supuesta infracción del artículo 21.1 LSSI consiste en el relato subjetivo del reclamante, quien afirma que: 1. No otorgó consentimiento para recibir comunicaciones comerciales. 2. Intentó ejercitar su derecho de oposición y que dicho ejercicio fue ineficaz. Sin embargo, dichas afirmaciones carecen de acreditación documental suficiente, y en particular:
3. a)No consta prueba fehaciente de que el reclamante ejercitara válidamente el derecho de oposición o revocación del consentimiento a través de los mecanismos facilitados por esta parte, más allá de la mera aportación de una captura de pantalla de la web de baja.
4. b)No consta acreditado que el reclamante hubiera completado el proceso de baja o remitido comunicación electrónica con los datos necesarios para verificar su identidad y procesar la solicitud. Los datos solicitados para atender la supresión ejercitada por el reclamante son datos para identificar el registro en los ficheros de la reclamada y poder dar cumplimiento a su obligación.
5. c)Tampoco se aporta indicio objetivo alguno que desvirtúe la presunción de licitud derivada de la documentación obrante en poder de esta parte, que demuestra: • El registro de la aceptación de la política de privacidad y condiciones de uso, con indicación de fecha, hora, dirección IP y finalidad. • La información clara y accesible sobre el procedimiento de oposición y supresión de datos. • La existencia de medidas técnicas para la gestión de bajas. Entendemos que no se ha desplegado la suficiente y necesaria actividad probatoria para acreditar a veracidad material de los hechos denunciados por el reclamante, y por tanto la sanción impuesta por infracción del artículo 21 de la LSSI, también carece de motivación ya que se sustenta, una vez más, en una serie de suposiciones no probadas. El Tribunal Constitucional ya desde la STC 8-3-1985, (SSTC 45/1997; 23/1995; 138/1990; 76/1990) viene aclarando que la presunción de inocencia implica que es necesaria una o más pruebas, cuya aportación es una carga que corresponde a la Administración, para imponer una sanción. Es decir, toda sanción debe apoyarse en una actividad probatoria que demuestre y acredite la realidad de la infracción cometida por el sancionado. Se vulnera este derecho a la presunción de inocencia cuando se sanciona sin pruebas, sin tener en cuenta las prácticas en el seno de dicho procedimiento o se valoran las mismas de forma arbitraria, irracional o absurda: SSTC 33/1992; 10/1992; 51/1991; 38/1990; etc. La presunción de inocencia supone el derecho de la recurrente a que se presuma la inexistencia de responsabilidad administrativa mientras que por la Administración no se demuestre lo contrario. El artículo 24 CE garantiza que el procedimiento sancionador, como señala la STC 76/1990, está condicionado a la aportación de prueba de carga a un procedimiento contradictorio en el que pueden defender las propias posiciones. A este efecto, el derecho a la presunción de inocencia comporta «que la sanción esté basada en actos o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/15 medios probatorios de carga o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, La STC (Sala Primera) núm. 70/2012 de 16 de abril de 2012 (RTC 2012, 70) establece que “La aplicación de la doctrina mencionada determina la desestimación de esta queja, ya que existe, sin duda alguna, actividad probatoria de carga, válida y suficiente para enervar la presunción de inocencia de la entidad recurrente. Ahora bien, ese valor probatorio sólo puede referirse a los hechos comprobados directamente por el uncionario, quedando fuera de su alcance las calificaciones jurídicas, los juicios de valor o las simples opiniones que los inspectores consignen en las actas y diligencias (STC 76/1990, de 26 de abril, F. 8), de modo que, aunque rechacemos la queja referida a la vulneración del derecho a la presunción de inocencia (art. 24.2 CE), ello no excluye la necesidad de examinar a continuación si la subsunción de esos hechos en el correspondiente precepto sancionador se ha hecho en términos constitucionalmente admisibles”. También se aprecia una vulneración del artículo 89 de la Ley 39/2015, que exige que el órgano instructor resuelva la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción procedimiento se ponga de manifiesto que los hechos reclamados no resulten acreditados, como así es el caso. No se puede obviar que la única parte que ha probado sus alegaciones es precisamente la reclamada y, sorprendentemente, sancionada. SEXTA.- El principio de proporcionalidad constituye un límite esencial de la potestad sancionadora de las Administraciones Públicas y está recogido expresamente en: Artículo 29.3 de la Ley 40/2015, de Régimen Jurídico del Sector Público: “Las sanciones deberán ser proporcionadas a la gravedad de los hechos constitutivos de la infracción, atendiendo, en todo caso, a los siguientes criterios para la graduación de la sanción:
6. a)La intencionalidad o reiteración.
7. b)La naturaleza de los perjuicios causados.
8. c)La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme.” Artículos 83.1 y 83.2 del RGPD: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
9. a)a
10. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
11. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate sí como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
12. b)la intencionalidad o negligencia en la infracción;
13. c)cualquier medida tomada por el responsable o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/15 encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
14. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
15. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
16. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
17. g)las categorías de los datos de carácter personal afectados por la infracción;
18. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
19. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
20. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
21. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas a través de la infracción.” Artículo 40 de la LSSI, que obliga a ponderar: 1. La existencia de intencionalidad. 2. La reincidencia. 3. La naturaleza y cuantía de los perjuicios causados. 4. El volumen de facturación afectado por la infracción. A mayor abundamiento, la jurisprudencia reiterada de nuestro Tribunal Supremo exige que la graduación de las sanciones sea debidamente motivada, individualizando las circunstancias. La resolución impugnada se limita a aludir de manera genérica a reincidencia, sin fundamentar: • Por qué se ha fijado un importe sancionador de 10.000 euros. • Por qué no se aplican circunstancias atenuantes de la responsabilidad que resultan evidentes. • Por qué no se valora la subsidiariedad de otras medidas menos gravosas, como el apercibimiento. Así, entendemos inadecuada y desproporcionada la sanción por aplicación de los criterios indicados en el artículo 40 de la LSSI, en concreto:
22. a)La inexistencia de intencionalidad.
23. b)Corto plazo de tiempo durante el que se haya venido cometiendo la infracción.
24. d)La naturaleza y cuantía de los perjuicios causados.
25. e)Los mínimos beneficios obtenidos por la supuesta infracción.
26. f)Volumen de facturación a que afecte la infracción cometida.
27. h)La adopción por parte de la reclamada de medidas para reparar el daño causado por la supuesta infracción. El artículo 4 de la Ley 40/2015 recoge el principio de mínima intervención, que impone a la Administración elegir la medida menos gravosa que sea eficaz para la protección del bien jurídico tutelado. Habiéndose adoptado por la reclamada todas las medidas correctoras oportunas, resulta desproporcionado acudir, con afán recaudatorio, a una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/15 sanción pecuniaria en lugar de un apercibimiento, que hubiera resultado idóneo para prevenir futuras incidencias. (…) En virtud de lo expuesto, SOLICITO A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, que tenga por presentado este escrito junto con el documento que se acompaña, y, en su virtud por interpuesto RECURSO DE REPOSICIÓN frente a la Resolución dictada en el Procedimiento Sancionador EXP202407136 (PS/00408/2024), lo admita, tenga por evacuado, en tiempo y forma, el trámite conferido, y, en virtud de las alegaciones realizadas en el presente documento, se sirva de anular dicha resolución y dictar otra acordando la dejar sin efecto las sanciones impuestas a AD735 DATA MEDIA ADVERTISING, S.L. por una infracción del Artículo 21 de la LSSI, tipificada en el Artículo 38.4.
28. d)de la LSSI, respecto del envío de comunicaciones comerciales sin el consentimiento expreso del destinatario. OTROSÍ DIGO, que subsidiariamente, y para el caso de que no se estime la pretensión principal de anulación de la sanción pecuniaria impuesta, esta parte solicita que se acuerde la reducción de la cuantía de la sanción a un importe adecuado y proporcionado a la naturaleza leve de los hechos imputados, en atención a las siguientes circunstancias atenuantes concurrentes, expresamente reconocidas en el expediente o resultantes de la documentación aportada: • La inexistencia de intencionalidad dolosa en la actuación de la entidad recurrente, que contaba con mecanismos de obtención y conservación del consentimiento conforme a los estándares de diligencia aplicables en el sector. • La subsanación voluntaria e inmediata de la situación objeto de reproche, mediante la supresión y bloqueo de los datos personales del reclamante antes de la adopción de la resolución sancionadora. • La limitada entidad del perjuicio causado, que no ha supuesto menoscabo económico alguno ni utilización de datos sensibles. En virtud de estas circunstancias, y conforme al artículo 29.3 de la Ley 40/2015, en relación con el artículo 40 de la LSSI, resulta procedente modular la sanción impuesta hasta un importe proporcional que refleje el carácter leve de la infracción y las medidas Procedimiento EXP202407136 (PS/00408/2024) de diligencia acreditadas, de forma que la sanción sea efectiva y disuasoria, pero respetuosa con los principios de proporcionalidad y mínima intervención que rigen el ejercicio de la potestad sancionadora. Por todo lo cual, esta parte solicita que la cuantía de la sanción se reduzca de manera significativa, fijándose en un importe que, en todo caso, sea acorde con la escasa entidad del incumplimiento y con la buena fe mostrada por AD735 DATA MEDIA ADVERTISING”. A los anteriores hechos son de aplicación los siguientes FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/15 I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas Primera. Sobre la inexistencia de solicitud de supresión y la actuación posterior de la reclamada. La entidad recurrente alega que no consta en sus sistemas ninguna solicitud de acceso ni de supresión de los datos personales del reclamante, y que la captura de pantalla aportada por este no acredita el ejercicio efectivo del derecho. Sin embargo, en los hechos probados del expediente consta que el reclamante recibió el día 23/04/24 comunicaciones comerciales por correo electrónico remitidas desde la dirección ***EMAIL.2, vinculada a la entidad reclamada, y que dichas comunicaciones incluían un enlace directo al formulario de baja (https://www.ad735.es/bajas/). Asimismo, en la documentación aportada por la propia reclamada figura un certificado de supresión de datos fechado el 14/06/24, con reconocimiento expreso de que la solicitud de cancelación fue recibida el 28/05/24. Por tanto, queda acreditado que la entidad tuvo conocimiento de una solicitud de baja y que, en consecuencia, tramitó la supresión y el bloqueo de los datos del reclamante. El hecho de que inicialmente no se aportara un acuse de recibo automático no enerva la validez de la solicitud, habida cuenta de que fue reconocida y ejecutada por la entidad. Ahora bien, conviene subrayar que el objeto del presente procedimiento no versa sobre una eventual vulneración del derecho de supresión regulado en los artículos 17 del RGPD y 15 y ss. de la LOPDGDD, sino sobre la infracción del artículo 21.1 de la LSSI, por el envío de comunicaciones comerciales por vía electrónica sin mediar consentimiento previo del destinatario. En este sentido, el precepto citado no exige como requisito previo que el afectado haya ejercido su derecho de oposición o supresión, ni que se le haya ofrecido la posibilidad de darse de baja, sino que impone al remitente la obligación de abstenerse de enviar comunicaciones comerciales salvo que estas hayan sido solicitadas, autorizadas expresamente o que se cumpla cualquier otro tipo de justificación legal para dicho envío. Segunda. Sobre la documentación aportada y el principio de responsabilidad proactiva. La entidad recurrente afirma haber aportado, durante el procedimiento sancionador, documentos que acreditarían el consentimiento informado, libre y expreso del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/15 reclamante. Sin embargo, el análisis del contenido de dicha documentación revela su insuficiencia probatoria para acreditar el cumplimiento de los requisitos del artículo 7 del RGPD y de las Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679 del CEPD (en adelante, Directrices 5/2020). El denominado "fichero de registro" y el "certificado de tabla de registro" contienen datos de fecha, IP y correo electrónico, pero no permiten acreditar que fue el propio reclamante quien introdujo dicha dirección de correo. Asimismo, el "modelo de formulario web" aportado no contiene campos rellenados ni evidencias de que el reclamante marcara las casillas de aceptación en un momento determinado. En consecuencia, no puede considerarse cumplida la obligación del responsable de tratamiento de demostrar que el consentimiento fue otorgado de forma explícita, informada e inequívoca. El principio de responsabilidad proactiva consagrado en el artículo 5.2 del RGPD, no se satisface mediante la simple afirmación de cumplimiento o mediante documentos genéricos, sino mediante pruebas concretas, individualizadas y verificables, que en el presente caso no se han aportado. Tercera. Sobre la validez de los medios probatorios aportados. Se alega que la documental aportada constituye prueba suficiente conforme a las Directrices 5/2020 del CEPD, al permitir el uso de medios técnicos como logs o registros electrónicos. Sin embargo, dichas Directrices también exige que los registros permitan identificar claramente al interesado, la fecha, la hora y las condiciones específicas en que se prestó el consentimiento, así como su contenido informativo. La documentación aportada por la recurrente en el procedimiento no cumple con estos requisitos, al tratarse de modelos genéricos, sin personalizar, y sin datos que permitan vincular de forma fehaciente al reclamante con el acto de consentimiento. Por tanto, no puede considerarse que se haya acreditado el consentimiento, sin que ello implique vulneración alguna del derecho de defensa ni del principio de presunción de inocencia, que no excluye la carga probatoria del responsable. Cuarta. Sobre la supuesta inexistencia de dolo o negligencia. La entidad argumenta que su actuación fue diligente y que, en todo caso, no incurrió en dolo ni negligencia apreciable, conforme al artículo 40 de la LSSI y al artículo 29.3 de la Ley 40/2015. No obstante, la ausencia de medidas suficientes para verificar la identidad del interesado en el proceso de consentimiento vulnera el deber de diligencia exigible al responsable del tratamiento y suponen, por tanto, la comisión de una infracción en los términos recogidos en la resolución. La mera existencia de mecanismos técnicos no garantiza la validez del consentimiento si no se acredita su uso correcto ni su vinculación efectiva con el interesado. Además, la actuación correctora posterior (supresión y bloqueo) no exime de responsabilidad por la infracción ya consumada. Quinta. Sobre el principio de presunción de inocencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/15 No puede acogerse la alegación de que la sanción se sustenta en meras afirmaciones del reclamante. La existencia de correos electrónicos comerciales remitidos desde una dirección identificable con la entidad reclamada, que incluyen información sobre el tratamiento de datos y medios de baja, constituye prueba objetiva suficiente para justificar el inicio del procedimiento y para constatar que se produjo un tratamiento de datos sin consentimiento probado. A la entidad le corresponde acreditar que el tratamiento contaba con base legitimadora suficiente. Al no haber aportado prueba concluyente del consentimiento, la Administración no incurre en vulneración alguna del principio de presunción de inocencia, que no puede utilizarse para enervar el principio de responsabilidad proactiva. Sexta. Sobre el principio de proporcionalidad y la solicitud de reducción de la sanción. Se afirma que la sanción impuesta es desproporcionada y que debería aplicarse un apercibimiento en vez de aplicar una sanción en presente caso. El artículo 39 ter de la LSSI prevé esta posibilidad, a discreción de la autoridad de control en atención a los hechos siempre que concurran de manera significativa los criterios establecidos en los artículos 39 bis y 40 de la LSSI, pero en el presente caso se ha constatado que, en primer lugar, no concurre ninguna de las circunstancias previstas en el artículo 39 bis, en la medida en que: (
29. i)no ha regularizado su situación de manera diligente, puesto que, a día de hoy, continua sin acreditarse la manera en que, según sus alegaciones, sí obtuvo el consentimiento del reclamante para la remisión de comunicaciones comerciales, sin olvidar, además, que el bloqueo de sus datos únicamente se realizó una vez recibido el traslado de la reclamación de la AEPD; (
30. ii)no se aprecia que la conducta del afectado hubiera podido inducir a la comisión de la infracción, puesto que precisamente es obligación del responsable acreditar el consentimiento y el cumplimiento de la normativa aplicable; (iii) la recurrente no ha admitido su culpabilidad y (
31. iv)ni se encuentra en un proceso de fusión. Por otra parte, en relación con el artículo 40 conviene subrayar, además de lo incluido en la resolución del expediente, que los hechos que motivaron la resolución que ahora se recurre son una práctica habitual de la recurrente, que ya había sido previamente sancionada por hechos sustancialmente iguales en los PS/161/2021 y PS/425/2021. Además, hay que indicar que la infracción del artículo 21.1 de la LSSI, por la cual se le sancionó se encuentra tipificada como leve y la cuantía de la sanción (10.000 euros) se encuentra dentro del margen legalmente establecido para este tipo de infracciones y que pueden ascender a un máximo de 30.000 euros, respondiendo con ello a criterios ya puestos de manifiesto en la resolución, como la ausencia de consentimiento probado; la persistencia en el tratamiento tras la comunicación de la reclamación o la falta de mecanismos de verificación de identidad del usuario. Por tanto, en el presente caos, no concurren circunstancias atenuantes que justifiquen la sustitución de la sanción por un apercibimiento ni su reducción sustancial, pues, la posterior eliminación de los datos tampoco elimina la infracción ya cometida ni subsana su ilicitud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/15 En atención a lo expuesto, procede desestimar en su totalidad las alegaciones formuladas por la parte recurrente en el recurso de reposición, por carecer de fundamento suficiente para desvirtuar la existencia de la infracción constatada y la legalidad de la sanción impuesta. III Conclusión Atendiendo a lo anterior, en el presente recurso de reposición, la parte recurrente no ha aportado argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por AD735 DATA MEDIA ADVERTISING, S.L contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 03 de junio de 2025, en el expediente EXP202407136 (PS/00408/2024), por la infracción del artículo 21 de la LSSI, tipificada en el Artículo 38.4.
32. d)de la citada norma. SEGUNDO: NOTIFICAR la presente resolución a la entidad AD735 DATA MEDIA ADVERTISING, S.L Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la referida ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/15 Finalmente, se señala que conforme a lo previsto en el art. 90.3
33. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es