1/7 Procedimiento nº.: PS/00681/2013 ASUNTO: Recurso de Reposición Nº RR/00340/2014 Examinado el recurso de reposición interpuesto por la entidad GESTION CONFIDENCIAL DESTRUPACK S L contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00681/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 18 de marzo de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00681/2013 , en virtud de la cual se imponía a la entidad GESTION CONFIDENCIAL DESTRUPACK S L, por la vulneración de lo dispuesto en el artículo artículo 21 de la LSSI, tipificada como leve en el artículo 38.4
- d)de la LSSI, una multa de 1.800 ( mil ochocientos euros) de conformidad con lo establecido en el artículo 40 de la citada LSSI. Dicha resolución, que fue notificada al recurrente en fecha 21 de marzo de 2014, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00681/2013, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS UNO.- Resulta acreditado que en fecha de 30/11/2012 el denunciante , solicitó la baja en la recepción de correos con contenido comercial, en contestación a un correo electrónico recibido en la dirección info@protecciondedatoseandalucia.com, y remitido por ....@..... DOS.- En contestación a su solicitud en fecha de 30/11/2012 recibió un correo desde la dirección ....@1.... informándole de que eliminaban su dirección de correo para evitar futuros envíos. TRES.- En fecha de 18/07/2013 el denunciante recibió tres correos con contenido comercial de servicios ofrecidos por DESTRUPACK, remitidos desde la dirección destrupack@....... CUATRO.- DESTRUPACK ha reconocido el envío de las comunicaciones comerciales manifestando que el origen de la dirección de correo destinataria de los envíos es un directorio en internet. TERCERO: GESTION CONFIDENCIAL DESTRUPACK S L ha presentado en fecha 21 de abril de 2014 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 La organización de la jornada técnica en cuestión no fue de Destrupack y no es responsable de los tres envíos que se realizaron la cuenta denunciante que fue dada de baja a raíz de la comunicación recibida en fecha de 30/11/2012. Que mediante escrito de fecha 19/11/2013 Destrupack remitió una comunicación a la AEPD señalando el error humano y el no ofrecimiento de un servicio. Que no han remitido información comercial desde destrupack@....... ya que desconocían que era desde esta dirección las remisiones. Que dicho domino no corresponde a Destrupack, sino a MAILMARKETING SERVICIOS INFORMATICOS S.L.,. Que la información destinataria fue obtenida desde internet. Que el reconocimiento del error humano se debió a que por parte de la instrucción del expediente se ocultó información. Que la autorización para los envíos comerciales ha de ser recabada por el prestador y no es Destrupack. Que la LOPD no es aplicable a personas jurídicas. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 II En relación con las manifestaciones efectuadas por GESTION CONFIDENCIAL DESTRUPACK S L, reiterándose básicamente, en las alegaciones ya presentadas a lo largo de las Actuaciones Previas de Inspección, relativas a la obtención de la dirección de correo electrónico destinataria de los envíos en internet y a la exclusión de la aplicación de la LOPD a las personas jurídicas, debe señalarse que ya fueron analizadas y desestimadas en el Fundamento de Derecho del V de la Resolución recurrida, tal como se transcribe a continuación: << V En el presente supuesto, ha quedado acreditado que la entidad denunciada remitió tres comunicaciones comerciales por medios electrónicos tras solicitar la baja el denunciante y ser confirmada por aquella. Si bien GESTION CONFIDENCIAL DESTRUPACK S.L, no ha formulado alegaciones durante el plazo otorgado con el Acuerdo de Inicio, durante el trámite de Actuaciones Previas de Inspección manifestó la circunstancia de que la dirección de correo destinataria de las comunicaciones comerciales objeto de valoración, figuraba en internet como contacto y que por eso se entendía prestado un consentimiento expreso. Llegados a este punto conviene traer a colación lo recogido en las Resoluciones de esta Agencia R/00006/2014, R/00193/2014 y R/00069/2014 que haciéndose eco de la Sentencia de la Audiencia Nacional recaída en el Recurso contencioso-Administrativo nº 371/2012 analizan el supuesto alegado por la entidad denunciada: <<En segundo lugar, XXXXX, manifestó que los datos contenidos en la base de datos utilizada, son relativos a personas jurídicas y entidades y por tanto excluidas de la LOPD. Llegados a este punto conviene señalar que no pueden aplicarse las excepciones a la aplicación de la LOPD, tanto objetivas como subjetivas, a los supuestos que protege la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Es decir, ésta se aplica tanto a personas físicas como a jurídicas, pues se protege el destinatario de comunicaciones comerciales, y a su vez tampoco pueden aplicarse las excepciones a la prestación del consentimiento que recoge el art. 6.2 de la LOPD, para la autorización previa y expresa que requiere el art. 21 de la LSSI. Por tanto, no sería de aplicación la exención del consentimiento cuando los datos a tratar estuvieran en Fuentes Accesibles al Público, de acuerdo con el art. 3 j LOPD, y en última instancia no tienen tal consideración las páginas web de internet. En este sentido el Servicio Jurídico de esta Agencia emitió el Informe 3420/2008, que señala que: (…) Ambas definiciones tienen una enumeración taxativa respecto a lo que cabe considerar como fuentes accesibles al público, lo que impide que consideremos a las páginas web como fuentes accesibles al público. Por ello, para tratar la información contenida en dichas páginas debería de obtenerse el consentimiento de los afectados. (…) Por lo que resulta irrelevante a los efectos de cumplir los requisitos del art. 21 de la LSSI, que las direcciones destinatarias de las comunicaciones comerciales analizadas fueran de personas jurídicas o que estuvieran accesibles en sitios web de la red internet. En este sentido conviene traer a colación la SAN 371/2012 de 23/07/2013: Agregaba por otra parte la resolución recurrida que la constancia de las direcciones electrónicas de las empresas en la red Internet no habilita para utilizarlas para el envío de comunicaciones comerciales, salvo que se den los supuestos del artículo 21 de la Ley de Servicios de la Sociedad de la Información. Es decir, que una entidad puede tener su dirección de correo electrónico en una web a los efectos de “contacto” y fundamentalmente para ofrecer sus productos y actuar en el tráfico jurídico, pero que «ello no implica una autorización ad limitum para ser receptora de publicidad, pues precisamente ese derecho a no recibir comunicaciones comerciales por medios electrónicos es el que protege el artículo 21 de la Ley de Servicios de la Sociedad de la Información». Pues bien, procede desestimar el recurso por esta primera razón impugnatoria, dado que, en efecto, la legitimidad de la posesión de los datos por parte de una concreta empresa no obsta a la posterior necesidad del recabado de un consentimiento específico para la remisión de comunicaciones comerciales. Así se obtiene del art. 21.1 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico: «Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas». La desestimación del recurso por el fundamento que se acaba de analizar debe llevarnos también a la misma consecuencia con respecto a la afirmación de la obtención de aquella información (los datos de la empresa) de una fuente accesible al público (la página web de la denunciante). Y es que, con independencia de que se trate o no en efecto de una fuente accesible al público en los términos del art. 6.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, lo cierto es que aquella obtención pudiera legitimar, sin expreso consentimiento, el tratamiento de los datos de que se trate, pero no hacerlo con la remisión de comunicaciones comerciales. Esto entraña una actividad singular y diferente, que es requerida de consentimiento autónomo por el art. 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 La recurrente, en otro momento, destacaba el hecho de que la destinataria de su correo de comunicación comercial era una persona jurídica y no otra física. Aunque el argumento alegatorio no termina de ser perfilado, parece que tras él lata la idea de que las personas jurídicas no son destinatarias y protegidas por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Sin embargo procede desestimar el recurso con este fundamento, dado que el artículo 19 de la Ley de Servicios para la Sociedad de la Información remite a la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal «en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales», pero de ellos no se obtiene una permisión generalizada de remisión de comunicaciones comerciales a las personas jurídicas, que contravendría de modo evidente la prohibición contenida en el art. 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico. No comparte la Sala, por otra parte, que el propio vocablo contenido en la dirección de correo electrónico de la empresa destinataria (info(fsites.com) indique su disposición generalizada a la recepción de comunicaciones comerciales sin autorización, pues la “información” a la que allí se alude es la que se produce desde la empresa titular del correo hacia sus propios clientes, no en dirección inversa.” (El subrayado es de la Agencia Española de Protección de Datos) En el caso analizado, y atendiendo a las explicaciones de XXXXX respecto del origen de las direcciones de correo, que no es otro que la solicitud de información que se realizó a través de la web XXXXXXX no puede establecerse la legitimación para el envío de comunicaciones comerciales, que requiere la autorización previa y expresa y tampoco la existencia de una relación comercial previa de servicios similares a los ofrecidos en la citada comunicaciones. Y menos aun puede enviar comunicaciones comerciales de terceros con los que obviamente el denunciante no tiene relación comercial. >> III Respecto a las alegaciones relativas al reconocimiento de los 3 envíos y acaecimiento de un error humano, porque no conocía toda la información en concreto la dirección remitente de los mismos, cabe señalar que precisamente el escrito de fecha 13/11/2013 en el que reconoce el error acaecido, es contestación a la Solicitud de Información enviada por esta Agencia dentro de las Actuaciones Previas de Inspección E/4874/2013, donde se adjunta copia de las comunicaciones electrónicas denunciadas en las que los remitentes son los que se citan a continuación: La comunicación de 18/07/2013, 8.34h tiene como remitente a ....@....; la de 18/07/2013, 17:24h tiene como remitente a destrupack@.......; la de 18/07/2013, 13:53h tiene como remitente a destrupack@........ Es decir, la recurrente conocía previamente a su reconocimiento de los hechos que cuentas de correo eran las remitentes y sobre las que se solicitaba información, entre las que se encuentra la que tiene el dominio @hhxx.es y la que tiene el dominio @destrupack.com. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Ante lo cual reconoce los envíos y el acaecimiento del error humano. Por lo que su negación en esta instancia resulta cuanto menos sorprendente y es contraria a la buena fe y teoría de los Actos Propios que recoge la Sentencia de la Sala de lo Contencioso-Administrativo del Tribunal Supremo de 18 de Octubre de 2012 (rec.2577/2099), al respecto, resulta oportuno recordar que, en relación con el principio de actos propios, en la sentencia de esta Sala de 5 de enero de 1999 (RC 10679/1990): « [...] En la S.T.C. de 21 de abril de 1988, nº 73/1988 , se afirma que la llamada doctrina de los actos propios o regla que decreta la inadmisibilidad de venire contra factum propium non valetsurgida originariamente en el ámbito del Derecho privado, significa la vinculación del autor de una declaración de voluntad generalmente de carácter tácito al sentido objetivo de la misma y la imposibilidad de adoptar después un comportamiento contradictorio, lo que encuentra su fundamento último en la protección que objetivamente requiere la confianza que fundadamente se puede haber depositado en el comportamiento ajeno y la regla de la buena fe que impone el deber de coherencia en el comportamiento y limita por ello el ejercicio de los derechos objetivos. ». Es decir, constituye un límite del ejercicio de un derecho subjetivo, de una facultad, o de una potestad, como consecuencia del principio de buena fe y, particularmente, de la exigencia de observar, dentro del tráfico jurídico, un comportamiento consecuente, y en el caso analizado DESTRUPACK nada alego al respecto. A mayor abundamiento, el Acuerdo de Inicio fue debidamente notificado en fecha de 16/12/2013, donde se otorgaba un plazo de quince días hábiles para formular alegaciones, aportar documentos y acceder al expediente de acuerdo con el art. 35.1
- a)de la LRJPAC, sin que por parte de DESTRUPACK se solicitara copia del procedimiento sancionador. Además en el propio acuerdo de inicio debidamente notificado consta la dirección remitente que en esta instancia administrativa manifiesta no reconocer. En conclusión, DESTRUPACK tuvo conocimiento de las direcciones remitentes de las comunicaciones comerciales denunciadas, tanto en las Actuaciones Previas de Inspección a través de la solicitud de información notificada y contestada, y a través del Acuerdo de Inicio del procedimiento de referencia. Por lo que en modo alguno se ocultó información ya que se le proporciono la misma y se otorgaron las oportunidades procedimentales previstas al efecto. IV Por lo tanto, en el presente recurso de reposición, GESTION CONFIDENCIAL DESTRUPACK S L no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por GESTION CONFIDENCIAL DESTRUPACK S L contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 18 de marzo de 2014, en el procedimiento sancionador PS/00681/2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 SEGUNDO: NOTIFICAR la presente resolución a la entidad GESTION CONFIDENCIAL DESTRUPACK S L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es