1/16
Procedimiento Nº: EXP202316737 (PS/00110/2024)
RESOLUCION DEL PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes:
ANTECEDENTES
PRIMERO: Con fecha 24/10/23, D. A.A.A. (la parte reclamante), presenta escrito de
reclamación ante la Agencia Española de Protección de Datos.
La reclamación se dirige contra la entidad NUDE PROJECT, S.L. con CIF.:
B01945328, (la parte reclamada), por la presunta vulneración de la Ley 34/2002, de 11
de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI).
La parte reclamante manifiesta que el día 23/09/23 acudió a una tienda de la entidad
reclamada para realizar una compra y que, al solicitar el correspondiente ticket de
compra, le indicaron que no cabía entregar el mismo de forma física, debiendo aportar
su dirección de correo electrónico o su número de teléfono, viéndose obligado a
aportar dichos datos para recibir el correspondiente comprobante de compra. Señala
además que, al aportar dichos datos en una Tablet del establecimiento, en ningún
momento apareció mensaje o formulario alguno donde pudiera oponerse a la
recepción de publicidad. Pese a ello, ha recibido en su correo electrónico hasta tres
correos electrónicos de publicidad de la entidad reclamada, todo ello sin haberlo
autorizado.
Junto al escrito de reclamación, se acompaña la siguiente documentación:
- Fechados el 23/09/23, el 28/09/23 y 01/10/23, copia de los correos electrónicos
enviados desde la dirección NUDE PROJECT <help@nude—project.com>
recibidos por el reclamante, conteniendo mensajes y fotografías publicitarias,
como, por ejemplo:
o NUDE PROJECT© Thank you for your purchase! ¡Visit Our store.
Order summary …
o NUDE PROJECT© NEW IN T-SHIRTS HOODIES BOTTOMS
o By Artists, For Artists…
o So, let's play who's who... you choose. Also, we have some last units of
new Playboy garments. Have a look. JACK HAB LOW…
o PLAYBOY CARDIGAN PLAYMATE SHIRT PLAYBOY CHINO PANTS
SHOP THE LOOK DRAKE…
o CHESS KNITTED POLO POOL DENIM PANTS CHAMPAGNE
PROBLEMS HAT NAVY SHOP THE LOOK RIHAN NA…
o WOMEN RACING JACKET BIG HEART WHITE BABY BUNNY
BOWLING BAG WHITE/NAVY SHOP THE LOOK LIL NAS X…
o FUTURE MILF HOOD BLACK MILF TEE PINK PLAYBOY STRASS
CHOKER SHOP THE LOOK TYLER THE CREATOR…
o Grandma found love in Milano and it ain't no man… She fell in love
with the new basics 23' hoodies + polos + crewnecks Now live SHOP
THE LOOK…
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/16
En cada uno de los correos electrónicos recibidos, existe el siguiente mensaje, en
idioma inglés: ¿Ya no quieres recibir estos correos electrónicos? Darse de baja.
PROYECTO NUDE CIPujadas. 81 Barcelona. Barcelona 08005)
SEGUNDO: Con fecha 22/11/23, de conformidad con lo estipulado en el artículo 65.4
de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
Garantía de los Derechos Digitales, (LOPDGDD), por parte de esta Agencia, se dio
traslado de dicha reclamación a la parte reclamada para que procediese a su análisis
e informase, en el plazo de un mes, sobre lo que se exponía en el escrito de
reclamación.
El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas
(LPACAP), mediante notificación electrónica, produciéndose el acceso al contenido de
la notificación el 01/12/23 según consta en el expediente. No se ha recibido respuesta
a este escrito de traslado.
TERCERO: Con fecha 24/01/24, de conformidad con el artículo 65 de la LOPDGDD,
se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: Con fecha 12/03/24, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la entidad NUDE PROJECT, S.L.,
con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta
infracción del artículo 21 de la LSSI, tipificada como “leve” en el art. 38.4.d) de la
misma norma. En el acuerdo de apertura se determinó que la sanción que pudiera
corresponder, atendidas las evidencias existentes en el momento de la apertura
ascendería a un total de 20.000 euros (veinte mil euros).
QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la LPACAP, la parte reclamada presentó escrito de alegaciones el 27/03/24, en el cual
se manifiesta lo siguiente:
“Primera.- En primer lugar debemos indicar que la relación de hechos no refleja
la realidad de lo sucedido. Esta parte cuenta con el asesoramiento en materia
de privacidad, protección de datos personales y comercio electrónico, por lo
que conoce la obligación prevista en el antedicho artículo de recabar el
consentimiento expreso, o que hubieran sido solicitadas por parte del
destinatario de las mismas, para permitir el envío de comunicaciones
publicitarias por correo electrónico o medios equivalentes.
La sociedad que represento ha podido comprobar que efectivamente el
denunciante realizó una compra en la tienda de la empresa sita en La Roca
Village el día 23 de septiembre de 2.023 a las 17 horas. No obstante, esta
entidad debe indicar que se recabó el consentimiento de sus clientes para
poder enviarles comunicaciones comerciales, y a mayor abundamiento, existen
una serie de medidas implementadas por defecto para evitar enviar
comunicaciones a aquellos clientes que no lo hayan solicitado o no se haya
recabado su consentimiento de forma expresa.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/16
En el momento en el que se produce el pago, la persona de caja le informa de
que, en atención al compromiso de eliminación del papel, el ticket se entrega
preferentemente de forma telemática por correo electrónico.
Sin embargo, no es cierto ni que no se diera la opción de entregar el ticket
físico, ni tampoco que en la Tablet del establecimiento no apareciera un
mensaje o formulario para oponerse a la recepción de publicidad.
Se acompaña como DOCUMENTO Nº 2 una captura de la pantalla de la Tablet
en la que se puede apreciar en el apartado “opciones del cliente” una primera
pestaña denominada “acepta publicidad”, que como se puede observar se
encuentra desmarcada por defecto. En ese momento se les pregunta
expresamente a todos los clientes si desean aceptar el envío de publicidad
antes de abrir dicha pestaña, lo que ocurrió en este caso.
Es decir, El denunciante aceptó expresamente el envío de publicidad, puesto
que estaba interesado en recibir información de otros productos de la marca
que serían posteriormente comercializados.
Se incorpora como DOCUMENTO Nº 3 una captura de la compra final en la
que se puede observar la suscripción del cliente a dicha publicidad por correo
electrónico a remitir a la dirección ***EMAIL.1
Si se observa la captura de pantalla del Documento n.º 2 se pueden extraer
distintas conclusiones: En primer lugar, podemos observar como la casilla para
comunicaciones comerciales mediante correo electrónico ha sido marcada
porque el usuario aceptó esa opción durante la compra. De la misma manera,
se puede observar cómo no se prestó el consentimiento para recibir
comunicaciones mediante SMS, que puede encuadrarse como otro medio de
comunicación electrónico equivalente a los correos electrónicos, según el
artículo 21 de la LSSI.
A este respecto, y siguiendo las indicaciones del cliente, todas las
comunicaciones comerciales fueron enviadas a través de correo electrónico,
del que si se contaba con el consentimiento del cliente. Adicionalmente, se
puede observar cómo se indicó que las notificaciones se recibirían en inglés.
Nude Project, S.L. nunca remite publicidad a personas que no hayan dado su
conformidad expresa a dicho envío mediante su suscripción.
Una vez que D. A.A.A. había procedido a suscribirse, es cierto que Nude
Project, S.L. remitió los correos electrónicos que se detallan en el acuerdo de
iniciación del expediente sancionador. Sin embargo, debemos reseñar que el
cliente era plenamente consciente de que podía eliminar la suscripción puesto
que así consta en cada correo electrónico que se remite. De hecho el
denunciante elimina la suscripción el día 20 de diciembre de 2.023 a las 8:57
horas, simplemente pinchando en el enlace que recibe en los correos
electrónicos bajo la palabra “unsuscribe”.
Se aporta el justificante de dicha eliminación como DOCUMENTO Nº 4. Es por
ello por lo que sorprende que si no deseaba recibir correos, bien pudo haber
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/16
eliminado la suscripción al recibir el primero el mismo día de la compra 23 de
septiembre o el segundo a los pocos días (28 de septiembre).
Hacemos hincapié en que desde el momento en que eliminó la suscripción,
Nude Project, S.L. no ha remitido ninguna otra comunicación de índole
comercial. En definitiva, consideramos que Nude Project, S.L. ha actuado de
forma correcta, cumpliendo los mandatos de su cliente, tanto de envío de
comunicaciones comerciales, como de eliminación de la suscripción; y todo ello
en estricto cumplimiento de lo establecido en la legislación vigente.
Segundo.- En cualquier caso y de forma subsidiaria entendemos que la
actuación de Nude Project, S.L. estará amparada por el apartado segundo del
artículo 21 de la Ley 34/2002 de Servicios de la Sociedad de la Información y
de Comercio Electrónico. Dicha norma establece que: 1. Queda prohibido el
envío de comunicaciones publicitarias o promocionales por correo electrónico u
otro medio de comunicación electrónica equivalente que previamente no
hubieran sido solicitadas o expresamente autorizadas por los destinatarios de
las mismas.
2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una
relación contractual previa, siempre que el prestador hubiera obtenido de forma
lícita los datos de contacto del destinatario y los empleara para el envío de
comunicaciones comerciales referentes a productos o servicios de su propia
empresa que sean similares a los que inicialmente fueron objeto de
contratación.
En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de
oponerse al tratamiento de sus datos con fines promocionales mediante un
procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos
como en cada una de las comunicaciones comerciales que le dirija. Cuando las
comunicaciones hubieran sido remitidas por correo electrónico, dicho medio
deberá consistir necesariamente en la inclusión de una dirección de correo
electrónico u otra dirección electrónica válida donde pueda ejercitarse este
derecho, quedando prohibido el envío de comunicaciones que no incluyan
dicha dirección. Hemos subrayado el apartado segundo de dicho artículo
puesto que establece que no resulta de aplicación el apartado primero
(prohibición de envío de comunicaciones publicitarias), cuando se den los
siguientes requisitos: - Exista una relación contractual previa. - El prestador
hubiera obtenido de forma lícita los datos de contacto del cliente. - El prestador
utilizara dichos datos para el envío de comunicaciones comerciales referentes
a productos o servicios de su propia empresa similares a los que fueron objeto
de contratación.
La actuación de Nude Project, S.L. se encuentra amparada por el apartado
segundo del artículo antes citado porque: 1) El denunciante D. A.A.A. contrató
con Nude Project, S.L. la adquisición de un producto (sudadera varsity) el día
23 de septiembre de 2.023. 2) Nude Project, S.L. obtuvo lícitamente los datos
del cliente al ser este quien se los proporcionó de forma voluntaria, ordenando
la remisión del ticket de compra por correo electrónico. 3) Nude Project, S.L.
envió comunicaciones comerciales a su cliente, ahora denunciante, a través de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/16
correos electrónicos en los que se informaba sobre productos similares al
adquirido por D. A.A.A.. 4) Nude Project, S.L. dio la oportunidad al cliente de
eliminar la suscripción en cada correo que envió, simplemente con pinchar un
enlace. 5) Nude Project, S.L. no remitió ni un solo correo electrónico al
denunciante después de que este manifestara su deseo de no recibir más
comunicaciones comerciales.
Tercero.- El envío del ticket de compra por correo electrónico se encuentra
amparado por el Real Decreto 1619/2012 de 30 de noviembre por el que se
aprueba el Reglamento por el que se regulan las obligaciones de facturación.
Concretamente el artículo 8 detalla que las facturas podrán expedirse por
cualquier medio, en papel o en formato electrónico, mientras que el artículo 9
avala la factura que sea expedida y recibida en formato electrónico.
Cuarto.- En materia sancionadora, el Tribunal Constitucional ha establecido
como uno de los pilares básicos para la interpretación del derecho
Administrativo sancionador que los principios y garantías básicas presentes en
el ámbito del derecho penal son aplicables, con ciertos matices, en el ejercicio
de cualquier potestad sancionadora de la Administración Pública (así por
ejemplo en las Sentencias del Tribunal Constitucional 76/1990, 120/1994,
154/1994, 23/1995, 97/1995, 147/1995, 45/1997de 26 de abril, entre otras
muchas).
El artículo 25.1 de la Constitución establece que nadie puede ser condenado o
sancionado por acciones u omisiones que en el momento de producirse no
constituyan delito, falta o infracción administrativa según la legislación vigente
en aquel momento. El Tribunal Constitucional, ha sostenido que el principio de
tipicidad consiste en la necesidad de predeterminación normativa de las
conductas infractoras y de las sanciones correspondientes, ( SSTC 61/1990,
116/1993, 151/1997, 124/2000113/2002, 129/2003, 297/2005, 129/2006 etc).
En el mismo sentido el artículo 27 de la Ley 40/2.015 de Régimen Jurídico del
Sector Público define el principio de tipicidad en los mismos términos en cuanto
a que sólo pueden constituir infracciones administrativas las vulneraciones del
ordenamiento jurídico previstas como tales infracciones por una Ley.
En el presente caso se inicia expediente sancionador y se propone una
sanción frente a Nude Project, S.L. por haber supuestamente infringido el
artículo 38.4.d) de la Ley 34/2002 de Servicios de la Sociedad de la
Información y de Comercio Electrónico, que califica como infracción leve “el
envío de comunicaciones comerciales por correo electrónico u otro medio de
comunicación electrónica equivalente, cuando en dichos envíos no se cumplan
los requisitos establecidos en el artículo 21 y no constituya infracción grave”
Dado que como hemos visto, la actuación de Nude Project, S.L. se encuentra
amparada por el apartado segundo del artículo 21, la imposición de una
sanción supondría una vulneración del principio de tipicidad que rige en todo
procedimiento administrativo sancionador. En las Sentencias de la Audiencia
Nacional (5 febrero 2019 EDJ 2019/543106, 25 marzo 2016 EDJ 2016/66100,
4 FEBRERO 2010 EDJ 2010/12007, 23 mayo 2007 EDJ 2007/76092) de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/16
que tenemos conocimiento y que han recaído sobre supuestos similares,
solamente son convalidadas las sanciones en aquellos casos en los que los
afectados recibieron correos electrónicos, con posterioridad a manifestar
expresamente su oposición a recibirlos.
En el presente caso, la situación es completamente distinta. El denunciante no
solo dio su autorización expresa a recibir comunicaciones comerciales, sino
que bien pudo haber contestado a la primera comunicación recibida indicando
que no deseaba recibir más. Pudiendo hacerlo de varias formas: - Pinchando
en el lugar indicado del correo electrónico “unsuscribe”. - Contestando al correo
electrónico recibido - Enviando un mensaje a atención al cliente. En el apartado
“sobre nosotros” de la página web www.nude-project.com consta un formulario
directo para remitir cualquier duda o consideración. Consta también un correo
electrónico directo para remitirlo, en concreto, [email protected] -
Indicándolo personalmente en cualquiera de las tiendas físicas de la empresa.
No nos encontramos por tanto en los supuestos regulados en las Sentencias
en las que se ha convalidado la sanción impuesta por la AEPD.
Quinto.- Nos oponemos asimismo a la graduación de la sanción que obra en el
acuerdo de iniciación del expediente sancionador, el cual aplica la agravante
de existencia de intencionalidad, cuando a nuestro entender no resulta de
aplicación, y además sin tomar en consideración el resto de las circunstancias
previstas en el artículo 40 de la Ley 34/2002 de Servicios de la Sociedad de la
Información y de Comercio Electrónico.
Se justifica la existencia de intencionalidad en que se enviaron comunicaciones
comerciales tras obtener del cliente su correo electrónico con objeto de
enviarle el ticket de compra y no existir la posibilidad de rechazar el envío de
comunicaciones comerciales cuando se proporciona el e-mail. La aplicación de
dicha circunstancia resulta absolutamente errónea puesto que como se ha
acreditado: 1) El cliente permitió expresamente el envío de comunicaciones
comerciales, modificándose en ese momento la pestaña correspondiente de la
aplicación; dado que estaba interesado expresamente en recibir
comunicaciones comerciales. 2) Una vez recibido el ticket de compra, el cliente
pudo perfectamente eliminar su suscripción, al igual que pudo hacerlo cuando
recibió las otras dos comunicaciones. 3) El propio denunciante eliminó su
suscripción el 20 de diciembre de 2.023.
La Sentencia de la Audiencia Nacional de 21 de junio de 2.023 (EDJ
2023/606757) considera correcta la aplicación de esta agravante de
intencionalidad en el caso de que un correo electrónico de índole comercial se
remite después de que el usuario manifestó expresamente su oposición, pero
no en el caso que nos ocupa.
Pero es que además, lo cierto es que a la actuación de Nude Project, S.L. no
resulta de aplicación ninguna otra de las circunstancias del artículo 40,
concretamente: o Plazo de tiempo durante en el que se comete supuestamente
la infracción, que según la propia denuncia son únicamente 8 días. o
Reincidencia: Inexistente en este caso dado que Nude Project, S.L. no ha sido
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/16
sancionado por una infracción de la misma naturaleza. o Naturaleza y cuantía
de los perjuicios causados. No se ha causado en este caso ningún perjuicio. o
Beneficios obtenidos por la infracción: Nude Project, S.L. no ha obtenido
ningún beneficio dado que el cliente no adquirió ningún artículo posterior a su
compra del día 23 de septiembre. o El volumen de facturación es inexistente.
Es decir, en su caso, la sanción impuesta debería haber tenido en cuenta la
totalidad de estas circunstancias, por lo que una sanción de 20.000 euros
cuando el rango se encuentra entre 1 y 30.000 euros parece a todas luces
excesiva. Esta incorrecta aplicación supone la vulneración de otro derecho
constitucional como es el principio de proporcionalidad, que se ha consagrado
como un instrumento de control a las decisiones administrativas discrecionales.
Se encuentra recogido en los artículos 103.1 y 106 de la Constitución Española
y en el artículo 29 de la Ley 40/2015 de Régimen Jurídico del Sector Público.
En este último artículo se determina que se deberá observar la debida
idoneidad y necesidad de la sanción a imponer y su adecuación a la gravedad
del hecho constitutivo de la infracción sobre la base de cuatro criterios: a)
Grado de culpabilidad o intencionalidad b) Continuidad o persistencia de la
conducta c) Los perjuicios causados d) La reincidencia. Dado todo lo anterior
entendemos que la hipotética sanción debería encontrarse en todo caso dentro
en el cuarto inferior de la cantidad propuesta en la Norma.
Sexto.- Como continuación del argumento anterior, invocamos la aplicación del
artículo 39 ter de la Ley 24/2002 en el sentido de que entendemos que existen
datos suficientes como para que, incluso en el caso de que pudiera entenderse
cometida la infracción, se acuerde el archivo del procedimiento sancionador y
en su lugar un apercibimiento con la adopción de medidas correctoras
determinadas por el órgano competente.
En este sentido indicamos que esta entidad, recabado las recomendaciones de
nuestros asesores en materia de protección de datos personales, ha decido
realizar las siguientes actuaciones, encaminadas a evitar que se repita un
incidente como el que es objeto de notificación: Se solicita a los antedichos
asesores que se aporte información sobre las consideraciones legales sobre el
consentimiento en las comunicaciones electrónicas.
El escrito de alegaciones se acompaña de la siguiente documentación:
- DOCUMENTO N.º 1 – Captura de pantalla donde se muestra la opción de
recibir publicidad desmarcada por defecto.
- DOCUMENTO N.º 2 – Captura de pantalla de la cuenta del reclamante, donde
se indica que se pueden enviar las comunicaciones electrónicas debido a que
ha prestado su consentimiento, su correo electrónico de contacto, y la opción
de enviar comunicaciones por SMS desmarcada.
- DOCUMENTO N.º 3 – Primera comunicación con la opción de darse de baja.
- DOCUMENTO N.º 4 – Retirada del consentimiento para recibir comunicaciones
comerciales realizada por el reclamante.
- DOCUMENTO N.º 5.- Informe con consideraciones sobre el
consentimiento en las comunicaciones comerciales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/16
- DOCUMENTO N.º 6.- Captura de pantalla de alta en el sistema.
- DOCUMENTO N.º 7 – Captura de pantalla con la comprobación del
sistema realizada en fecha 21/03/24.
SEXTO: Con fecha 30/07/24 se formuló propuesta de resolución en el sentido de que
por la Directora de la AEPD se sancionase a la parte reclamada, por vulneración de lo
establecido en el artículo artículo 21 de la LSSI, tipificada como “leve” en el art. 38.4.d)
de la misma norma con una sanción de 20.000 euros (veinte mil euros).
En el FD II de la propuesta de resolución se daba respuesta a las alegaciones
presentadas a la incoación del expediente:
Primero: La parte reclamante manifiesta en su escrito de reclamación que el
23/09/23, al realizar una compra en uno de los establecimientos de la entidad
reclamada le indicaron que no cabía entregar el ticket físico de compra
debiendo aportar su dirección de correo electrónico o su número de teléfono.
Señala además que, al aportar dichos datos en una Tablet del establecimiento,
en ningún momento apareció ningún mensaje o formulario por el que pudiera
oponerse a la recepción de publicidad habiendo recibido en su correo
electrónico hasta tres correos de publicidad de la entidad sin haberlo
autorizado. Para corroborar lo anterior, acompaña copia de los tres correos
electrónicos publicitarios recibidos los días 23/09/23, el 28/09/23 y el 01/10/23.
Por su lado, la parte reclamada manifiesta en su escrito de alegaciones a la
incoación del expediente que es cierto que el reclamante realizó una compra
en una de sus tiendas el día 23/09/23 pero que en el momento de realizar el
pago, el personal de caja le informó de que en atención al compromiso de
eliminación del papel, el ticket se entrega preferentemente de forma telemática
por correo electrónico, existiendo también la opción de entregar el ticket físico.
Que el reclamante acepto recibir el ticket por correo electrónico y que al dar el
mismo se le preguntó expresamente si deseaba aceptar el envío de publicidad
antes de abrir dicha pestaña, lo que ocurrió en este caso y acompaña la
captura de la pantalla de la Tablet donde se muestra la opción de recibir
publicidad desmarcada por defecto; la captura de pantalla de la cuenta del
reclamante, donde se aparece, por una parte la relación de compras realizada
siendo la única de fecha 23/09/23 y por otra parte, la dirección de correo
electrónico: ***EMAIL.1; y copia de la pantalla de retirada del consentimiento
para recibir comunicaciones comerciales donde aparece la siguiente
información: Email Baja: ***EMAIL.1 Baja Fecha Dic 20, 2023 at 8:57 pm.
Pues bien, sobre el consentimiento que el usuario presta al responsable del
tratamiento de sus datos para que por ejemplo, como ocurre en el presente
caso, pueda enviarle comunicaciones comerciales, la Directriz 5/2020 sobre el
consentimiento en el sentido del Reglamento (UE) 2016/679, del Parlamento
Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas
Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre
Circulación de estos Datos (RGPD), establece, puntos 105 a 108, lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/16
105. El considerando 42 establece que: «Cuando el tratamiento se lleva a cabo
con el consentimiento del adoptadas 22 interesado, el responsable del
tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento
a la operación de tratamiento».
106. Los responsables del tratamiento tienen libertad para desarrollar métodos
que permitan cumplir esta disposición adaptados a sus operaciones diarias. Al
mismo tiempo, la obligación de demostrar que un responsable del tratamiento
ha obtenido un consentimiento válido, no debe en sí misma provocar un
tratamiento adicional de datos excesivo. Esto significa que los responsables
deberían tener datos suficientes para mostrar un enlace al tratamiento (para
mostrar que se obtuvo el consentimiento), pero no deberían recopilar más
información.
107. Corresponde al responsable demostrar que obtuvo el consentimiento
válido del interesado. El RGPD no prescribe cómo debe hacerse esto
exactamente. No obstante, el responsable debe poder demostrar que, en un
caso concreto, un interesado ha dado su consentimiento. La obligación de
demostrar el consentimiento existirá mientras dure la actividad de tratamiento
de los datos en cuestión. Una vez finalizada dicha actividad, la prueba del
consentimiento no deberá conservarse más allá de lo estrictamente necesario
para cumplir una obligación legal o para la formulación, el ejercicio o la defensa
de reclamaciones, de conformidad con el artículo 17, apartado 3, letras b) y e).
108. Por ejemplo, el responsable debe mantener un registro de las
declaraciones de consentimiento recibidas, de manera que pueda demostrar
cómo se obtuvo el consentimiento y cuándo se obtuvo dicho consentimiento, y
también deberá demostrarse la información que se facilitó al interesado en su
momento. El responsable también deberá poder demostrar que se informó al
interesado y que el flujo de trabajo del responsable cumplió todos los criterios
pertinentes para un consentimiento válido. La lógica subyacente a esta
obligación en el RGPD es que los responsables del tratamiento deben rendir
cuentas con respecto a la obtención del consentimiento válido de los
interesados y con respecto a los mecanismos de consentimiento que han
adoptado. Por ejemplo, en un contexto en línea, un responsable podría
conservar información sobre la sesión en la que se expresó el consentimiento,
junto con documentación sobre el flujo de trabajo del consentimiento cuando
dicha sesión tuvo lugar, y una copia de la información que se presentó en ese
momento al interesado. No sería suficiente referirse únicamente a una
configuración correcta del sitio web en cuestión.
Establece el RGPD que el consentimiento debe ser “libre, específico,
informado e inequívoco”. Además, debe ofrecerse control al interesado sobre el
mismo y darle la posibilidad de aceptar o rechazar los términos bajo los que se
presta.
El artículo 7 del RGPD establece que, cuando el tratamiento se realice
amparado en el consentimiento, este debe poder ser verificable debiendo el
responsable ser capaz de poder demostrar que el interesado lo prestó de
manera válida.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/16
El RGPD no establece un mecanismo en concreto sobre cómo el responsable
debe ser capaz de probar que ha obtenido un consentimiento válido, teniendo
libertad para implementar la forma de obtención y registro que más se adapte a
los procesos de la organización pero, al menos, debe poder acreditar quién
otorgó el consentimiento, cuándo, cómo y para qué, así como la información
que se le suministró en el momento de obtenerlo. Esa obligación subsiste en
tanto que se siga realizando el tratamiento de los datos personales bajo las
condiciones iniciales en que los datos fueron recabados y debe ser verificable
en caso de auditoría o inspección.
De ahí que resulte de interés la implementación de herramientas que ofrezcan
garantías a los distintos intervinientes en el proceso de consentimiento y les
permitan gestionar este en torno al tratamiento de los datos personales que se
está realizando.
Por tanto, para valorar si el consentimiento es otorgado de una manera válida,
el responsable del tratamiento debe mantener un registro (log) de las
actuaciones llevadas a cabo para obtener el consentimiento.
En el presente caso, la entidad reclamada solamente presenta la captura de la
pantalla de una Tablet donde se muestra la opción de recibir publicidad
desmarcada por defecto; la captura de pantalla de la cuenta del reclamante,
donde aparece, por una parte la relación de compras realizada y por otra parte,
la dirección de correo electrónico del reclamante y la captura de una pantalla
de la Tablet donde aparece la retirada del consentimiento para recibir
comunicaciones comerciales pero no aporta, por ejemplo, un historial del “log”
que pueda demostrar que el interesado presto el consentimiento para recibir
comunicaciones comerciales de manera válida, o una pantalla donde aparezca
la firma del interesado junto con el número del DNI, cumpliendo con ello, lo
establecido en la normativa vigente, respecto a la obligación que tienen los
responsables del tratamiento de demostrar que han obtenido el consentimiento
de forma válida.
En definitiva, por una parte, el reclamante, en su escrito de reclamación
manifiesta haber recibido comunicaciones comerciales del reclamado sin
autorización previa, incumpliendo con ello lo establecido en el artículo el
artículo 21 de la LSSI, y por otra, de la documentación presentada por la
reclamada en sus alegaciones a la incoación del expediente, no hay constancia
que el interesado prestase un consentimiento válido para recibir
comunicaciones comerciales, tal y como establece el artículo 7 del RGPD.
Segundo: Por lo que respecta a la graduación de la sanción en la cual se aplica
la agravante de existencia de intencionalidad manifestando que no resulta de
aplicación, puesto que, según la reclamada, el cliente permitió expresamente el
envío de comunicaciones comerciales, y una vez recibido el ticket de compra,
el cliente pudo perfectamente eliminar su suscripción, al igual que pudo hacerlo
cuando recibió las otras dos comunicaciones y así lo hizo el 20/09/23.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/16
Manifestar que, respecto a que el reclamante permitió expresamente el envío
de comunicaciones comerciales, tal y como se ha expuesto en el apartado
anterior, en relación al punto, en este caso, no existe evidencia de que de que
el reclamante manifestara de forma clara el consentimiento a recibir
comunicaciones comerciales tal y como establece el artículo 7 del RGPD y en
relación a que el reclamante pudo eliminar su suscripción de manera fácil y
directa, tanto al recibir el ticket de compra como a través de los correos
recibidos, indicar que no se está tratando en este expediente la posibilidad de
oposición al tratamiento de los datos personales con fines promocionales tal y
como establece el apartado 2 del artículo 21 de la LSSI, si no el hecho de que
antes de poder ejercer su derecho de oposición a recibir publicidad, el
reclamante recibió correos electrónicos publicitarios sin que él los hubiese
solicitado o expresamente permitido, artículo 21.1 LSSI, por lo que, en el caso
que nos ocupa, se considera correctamente la aplicado del gravamen de
existencia de intencionalidad, en el sentido de que estos hechos pudieron y
debieron ser evitados, observando y cumpliendo una norma que imponía un
deber de cuidado.
Sigue manifestando el reclamando que “(…) la sanción impuesta debería haber
tenido en cuenta la totalidad de estas circunstancias, por lo que una sanción de
20.000 euros cuando el rango se encuentra entre 1 y 30.000 euros parece a
excesiva (…), vulnerando con ello el principio de proporcionalidad (…)”.
Respecto a esto último, recordemos que la infracción que se imputa se
encuentra tipificada como “leve” en el art. 38.4.d) de la LSSI y que el artículo
39.1.c), establece que dichas infracciones podrán sancionarse con multa de
hasta con 30.000 euros y para graduar dicha sanción, el artículo 40 LSSI,
establece que, dicha graduación se atenderá a los criterios: a) La existencia de
intencionalidad. b) Plazo de tiempo durante el que se haya venido cometiendo
la infracción. c) La reincidencia por comisión de infracciones de la misma
naturaleza, cuando así haya sido declarado por resolución firme. d) La
naturaleza y cuantía de los perjuicios causados. e) Los beneficios obtenidos
por la infracción. f) Volumen de facturación a que afecte la infracción cometida.
g) La adhesión a un código de conducta o a un sistema de autorregulación
publicitaria aplicable respecto a la infracción cometida, que cumpla con lo
dispuesto en el artículo 18 o en la disposición final octava y que haya sido
informado favorablemente por el órgano u órganos competentes.
Por otra parte, el artículo 29.3 de la Ley 40/2015, de 1 de octubre, de Régimen
Jurídico del Sector Público (RJSP), establece que,
(…) en la imposición de sanciones por las Administraciones Públicas se deberá
observar la debida idoneidad y necesidad de la sanción a imponer y su
adecuación a la gravedad del hecho constitutivo de la infracción (…)”.
En nuestro caso, se considera que procede graduar la sanción a imponer de
acuerdo con la existencia de intencionalidad (apartado a), tal y como se ha
expuesto anteriormente y por tanto, se considera que la cuantía de la sanción
se ajusta a los criterios de proporcionalidad del artículo 29 de la LRJSP y 40 de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/16
la LSSI, sin que la sanción inicialmente propuesta alcanzase el máximo del
rango establecido para este tipo de infracciones.
La notificación de la citada propuesta de resolución se realizó conforme a las normas
establecidas en la LPACAP, mediante notificación electrónica, produciéndose el
acceso al contenido de la notificación el 01/08/24 según consta en el expediente.
No se ha recibido respuesta alguna a este escrito de propuesta de resolución.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
Primero: Ha quedado constatado que el 23/09/23 el reclamante realizó una compra en
la tienda de la reclamada sita en La Roca Village.
Segundo: Consta que el reclamante recibió, en el correo electrónico ***EMAIL.1en los
días 23/09/23, 28/09/23 y 01/10/23, tres correos electrónicos enviados desde la
dirección NUDE PROJECT <help@nude—project.com> conteniendo mensajes y
fotografías publicitarias en idioma inglés, como:
- NUDE PROJECT© Thank you for your purchase! ¡Visit Our store. Order
summary …
- NUDE PROJECT© NEW IN T-SHIRTS HOODIES BOTTOMS
- By Artists, For Artists…
- So, let's play who's who... you choose. Also, we have some last units of new
Playboy garments. Have a look. JACK HAB LOW…
- PLAYBOY CARDIGAN PLAYMATE SHIRT PLAYBOY CHINO PANTS SHOP
THE LOOK DRAKE…
- CHESS KNITTED POLO POOL DENIM PANTS CHAMPAGNE PROBLEMS
HAT NAVY SHOP THE LOOK RIHAN NA…
- WOMEN RACING JACKET BIG HEART WHITE BABY BUNNY BOWLING
BAG WHITE/NAVY SHOP THE LOOK LIL NAS X…
- FUTURE MILF HOOD BLACK MILF TEE PINK PLAYBOY STRASS CHOKER
SHOP THE LOOK TYLER THE CREATOR…
- Grandma found love in Milano and it ain't no man… She fell in love with the
new basics 23' hoodies + polos + crewnecks Now live …
Tercero: Consta que la reclamada, junto a su escrito de alegaciones a la incoación de
expediente ha presentado la siguiente documentación:
- Captura de pantalla de la Tablet donde se muestra la opción de recibir
publicidad desmarcada por defecto.
- Captura de pantalla de la cuenta del reclamante, donde aparece la relación de
compras realizada siendo la única de fecha 23/09/23 y por otra parte, la
dirección de correo electrónico: ***EMAIL.1con la anotación “las notificaciones
se realizarán en inglés”. Se puede apreciar que la opción “correo electrónico
suscrito” se encuentra marcada y la opción de enviar comunicaciones por SMS
desmarcada. No consta firma de autorización del reclamante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/16
- Copia de la pantalla de retirada del consentimiento para recibir comunicaciones
comerciales donde aparece la siguiente información, en idioma inglés: Email
Unsubscribed: ***EMAIL.1Subscription details Status Unsubscribed o Method
Email Link Date Dec 20, 2023, at 8:57 pm UTC. (Email Baja: ***EMAIL.1
Detalles de suscripción Estado: Baja Fecha Dic 20, 2023)
FUNDAMENTOS DE DERECHO
I
Competencia.
De acuerdo con lo establecido en el artículo 43.1 de la LSSI y lo establecido en los
artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este
procedimiento la Directora de la Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
La Disposición adicional cuarta "Procedimiento en relación con las competencias
atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece
que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a
los procedimientos que la Agencia Española de Protección de Datos hubiera de
tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes."
II
Prohibición de comunicaciones comerciales no solicitadas o expresamente autorizadas
La LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente
autorizadas, partiendo de un concepto de comunicación comercial que se califica
como servicio de la sociedad de la información y que se define en su Anexo como: “f)
Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa
o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o
persona que realice una actividad comercial, industrial, artesanal o profesional.
Por tanto, el concepto de comunicación comercial, de acuerdo con la definición
anterior, engloba todas las formas de comunicaciones destinadas a promocionar
directa o indirectamente bienes, servicios o la imagen de una empresa, organización o
persona con una actividad comercial, industrial, artesanal o profesional.
Por otro lado, la LSSI en su Anexo a) define “Servicio de la Sociedad de la
Información” como “todo servicio prestado normalmente a título oneroso, a distancia,
por vía electrónica y a petición individual del destinatario que comprende también los
servicios no remunerados por sus destinatarios, en la medida en que constituyan una
actividad económica para el prestador de servicios”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/16
Según el apartado d) del citado Anexo, destinatario es la “persona física o jurídica que
utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la
información”
III
Tipificación de la infracción cometida por el envío de comunicaciones comerciales sin
que hubieran sido solicitadas o expresamente autorizadas .
El hecho de que la reclamada envíe correos electrónicos publicitarios al reclamante
que previamente no hubieran sido solicitados o expresamente autorizados constituye
una vulneración de lo establecido en el artículo 21 de la LSSI, pues establece lo
siguiente:
“1. Queda prohibido el envío de comunicaciones publicitarias o promocionales
por correo electrónico u otro medio de comunicación electrónica equivalente
que previamente no hubieran sido solicitadas o expresamente autorizadas por
los destinatarios de estas.
2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una
relación contractual previa, siempre que el prestador hubiera obtenido de forma
lícita los datos de contacto del destinatario y los empleara para el envío de
comunicaciones comerciales referentes a productos o servicios de su propia
empresa que sean similares a los que inicialmente fueron objeto de
contratación con el cliente.
En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de
oponerse al tratamiento de sus datos con fines promocionales mediante un
procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos
como en cada una de las comunicaciones comerciales que le dirija.
Cuando las comunicaciones hubieran sido remitidas por correo electrónico,
dicho medio deberá consistir necesariamente en la inclusión de una dirección
de correo electrónico u otra dirección electrónica válida donde pueda
ejercitarse este derecho, quedando prohibido el envío de comunicaciones que
no incluyan dicha dirección.”
IV
Sanción
La citada infracción se encuentra tipificada como “leve” en el art. 38.4.d) de dicha
norma, que califica como tal, “El envío de comunicaciones comerciales por correo
electrónico u otro medio de comunicación electrónica equivalente cuando en dichos
envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya
infracción grave”.
A tenor de lo establecido en el artículo 39.1.c) de la LSSI, las infracciones leves podrán
sancionarse con multa de hasta 30.000 €, mientras que, el artículo 40 de la LSSI
establece los criterios para la graduación de la cuantía de las sanciones:
“La cuantía de las multas que se impongan se graduará atendiendo a los
siguientes criterios: a) La existencia de intencionalidad. b) Plazo de tiempo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/16
durante el que se haya venido cometiendo la infracción. c) La reincidencia por
comisión de infracciones de la misma naturaleza, cuando así haya sido
declarado por resolución firme. d) La naturaleza y cuantía de los perjuicios
causados. e) Los beneficios obtenidos por la infracción. f) Volumen de
facturación a que afecte la infracción cometida. g) La adhesión a un código de
conducta o a un sistema de autorregulación publicitaria aplicable respecto a la
infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la
disposición final octava y que haya sido informado favorablemente por el
órgano u órganos competentes”.
Tras las evidencias obtenidas, se considera que procede graduar la sanción a imponer
de acuerdo con el criterio agravantes que establece el art. 40 LSSI:
- La existencia de intencionalidad (apartado a), ya que, si el cliente desea recibir
el ticket de compra debe proporcionar la dirección de correo electrónico o su
número de teléfono donde se lo enviarán, pero además recibirá
comunicaciones comerciales por dicho medio, aunque lo no desee, pues no
existe la posibilidad de rechazar el envío de comunicaciones comerciales
cuando se proporciona el e-mail o el número de teléfono.
Con arreglo a dichos criterios, se estima adecuado proponer una sanción de 20.000
euros (veinte mil euros), por la infracción del artículo 21.1 de la LSSI.
De acuerdo con la legislación aplicable y valorados los criterios de graduación de las
sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española
de Protección de Datos
RESUELVE:
PRIMERO: IMPONER a la entidad NUDE PROJECT, S.L. con CIF.: B01945328, por la
infracción del artículo 21 de la LSSI, tipificada como “leve” en el art. 38.4.d), una
sanción de 20.000 euros (veinte mil euros).
SEGUNDO: NOTIFICAR la presente resolución a la entidad NUDE PROJECT, S.L.
TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva
una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el
artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el
artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto
939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000
0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad
bancaria CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en
período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/16
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la
LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas, los interesados podrán interponer, potestativamente,
recurso de reposición la Directora de la Agencia Española de Protección de Datos en
el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución
o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-
administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y
en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio,
reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a
contar desde el día siguiente a la notificación de este acto, según lo previsto en el
artículo 46.1 del referido texto legal.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la Ley 39/2015,
de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si
el interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/],
o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre.
También deberá trasladar a la Agencia la documentación que acredite la interposición
efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento
de la interposición del recurso contencioso-administrativo en el plazo de dos meses
desde el día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es