Las sanciones han llegado. Tal y como anunciaba a finales del año pasado la AEPD y os informábamos en el boletín de diciembre “Incumplimiento, sanciones y función inspectora AEPD”, las primeras resoluciones sancionadoras ya están aquí, con multas y apercibimientos adecuados para cada caso.
Queremos comentar los motivos de las sanciones de algunas de ellas, ya que algunos son reiterados. Echando la vista atrás, recogimos en el post de enero de “Sanciones RGPD-LOPDGDD” las sanciones que impone la normativa.
Hay que tener en cuenta que, para las infracciones señaladas en la LSSICE (Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico), se aplicaran los criterios de graduación de las sanciones del artículo 39 bis de la misma y las cuantías establecidas en el art. 39 según la tipología de las infracciones cometidas (recogidas éstas en el artículo 38).
Ahora sí, pasamos a comentar a través de ejemplos de Procedimientos Sancionadores (de ahora en adelante, PS) resueltos por la AEPD.
Los PS 60/2019, 43/2019, 44/2019, 67/2019 entre otros, dirimen sobre los envíos de correos, llamadas, SMS comerciales sin el consentimiento para el tratamiento de los datos personales.
Los motivos que se dirimen en los Procedimientos Sancionadores mencionados son:
- No tener el consentimiento del interesado: este hecho se expone en los cuatro expedientes escogidos, dado que el articulo 21 de la LSSICE señala que “Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.”. Cuando exista una relación contractual previa y siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente, si que se permite dicho envío.
- No poner en los envíos comerciales el derecho a la revocación del usuario afectado, tal y como expone el articulo 22.1 de la LLSICE “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente…”
¿Qué es una comunicación comercial? La LSSICE da la definición (Anexo F, párrafo primero) diciendo que es “toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional.»
También nos dice que no se considera comunicación comercial “A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”.
Queda muy claro por la LSSICE que se prohíben las comunicaciones comerciales de forma expresa sin consentimiento expreso, a excepción de una previa relación contractual lícita.
Además de la aplicación de la LSSICE, aplica el artículo 4.11 del RGPD cuando se estén tratando datos de carácter personal. Dicho artículo expone que el consentimiento es “toda manifestación de voluntad, libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”, y el articulo 6.1.a) del RGPD indica cuando dicho consentimiento es lícito.
Por el incumplimiento del artículo citado, la AEPD ha impuesto las sanciones pertinentes a las infracciones catalogadas como Leves: en el primer caso, como no hay ninguna agravante del art. 40 LSSICE, la sanción impuesta ha sido de 1.000€; en los otros casos, como había agravantes tipo la reincidencia, intencionalidad o un plazo de tiempo de infracción continuado en el tiempo, las sanciones impuestas han sido de 2.500€ y 3.300€.
El PS 89/2019 es un apercibimiento a la AMPA de un Colegio por la realización de fotografías a menores, niños del centro escolar, con el fin de comercializar unos calendarios. El afectado que ha interpuesto la reclamación alegó que “solo había dado consentimiento al colegio para el uso de las imágenes del menor”.
Dicha infracción es por un tratamiento de datos regulado en el art. 6.1 a) del RGPD, en relación con el artículo 8.1 del RGPD al tratar la imagen de los menores sin el consentimiento de quien ostenta su patria potestad.
En este caso, el AMPA pone medidas, adoptadas tras el incidente, para garantizar que no se realicen ni difundan fotografías sin el consentimiento adecuado y por ello, antes de sancionar, optaron por el apercibimiento del AMPA.
Hemos visto que, como ya comunicó la AEPD el pasado diciembre La Directora de la Agencia de Protección de Datos (AEPD), Mar España, se comentaba que la horquilla del importe económico era muy amplia y, poco a poco, se iría creando doctrina evaluando cada caso en concreto. La intención de la AEPD es perseguir los incumplimientos graves de la normativa, adecuando la sanción a los medios de que disponga el infractor.
