La Agencia Española de Protección de Datos (en adelante “AEPD”) ha sancionado con 70.000 euros a una organización por: (i) no atender correctamente la solicitud de ejercicio de derecho de oposición de uno de sus clientes, y (ii) el envío de correos electrónicos publicitarios sin el consentimiento preceptivo del destinatario.
Como consecuencia de la recepción de correos electrónicos publicitarios, y en la medida en que no había ni solicitado ni autorizado los mismos, el reclamante ejerce su derecho de oposición ante la empresa de telecomunicaciones emisora de dichos correos, con el propósito de dejar de recibir las comunicaciones comerciales. La persona interesada recibe las comunicaciones a través del correo electrónico corporativo, asignado como consecuencia de las labores que desempeña en la empresa (en concreto, el correo “dpd@…”), y sin que dicha dirección de mail especifique su nombre y apellidos.
La empresa de telecomunicaciones sancionada por la AEPD respondió en los siguientes términos a la solicitud de ejercicio de derecho de oposición presentado por el reclamante: De acuerdo con su escrito en el que, según lo previsto en la Ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos de carácter personal, [la empresa sancionada cita normativa antigua], ejerce su derecho de oposición […], por la presente le informamos que esta sociedad procede a tomar razón de inmediato de su petición. Anexo se ejerce la oposición al trato de datos con fines comerciales, en ese sentido, le comunicamos que hemos ordenado la exclusión de sus datos de los envíos de información comercial desde esta entidad y de las promociones comerciales de esta entidad basadas en el tratamiento de sus datos de navegación”.
Sin embargo, la persona interesada volvió a recibir correos electrónicos publicitarios, a pesar de haberse opuesto a ello a través del ejercicio del derecho de oposición. En este sentido, la empresa de telecomunicaciones sancionada alegó que el correo electrónico en que la persona interesada recibía las comunicaciones publicitarias no era dato personal, en la medida en que dicha dirección de correo electrónico no contenía su nombre y apellido, y que, por tanto, la AEPD no era competente para conocer del asunto e imponer, en su caso, una hipotética sanción. La empresa sancionada se basaba en el criterio que la Comisión Europea expone en su página web a cerca de las direcciones de correo con el formato “info@empresa.com”.
No obstante, la AEPD argumenta en este sentido que:
Hay que puntualizar que el formato al que se refiere la Comisión Europea (info@…) no identifica a ninguna persona o cargo de la empresa en particular, si no que hace referencia a una dirección de correo genérica donde, en principio, cualquier usuario o empleado de esta tiene acceso. Cuando la dirección de correo electrónico de una empresa […] es utilizado como por un solo empleado, pudiéndose identificar directa o indirectamente con el nombre, con determinados dígitos o con el cargo que ocupa, como en nuestro caso, <<delegado de protección de datos>> (dpd@…), se considera dato personal a todos los efectos».
Por tanto, y siguiendo el criterio de la AEPD en este sentido, también sería dato personal una dirección de correo electrónico que no identifique a ninguna persona, cuando la misma sea utilizada únicamente por una persona y esta sea identificable con el nombre, determinados dígitos, o el cargo que ocupa en la organización.
Por todo lo anterior, la AEPD termina sancionando a la empresa de telecomunicaciones con 70.000 euros, distribuidos de la siguiente manera:
- 50.000 euros por la incorrecta atención del derecho de oposición del interesado.
- 20.000 euros por el envío de comunicaciones comerciales a la persona interesada, sin que previamente se hubiera recabado su consentimiento.
