La AEPD ha impuesto a la compañía Nude Project una sanción de 20.000 euros por infringir el artículo 21 de la Ley 34/2002, de 11de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI).
La reclamación se interpuso por un cliente debido a que, al acudir a una de las tiendas de la compañía para comprar un producto, una vez realizó dicha compra, al solicitar el ticket, se informó por el empleado de que no se podía entregar este físicamente, por lo que se vio obligado a indicar su dirección de correo para recibir el comprobante. Así, se expone por el afectado que, al facilitar estos datos en la Tablet del establecimiento, no se le informaba de la posibilidad de ejercer su derecho de oposición a la recepción de comunicaciones comerciales, recibiendo con posterioridad tres correos con publicidad.
Admitida la reclamación a trámite, la compañía presentó escrito de alegaciones en el que ponía de manifiesto lo siguiente:
- Sí se recabó el consentimiento expreso para el envío de estas comunicaciones a través de su correo electrónico (en este sentido, se indica que hay determinadas medidas de seguridad implementadas para evitar enviar esta publicidad a aquellas personas que no han otorgado dicho consentimiento), no siendo cierto que no se facilitara la posibilidad de ejercer el derecho de oposición. De este modo, se aportan capturas de pantalla de la Tablet en las que se aprecia la casilla (desmarcada por defecto) relativa al envío de publicidad. De hecho, la casilla de publicidad a través de SMS se encontraba desmarcada, por cuanto el afectado no consintió este tratamiento específico.
Con independencia de ello, la entidad afirma que, en cualquier caso, el envío de estas comunicaciones comerciales se encuentra amparado en el interés legítimo en virtud de lo dispuesto en el apartado segundo del artículo 21, por cuanto se dirigen a un cliente que ha adquirido un producto (obteniendo los datos lícitamente), y hacen referencia a productos propios y similares a los previamente contratados.
- En los correos electrónicos en los que se remitía publicidad se articulaba un procedimiento para darse de baja (procedimiento que, posteriormente, el afectado usó, no enviándose más correos en este sentido).
- No es cierto que no se diera la opción de entregar el ticket impreso. Únicamente se facilita esta posibilidad por su política de eliminación de papel.
La AEPD ha declarado, en relación con el consentimiento expreso (que debe ser libre, específico, informado e inequívoco), que el responsable debe ser capaz de demostrar que lo obtuvo válidamente. Así, si bien la normativa vigente no establece mecanismo alguno relativo a esta obligación, se “debe poder acreditar quién otorgó el consentimiento, cuándo, cómo y para qué, así como la información que se le suministró en el momento de obtenerlo”. Es por ello por lo que resultan “de interés la implementación de herramientas que ofrezcan garantías a los distintos intervinientes en el proceso de consentimiento”.
A la hora de analizar el presente caso, se indica que únicamente se ha aportado captura de pantalla en la que se muestra la opción de recibir publicidad desmarcada por defecto o aquella en la que se muestra la retirada del consentimiento. No obstante, “no aporta, por ejemplo, un historial del “log” que pueda demostrar que el interesado presto el consentimiento para recibir comunicaciones comerciales de manera válida, o una pantalla donde aparezca la firma del interesado junto con el número del DNI”. Habida cuenta de ello, se indica por la autoridad de control que no hay constancia de un consentimiento válido, por lo que el reclamante recibió correos publicitarios sin consentirlo o sin haberlo solicitado, por lo que se ha vulnerado el artículo 21 de la LSSI.
A pesar del contenido de las alegaciones de la entidad reclamada, la AEPD, sorprendentemente, no ha analizado en su resolución la aplicación del segundo apartado del artículo 21 en el que se declara que “Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”.
Puede acceder a la resolución sancionadora de la autoridad de control aquí.