Por María González, asociada senior de Information Technology de ECIJA

En las últimas semanas se han hecho públicas diversas resoluciones de la Agencia Española de Protección de Datos por el envío de comunicaciones electrónicas, sin seguir los requerimientos exigidos por la normativa de aplicación, pero… ¿Qué hemos de tener en cuenta para el envío conforme a la normativa, de comunicaciones electrónicas?
La regulación del envío de comunicaciones electrónicas se recoge en las disposiciones de varias normas como son la Ley Orgánica 15/1999, de 13 de Diciembre, de Protección de Datos de Carácter Personal (LOPD), y por la Ley 34/2002, de 21 de julio, de Servicios de la Sociedad de Información y el Comercio Electrónico (LSSI), debiendo distinguir entre las meras comunicaciones y las comunicaciones comerciales o promocionales.
Así, la LSSI define como comunicación comercial “toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional.
A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica.”
Para el envío de comunicaciones comerciales la LSSI se remite de forma directa a la LOPD al establecer; “19.2. En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales.
En este sentido, se deberá tener en cuenta y cumplir las obligaciones y principios esenciales de la protección de datos personales; información, consentimiento, derechos de los usuarios, etc.

1.- ¿Qué requisitos deben cumplir las comunicaciones comerciales o promocionales?:
La LSSI regula en su artículos 20 los requisitos que deben cumplir las comunicaciones comerciales o promocionales, así establece;
a) Comunicaciones comerciales y remitente claramente identificables. En este sentido, queda prohibido el envío de comunicaciones comerciales en las que se disimule o se oculte la identidad del remitente por cuenta de quien se efectúa la comunicación

b) Si se realiza por correo electrónico u otro medio de comunicación electrónica equivalente incluirá la palabra “Publicidad” o “Publi” (este aspecto puede desaparecer, pues se prevé su supresión en el anteproyecto de Ley General de Telecomunicaciones que se encuentra en tramitación y que modificará la LSSI)

c) En caso de ofertas promocionales que incluyan descuentos, premios, regalos, concursos o juegos promocionales deberá:

• Solicitar Autorización requerida ante los órganos competentes (Organismo Nacional de Loterías y Apuestas del Estado (ONLAE para sorteos y concursos de ámbito nacional, y las secciones administrativas del juego de las comunidades autónomas en caso de ámbito autonómico)
• Identificación normativa de ordenación del comercio de aplicación, en este sentido habrá que tener en cuenta la normativa autonómica de aquellas CCAA que tengan competencias exclusivas sobre consumo, comercio electrónico o publicidad.
• Condiciones de acceso y participación fácilmente accesibles y expresadas de forma clara e inequívoca.

d) Queda prohibido que en las comunicaciones se incite a los usuarios a visitar páginas de Internet que contravengan los requisitos mencionados anteriormente.

2.- ¿Cómo se regula el envío de comunicaciones y comunicaciones comerciales o promocionales?:
Es en el artículo 21 de la LSSI donde se regulan las condiciones en las que deben realizarse los envíos de comunicaciones comerciales:
Quedan prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico, o medio de comunicación electrónica equivalente, que previamente no hubieran sido solicitadas o expresamente autorizadas por los usuarios.
Se exceptúa la autorización previa del usuario en el caso de que exista una relación contractual o negocial previa, con las condiciones que se detallan a continuación.
En este punto deberá tenerse en cuenta lo establecido en la LOPD y RLOPD sobre la obtención del consentimiento para el envío de comunicaciones comerciales o publicitarias, así como la obtención lícita de los datos personales y la atención de los derechos reconocidos a los usuarios.
a) Consentimiento: Es necesario contar con el consentimiento o autorización previa del usuario para remitir comunicaciones comerciales o publicitarias. Para la obtención del consentimiento, este deberá ser en todo caso informado, es decir, se debe facilitar al usuario la información exigida en el art. 5 LOPD concretando; responsable del fichero / tratamiento, finalidades concretas del tratamiento, posibilidad de oposición del usuario, etc
b) Derechos de los usuarios – Revocación del consentimiento: El responsable del envío de las comunicaciones comerciales deberá, en todo caso, ofrecer al destinatario la posibilidad de oponerse al tratamiento mediante un procedimiento sencillo y gratuito, tanto en el momento de obtener los datos, como en cada comunicación. Dicho medio podrá consistir (en el caso de comunicaciones remitidas por correo electrónico) en la inclusión de una dirección electrónica válida donde pueda ejercitarse este derecho.
c) Cookies: La LSSI en la regulación del envío de comunicaciones comerciales incluye la necesidad de informar y obtener el consentimiento para el tratamiento de los datos e información recabada a través de las cookies.

3.- Copia Oculta – Deber de secreto:
Otro de los aspectos a tener en cuenta en el envío de comunicaciones comerciales, y cualquier otro tipo de comunicación remitida a un conjunto de destinatarios es la inclusión de las direcciones en el campo de copia oculta.
Este aspecto se fundamenta y justifica en el cumplimiento del deber de secreto establecido en el art. 10 de la LOPD y con la obligación de dar a conocer los datos personales tratados exclusivamente a aquellos que por razón de su función o cargo necesiten acceder a los mismos.
Esto se traduce en la necesidad y obligación de no poner a disposición de terceros los datos de los destinatarios de las comunicaciones, bien con la utilización de listas, o bien incluyendo dichos datos en el campo “Copia Oculta” (CCO o BBC) disponible en todos los gestores de correo electrónico.
Parece un requerimiento menor, pero ya ha dado lugar a la imposición de diversas sanciones por la AEPD, a continuación algunos ejemplos:
- Resolución PS/00629/2012 en la que se sanciona finalmente con 2000€ por el envío de un correo electrónico informativo a múltiples destinatarios sin incluir a los mismos en copia oculta, a pesar de cumplir el resto de disposiciones de la LOPD.
- PS/00540/2010 (600€ por incumplimiento art. 21 LSSI + 1500 por vulneración art. 10 LOPD – deber de secreto, al haber remitido la comunicación a multiples destinatarios en abierto)
- PS/00228/2010 (3000 € por vulneración art. 10 LOPD – deber de secreto, al haber remitido la comunicación a múltiples destinatarios en abierto + 1200 y 600 € a los denunciados por incumplimiento del art. 21 LSSI).
Este tipo de sanciones se ha impuesto tanto a personas jurídicas, como a personas físicas, en las que sin existir ningún tipo de ánimo de lucro o comercial remitieron comunicaciones electrónicas a múltiples destinatarios sin incluirlos en copia oculta, y fueron denunciadas por estos, habiendo recibido una sanción de 600€

4.- Oposición / Cancelación:
El titular de los datos tiene siempre y en cualquier momento el derecho de revocar el consentimiento otorgado, así como oponerse a la remisión de comunicaciones electrónicas comerciales o publicitarias.
Para la atención de dichos derechos, el responsable del tratamiento deberá poner a disposición del usuario medios fáciles, sencillos y gratuitos a través de los cuales los usuarios puedan ejercitar sus derechos, debiendo el responsable atender y dar respuesta a los mismos en los plazos establecidos por la normativa (10 días para la atención del derecho de oposición y cancelación de datos regulados en la LOPD)
Este es uno de los aspectos más importantes a tener en cuenta, pues ha dado y da lugar a la imposición de importantes sanciones a quien no atienden los derechos reconocidos a los usuarios. A continuación algunos ejemplos:
- Resolución PS/00498/2012. La no atención del derecho de oposición ejercitado por el usuario y la reiteración en el envío comunicaciones ha dado lugar a la imposición de una sanción de 33.000 €
- Resolución PS/00499/2012. La no atención del derecho de oposición ejercitado por el usuario y la reiteración en el envío comunicaciones ha dado lugar a la imposición de una sanción de 33.001 €

5.- Y sobre todo… Sentido común, Formación y Concienciación:
En la remisión de comunicaciones electrónicas y comunicaciones comerciales y publicitarias es de vital importancia la concienciación y formación del personal implicado en dichos tratamientos específicos, así como en general, al personal que utiliza sistemas de comunicación electrónica como el correo electrónico en su día a día, debiendo las organizaciones, si quieren evitar riesgos como los expuestos, iniciar y llevar a cabo acciones periódicas de concienciación y formación en estas materias.