Una persona presentó una reclamación ante la AEPD manifestando haber recibido correos electrónicos publicitarios sin su consentimiento por parte de la entidad STAROFSERVICE SAS. Según indicó, los correos electrónicos fueron enviados los días 19, 21 y 22 de enero desde la dirección de correo electrónico de dicha entidad a su propia dirección, sin haber autorizado el tratamiento de sus datos con fines comerciales.

La AEPD verificó la recepción de los mensajes, que contenían promociones sobre servicios ofrecidos por la entidad. Tras ello, envió un requerimiento a la empresa, que respondió alegando que el primer correo fue una campaña de prospección comercial dirigida a profesionales, amparada en el interés legítimo según el artículo 6.1 f) del RGPD. Añadió que el segundo correo fue respuesta directa a una consulta del propio destinatario y que el tercero se debió a un desfase temporal en la gestión de la solicitud de baja, realizada un viernes por la noche, fuera del horario de atención al cliente.

El reclamado defendió que todos los correos contenían enlaces válidos para darse de baja y que el reclamante no los utilizó. Subrayó además que, como empresa francesa, su conducta seguía el criterio de la autoridad francesa de protección de datos, que permite la prospección comercial por medios electrónicos cuando se dirige exclusivamente a profesionales y no a consumidores. Según la entidad, esta excepción justifica el envío, ya que el reclamante se habría identificado inicialmente como profesional al interactuar con los correos.

La AEPD inició procedimiento sancionador proponiendo una sanción de 3.000 euros por infracción del artículo 21 de la LSSI, por el envío de comunicaciones publicitarias sin consentimiento previo. La empresa formuló alegaciones reiterando que actuó conforme al RGPD y al principio de primacía del derecho europeo sobre el nacional, argumentando que el artículo 6.1 f) del RGPD no admite restricciones adicionales por parte de los Estados miembros. También subrayó que existía un interés legítimo en enviar la comunicación inicial y que la posterior interacción del destinatario legitimaba los correos siguientes.

La AEPD consideró que no existía ninguna relación contractual previa entre las partes que legitimara el envío de correos electrónicos con fines publicitarios. Además, el mero hecho de que un destinatario solicite información tras un primer mensaje no habilita, por sí solo, una cadena de comunicaciones posteriores, menos aún si en medio de la secuencia el destinatario pide expresamente el cese de los envíos. El correo publicitario del día 24 de enero, tras la solicitud de baja, reforzó la convicción de que no se habían respetado los derechos del afectado.

La AEPD expuso en su análisis jurídico que, si bien el artículo 6.1 f) del RGPD establece que el tratamiento de datos personales puede basarse en el interés legítimo del responsable, dicha base legal requiere una evaluación específica y meticulosa para asegurar que los derechos del interesado no se vean comprometidos. En este sentido, citó el considerando 47 del RGPD, que si bien admite la mercadotecnia directa como posible interés legítimo, también condiciona su legitimidad a que no prevalezcan los intereses o derechos del interesado, y a que este pueda prever razonablemente dicho tratamiento de sus datos.

Además, la AEPD recordó que, tratándose del envío de comunicaciones comerciales por medios electrónicos, resulta de aplicación directa el artículo 21 de la LSSI. Dicho artículo establece con claridad que queda prohibido el envío de comunicaciones publicitarias por correo electrónico que no hayan sido previamente solicitadas o expresamente autorizadas por los destinatarios. Solo se admite una excepción: que haya una relación contractual previa, que permita considerar legítimo el uso de los datos de contacto para enviar publicidad de productos o servicios similares. En este caso, no se acreditó la existencia de esa relación contractual previa, lo que impedía invocar dicha excepción.

Sobre la defensa del reclamado respecto al interés legítimo y a la interpretación de la normativa conforme a la autoridad francesa, la AEPD sostuvo que, aunque el RGPD es de aplicación directa y uniforme, en materias específicas como las comunicaciones electrónicas, deben respetarse las normas nacionales, especialmente cuando son más garantistas respecto a los derechos del usuario. En este caso, el envío de correos sin consentimiento vulneró la LSSI, sin que el interés legítimo pudiera prevalecer.

La AEPD consideró insuficiente el argumento de que el reclamante actuó como profesional, ya que esa condición no se acreditó formalmente. Aun si lo hubiera sido, seguiría siendo necesario aplicar la LSSI, que no distingue entre profesionales y consumidores a efectos del consentimiento previo.

El hecho de que todos los correos incluyeran enlaces de baja tampoco exime del cumplimiento del deber de obtener consentimiento expreso con anterioridad. La solicitud de baja del destinatario, enviada el 22 de enero, no fue atendida de forma inmediata, ya que se envió un nuevo correo el día 24, domingo, lo que evidenció una deficiente gestión del ejercicio del derecho de oposición.

La AEPD reiteró que el consentimiento no se puede presumir por el mero hecho de haber interactuado con un mensaje publicitario. La protección de datos personales exige que el consentimiento sea libre, específico, informado e inequívoco, lo que no se cumplió en este caso. Además, el hecho de invocar el cumplimiento de la regulación francesa no habilita para eludir la normativa española cuando se afecta a usuarios en España.

La AEPD impuso al reclamado una sanción económica de 3.000 euros por infringir el artículo 21 de la LSSI, al haber enviado comunicaciones comerciales electrónicas sin el consentimiento del destinatario ni contar con otra base jurídica válida para ello.