La recepción de publicidad por terceros a través de correo electrónico

Ernesto José Muñoz Corral. Abogado. Socio European Data Protection Officer

 Pese a que los sistemas técnicos de detección de spam están cada vez más desarrollados y que la normativa vigente considera una infracción el envío de publicidad por medios electrónicos fuera de los casos autorizados, el ciudadano se encuentra a diario con correos publicitarios que saturan la bandeja de entrada de su programa de gestión de e-mails.

Sumario

1.- Planteamiento de la cuestión.

2.- Normativa aplicable.

3.- Identificación del remitente de la publicidad.

4.- Posibles escenarios.

1.- Planteamiento de la cuestión

Muchos de los correos que se reciben a diario son remitidos legítimamente por empresas que, dentro del marco legal, ofrecen sus productos o servicios a quienes ya son sus clientes o, sin serlo, han consentido dicho envío. Sin embargo, no pocas veces podemos encontrar promociones de productos o servicios cuyo remitente no aparece con claridad o que incluso parecen ser remitidas por empresas distintas de la titular de los productos o servicios anunciados.

En estos casos, surge la duda de si estas comunicaciones son lícitas y, en caso de que no sea así, contra quién debería dirigirse una eventual reclamación, si contra el titular de los productos o servicios promocionados o contra el tercero que efectúa materialmente el envío.

2.- Normativa aplicable

El envío de comunicaciones comerciales a través de correo electrónico viene regulado, por la Ley de Servicios de la Sociedad de la Información y del Comercio Electrónico, también conocida por sus siglas, LSSI.[1] Su artículo 21 establece en qué supuestos es lícito el envío de correos electrónicos comerciales y, en general, cualquier comunicación publicitaria que se lleve a cabo por medios electrónicos (SMS, aplicaciones de mensajería instantánea, etc.). [2] La norma tiene el siguiente tenor literal:

1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.
2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente.

En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija.

Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.

A la vista de lo anterior, el envío de comunicaciones comerciales por e-mail sólo será lícito si concurre alguno de los dos supuestos siguientes:

1. Que el destinatario de la comunicación comercial la haya previamente solicitado o autorizado de forma expresa.
2. Que el destinatario de la comunicación sea ya cliente del remitente de la publicidad y que, además, ésta se refiera a productos o servicios de la misma empresa que sean similares a los que el cliente inicialmente contrató.

No concurriendo ninguno de dichos supuestos, el envío de la publicidad por e-mail se reputa ilícito, viniendo a constituir una infracción de la LSSI.

Las disposiciones de la LSSI se aplican, con carácter general, al envío de cualquier comunicación comercial electrónica, ya se dirija a personas físicas, ya a personas jurídicas u otras entidades que no tengan dicha consideración. Ahora bien, cuando, el destinatario es una persona física, el envío de la publicidad conllevará también el tratamiento de sus datos personales (al menos, su dirección de e-mail), por lo que resultará aplicable, además, el Reglamento General de Protección de Datos (habitualmente abreviado como RGPD, por sus siglas en castellano, o como GDPR, por sus siglas en inglés).[3] Nos centraremos en este análisis, precisamente, en este supuesto.

3.- Identificación del remitente de la publicidad

La LSSI regula, en su artículo 20, el contenido mínimo que deben tener los correos electrónicos publicitarios en lo que respecta a la identificación del remitente de la publicidad, disponiendo lo siguiente:

1. Las comunicaciones comerciales realizadas por vía electrónica deberán ser claramente identificables como tales, y la persona física o jurídica en nombre de la cual se realizan también deberá ser claramente identificable.

(…)

4. En todo caso, queda prohibido el envío de comunicaciones comerciales en las que se disimule o se oculte la identidad del remitente por cuenta de quien se efectúa la comunicación o que contravengan lo dispuesto en este artículo, así como aquéllas en las que se incite a los destinatarios a visitar páginas de Internet que contravengan lo dispuesto en este artículo.

La regla general es, por tanto, que toda comunicación comercial por e-mail debe permitir identificar con claridad a la persona o entidad titular de los bienes o servicios promocionados, es decir, aquel por cuya cuenta se envía la publicidad y que es, en última instancia, responsable de esta.

4.- Posibles escenarios

Para el examen de la cuestión planteada al inicio de este escrito, debemos distinguir varios supuestos de hecho, dependiendo de si la publicidad es enviada por la propia entidad que promociona sus productos o servicios o por un tercero. Analizaremos el régimen jurídico aplicable a cada una de dichas situaciones:

1. Envío de publicidad por la empresa propietaria de los productos o servicios promocionados.

En este caso, la empresa titular de los productos y servicios es la empresa que envía la publicidad. Aplicando las reglas impuestas en el artículo 20 LSSI, la comunicación comercial debería identificar con claridad a dicha empresa, que sería en exclusiva responsable del cumplimiento de la normativa aplicable a los envíos, tanto la LSSI como, si la comunicación se dirige a personas físicas, el RGPD.

Cualquier reclamación relativa a la comunicación comercial debería dirigirse contra esa empresa.

1. Envío de publicidad por una tercera empresa, en nombre y por cuenta del propietario de los productos o servicios promocionados.

En este supuesto, la empresa titular de los productos y servicios decide externalizar en un tercero el envío de sus comunicaciones comerciales, de tal modo que esa otra empresa realiza los envíos, pero no en su propio nombre, sino en nombre y por cuenta de aquella.

La relación entre ambas entidades ha de quedar regulada contractualmente. El contenido mínimo que debería recoger el contrato, a los efectos que nos ocupan, debería ser:

1. La determinación de las obligaciones y responsabilidades de cada parte en lo que se refiere al contenido mínimo a incluir en la comunicación comercial y los procedimientos de oposición, conforme a las exigencias de la LSSI.
2. La posición de la empresa que hace materialmente el envío, como encargada del tratamiento de los datos de los destinatarios, que, legalmente, son responsabilidad de la empresa beneficiaria de la publicidad.[4]

En este escenario, el responsable del envío de la comunicación comercial lo será la empresa titular de los bienes o servicios que se promocionan, por cuanto la publicidad se emite en su nombre y por su cuenta. Esta compañía debe quedar claramente identificada en el envío de la publicidad, de modo que las personas que la reciban puedan conocer a quién dirigirse en caso de reclamación.

Por el contrario, la empresa que ejecuta materialmente el envío de la publicidad será una mera prestadora de servicios, que se deberá ajustar a lo que conste en el contrato con la beneficiaria de la publicidad. En caso de incumplimiento de estas previsiones, la empresa que envía la publicidad en nombre de la beneficiaria será responsable, frente a esta, por incumplimiento de las previsiones contractualmente asumidas, pero no frente a los destinatarios de la publicidad enviada.

Ahora bien, si la empresa contratada para el envío de la publicidad hubiese contravenido las instrucciones de la empresa contratante o las previsiones del contrato de encargado del tratamiento, aquella se convertiría en responsable del tratamiento de los datos personales utilizados en el envío, lo cual la obligaría, conforme a lo dispuesto en el artículo 28.10 RGPD,[5] a responder de las infracciones de la normativa de protección de datos en que hubiera incurrido personalmente. Un ejemplo de ello sería que, contraviniendo las disposiciones aplicables, la empresa que fue contratada para el envío de la publicidad hubiese utilizado los datos para promocionar los productos y servicios propios o de un tercero. En tal caso, el destinatario de la publicidad podría dirigirse contra dicha empresa o denunciar los hechos ante la autoridad de control (la Agencia Española de protección de Datos, en el caso de España).

CONCLUSIONES

El envío de comunicaciones comerciales por correo electrónico se somete a un estricto régimen jurídico, que sólo permite su realización bajo ciertos presupuestos y con la exigencia de que se identifique siempre a la persona o entidad en cuyo nombre se envía la publicidad. Ello es un mecanismo para que el destinatario conozca la empresa beneficiaria del envío, a efectos de que pueda formular contra ella una denuncia o reclamación.

Como regla general, la empresa beneficiaria de la publicidad será la responsable del tratamiento de los datos utilizados en la campaña de marketing y la que debe velar por el cumplimiento de la LSSI, tanto si efectúa ella misma el envío, como si contrata a un tercero para que lo haga en su nombre. Cualquier reclamación derivada de la infracción de estas normativas se dirigirá contra dicha empresa, excepto en aquellos casos en los que el prestador de servicios de envío de publicidad pudiera haber tratado la base de datos del beneficiario con finalidades diferentes de las pactadas, lo cual la convertiría en infractora de la normativa aplicable y podría hacerla objeto de la correspondiente medida sancionadora o reclamación.

[1] Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico.

[2] El concepto legal de comunicación comercial, a estos efectos, es amplísimo, considerándose como tal “toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional” (letra f del Anexo de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico).

[3] Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE.

[4] El clausulado mínimo a incluir en dicho contrato se recoge en el artículo 28 del RGPD.

[5] Dicho precepto dispone o siguiente: “Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento.”