En este caso, la plataforma de venta de entradas Tick Tack Ticket (TTT) ofrecía la inocente promoción de dos entradas de concierto. Para conseguir tan exiguo premio, TTT solicitaba de los usuarios que incluyesen los correos de amigos y conocidos: cuantos más mejor. Hasta tal punto que, como se señala en las bases del concurso: “Ganará la persona que más veces reenvíe esta información”. Para más INRI, en dichas comunicaciones no se daba la posibilidad al receptor de la comunicación de oponerse al tratamiento.

El procedimiento es incoado por la FACUA, aunque el número de usuarios de los que se había registrado su dirección de correo mediante dicho proceder, ascendía a casi 40.000. Pese a la falta de reclamación individual por parte de sujeto alguno, la Agencia prosigue sus actuaciones de oficio, dada su naturaleza y el principio acusatorio que sustenta su actuación. Recuperemos su definición de spam de la Agencia:

“cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa”

Para la AEPD, TTT no había recabado el consentimiento tal como exige el art. 21 LSSI para el envío de comunicaciones promocionales. El presunto infractor alegaba que, en la sustanciación del procedimiento, se había producido una inversión de la carga de la prueba, ya que es TTT quien había de mostrar que el consentimiento no fue debidamente recabado. Para la Agencia, no obstante, las pruebas recogidas no son sólamente indiciarias, sino auténticas pruebas de cargo. La agencia se apoya en una columna de la tabla de la base de datos que incluía las direcciones de correo, marcado un ‘1 y valid’, y da por buena la presuposición de que se habrían enviado más de 3 comunicaciones, mínimo establecido por la LSSI para que la infracción sea considerada grave.

La propia TTT utilizó en su alegato lo frecuente de esta práctica como defensa de sus actividades. Lo que habrá que seguir con detenimiento es el número de expedientes que se abriran a raiz de esta decisión, una decisión que podría golpear fuertemente uno de los pilares de la captación de clientes llevada a cabo por muchas plataformas de internet.

Tick Tack Ticket

Pues bien, en su resolución 139/2008 la Agencia resolvió en contra de Iniciativas Virtuales, una empresa de marketing digital. La empresa enviaba un correo para dar a conocer sus servicios una vez que un usuario ‘recomendaba’ a un amigo, incluyéndolo en una lista de distribución de correos que no era procesada hasta haber recibido la aceptación del receptor de la comunicación. La empresa entendía que el correo se trataba de una comunicación personal entre un usuario y un tercero, entre pariculares en definitiva. No obstante, nuestro sistema de protección de datos se basa en el consentimiento del usuario a la hora de recibir cualquier tipo de comunicación, convirtiéndose ésta en indeseada si procede de un desconocido sin haber sido solicitada. En este sentido, resulta fundamental el hecho de que el correo se enviase desde la IP de la empresa citada antes bien que desde una cuenta de correo del usuario que invitaba.

La Agencia se ratifica en una definición de spam ya consabida:

“De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa.”

El fin comercial y el carácter no solicitado son las características definitorias de dicho tipo de comunicaciones prohibidas, tal como se desprende del art. 21.1 de la LSSI. De hecho, en este caso se incumple tanto la legislación de protección de datos como la referente a la prestación de servicios de la sociedad de información. Sólo en dos supuestos serían posibles estas comunicaciones: en el caso de que sólo se comunique la existencia ‘nuda’ de la empresa sin tono comercial alguno, o cuando se mantenga el carácter comercial pero las comunicaciones vengan ‘elaboradas por un tercero y sin contraprestación económica.’ Desde luego, una expresión un tanto amplia que seguro más de uno intentará explotar a su favor, pero que, nos parece referida prima facie a usuarios particulares.

En cuanto a la pena, la resolución multó solamente con 600 Euros a la empresa responsable de acuerdo con el art. 21 LOPD. Dicha sanción parece mantener la posibilidad abierta de mantener esta funcionalidad a aquellas empresas a las que no les importe asumir ciertos riesgos. Esto siempre que se entienda que la infracción caiga dentro del tipo 38.4 LOPD de infracciones leves y no en el 38.3 LOPD que eleva el grado de punibilidad cuando se da el carácter masivo de dichas comunicaciones a un número indefinido de personas o más de tres en un año a un solo destinatario.

Si bien la regla general para que las comunicaciones sean legítimas es la existencia de una prestación de servicios o contrato con un usuario, parece que una de las vías más frecuentes para la expansión de las redes sociales encuentra una piedra de toque a nivel legal que, pese a pasar frequentemente desapercibida, es ya todo un hecho.