El Tribunal Administrativo de Düsseldorf ha rechazado el recurso de una empresa de marketing online contra una advertencia formal impuesta por la autoridad de protección de datos por enviar publicidad no deseada a un ciudadano (Az.: 29 K 9714/24). El fallo establece que las direcciones IP, las marcas de tiempo y las direcciones de correo electrónico no bastan para acreditar un procedimiento de doble opt-in válido conforme al artículo 7 del Reglamento General de Protección de Datos (RGPD).
La sentencia subraya que el remitente debe demostrar de forma inequívoca que el titular de la cuenta de correo electrónico consintió expresamente la recepción de publicidad. Una dirección IP identifica un dispositivo o una conexión a internet, pero no a la persona que lo utiliza, por lo que no permite vincular la acción de registro con un individuo concreto. Además, una cuenta de correo electrónico no está asociada a un equipo fijo, lo que refuerza la insuficiencia de ese tipo de registros técnicos.
El tribunal añadió que la propia empresa había declarado ante la autoridad que archivaba copias de los correos de confirmación en una dirección interna para poder imprimirlos en caso de inspección. El hecho de no haber aportado esa copia en el procedimiento llevó a los jueces a concluir que el mensaje de confirmación nunca llegó a existir en el caso concreto. La advertencia de la autoridad de control de Renania del Norte-Westfalia se considera así un acto administrativo legítimo y proporcionado, que constituye una declaración vinculante y reprobatoria de la infracción, aunque no conlleve multa.