AI-00122-2025

1/5  Expediente N.º: EXP202409743 RESOLUCIÓN DE CADUCIDAD DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fechas 18 de marzo de 2024 y 3 de junio de 2024 se interpusieron dos reclamaciones ante la Agencia Española de Protección de Datos por una posible infracción imputable a ORANGE ESPAGNE, S.A.U. con NIF A82009812 (en adelante, ORANGE) en las que se pone de manifiesto que, con ocasión de la recogida de un terminal móvil adquirido mediante financiación, se exige el escaneo de su Documento Nacional de Identidad (DNI) como requisito previo para la entrega del dispositivo según la Ley 10/2010, de prevención de blanqueo de capitales. Los reclamantes consideran que dicho tratamiento de datos personales resulta excesivo y no amparado en una obligación legal, alegando que la normativa vigente únicamente exige la identificación del cliente, pero no el escaneo del documento. Los hechos que se pone en conocimiento de esta autoridad en cada una de las reclamaciones son los siguientes: Reclamación 1: La fecha de entrada de la reclamación es de 18 de marzo de 2024 siendo el reclamante A.A.A. (en adelante, la parte reclamante 1). La parte reclamante indica que, al ir a recoger un pedido a un establecimiento físico de la compañía reclamada, la empleada que le atiende le solicita el DNI para escanearlo antes de entregarle el pedido. El reclamante se niega a entregar el DNI para su escaneo y se marcha del establecimiento sin recibir el pedido y poniendo una reclamación en el propio establecimiento. Aporta la reclamación interpuesta en el establecimiento con fecha 16 de marzo de 2024 y un documento de texto en el que exporta la conversación de WhatsApp que mantiene en esa misma fecha con un agente de la compañía que le explica que el escaneado del DNI es la forma de tener pruebas documentales de que el pedido se entregó al cliente y que nadie que no sea él lo ha recogido de forma fraudulenta. En lo que aquí interesa, junto con la reclamación aporta

1. a)documento de texto en el que se exporta la conversación de WhatsApp mantenida por el reclamante y un agente de la compañía, en el que se le explica que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/5 escaneado del DNI es la forma de tener pruebas documentales de que el pedido se entregó al cliente y que nadie que no sea él lo ha recogido de manera fraudulenta, con fecha de 16 de marzo de 2024.
2. b)captura de pantalla de una noticia de una multa de la AEPD a ORANGE. Reclamación 2: En fecha 3 de junio de 2024 siendo reclamante B.B.B. (en adelante, la parte reclamante 2) tiene entrada nueva reclamación en la que la parte reclamante manifiesta que, en fecha 20 de mayo de 2024, tras acudir a un establecimiento de la parte reclamada para recoger un terminal móvil que había acordado con la compañía, la empleada le indica que para la recogida debe escanear su DNI y procede al escaneo del documento, pese a que la parte reclamante le exhibe el DNI y le indica que ya es cliente de la parte reclamada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de cada una de las reclamaciones a ORANGE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fechas 09/05/2024 y 31/07/2024 se recibe en esta Agencia escrito de respuesta a cada uno de los traslados indicando la parte reclamada que, en ambos casos, en un punto de venta se solicitó realizar el escaneo del DNI de los reclamantes por requerirlo así el protocolo establecido (proceso de verificación de la identidad del cliente) para la entrega de terminales de telefonía móvil en establecimiento de ventas, con el objeto de evitar suplantaciones de identidad. En el escrito con fecha 31 de julio de 2024 la parte reclamada que manifiesta lo siguiente: “El proceso de verificación de la identidad del cliente (KYC), es un proceso obligatorio y necesario para verificar y garantizar la identidad del cliente, que implica la verificación y autenticación del documento de identidad aportado, para poder continuar con el procedimiento, en este caso, la entrega del dispositivo adquirido.” TERCERO: Con fechas 18 de junio de 2024 y 3 de septiembre de 2024, de conformidad con el artículo 65.5 de la LOPDGDD, se admitieron a trámite las reclamaciones presentadas. CUARTO: En fecha 19 de agosto de 2024 la AEPD se dictó resolución de archivo de la reclamación 1. En fecha 8 de septiembre de 2024 la parte reclamante 1 presenta recurso de reposición contra dicha resolución de archivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/5 En el marco de la tramitación del recurso de reposición presentado, con fecha 9 de octubre de 2024 la AEPD le traslada a la parte reclamada la documentación aportada por la parte recurrente y le concede trámite de audiencia. En fecha 24 de octubre de 2024 tiene entrada en la sede electrónica de la AEPD las alegaciones formuladas por la parte reclamada, que manifiesta que: “A la luz de los hechos expuestos, ORANGE viene a reiterarse en las alegaciones expuestas en el requerimiento de información emitido en el marco del expediente de referencia a través del cual dice que solicita el DNI con el fin de poder realizar el proceso de verificación y autenticación de la identidad del cliente y poder entregar el pedido, conforme a lo dispuesto en el RGPD.” En fecha 23 de diciembre de 2024 la Directora de la AEPD resuelve estimar el recurso de reposición interpuesto por la parte reclamante 1. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
3. f)y
4. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Actuaciones de investigación El artículo 67 de la LOPDGDD determina lo siguiente, respecto a las actuaciones previas de investigación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/5 “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a dieciocho meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” III Caducidad de las actuaciones En relación con las actuaciones previas, el Reglamento de desarrollo de la LOPD (RLOPD), aprobado por Real Decreto 1720/2007, de 21 de diciembre, en vigor en todo aquello que no contradiga, se oponga o resulte incompatible con lo dispuesto en el RGPD y en la LOPDGDD, en su artículo 122.4 dispone que “El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas”. A tenor de lo dispuesto en los artículos transcritos, las actuaciones previas han de entenderse caducadas si, transcurridos más de dieciocho meses contados desde la fecha de admisión a trámite de la reclamación, no se ha procedido a dictar y notificar el acuerdo de inicio de procedimiento sancionador. En el presente supuesto el cómputo de los dieciocho meses de duración máxima de las actuaciones previas se inició el día 18 de junio de 2024, sin que hasta el momento se haya iniciado procedimiento alguno, por lo que dichas actuaciones deben declararse caducadas. Por lo tanto, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: DECLARAR la CADUCIDAD de las presentes actuaciones previas de investigación. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U. y a las partes reclamantes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/5 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
5. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es