E-00364-2013

(3)fechado el 18/10/2012 en el que se contienen los datos de su amigo, DNI, y dirección. El denunciante asevera que aportó fotocopias de los DNIs para efectuar el trámite. 2) Manifiesta que días después, accediendo en el área web de clientes de ORANGE, con su usuario y contraseña, puede comprobar que sus dos líneas restantes de las que seguía siendo titular, la ***TEL.2 y ***TEL.3, aparecen a nombre de su amigo. Aporta impresión de “datos personales” que no lleva fecha en la que se aprecia como datos de titular los de su amigo, su dirección, un teléfono fijo, el móvil ***TEL.2, dirección de correo “...@...” y su cuenta bancaria en entidad

1. (1, 4). Aclara que él no consintió dicho cambio ni firmó documento alguno. Continúa indicando que se puso en contacto con ORANGE, pero al no solucionarle el problema, acudió a un punto de venta ORANGE y le volvieron a poner las dos líneas bajo su titularidad. Señala que igualmente, con sus datos de usuario y contraseña en la web de clientes de ORANGE puede acceder a sus datos, ahora correctos, aportando impresión de hoja “datos personales” sin fechar, en los que consta la línea ***TEL.2 y sus datos como titular su dirección y su cuenta bancaria que comienza por
2. (1, 5). 3) C/ Jorge Juan, 6 28001 – Madrid Aporta copia de una reclamación efectuada desde la página de clientes de ORANGE de 20/11/2012 sobre su línea ***TEL.2 declarando que “no pudo remitir” desde el área cliente de ORANGE, desconociendo si se envió por otra vía. En la misma reitera el cambio de una de sus líneas a prepago y cambio de nombre de la misma a un amigo que consta documentado en su formulario. Añade que a los pocos días hace una consulta en la web de área de clientes y puede ver los datos de su amigo como titular de las dos líneas, excepto la cuenta bancaria que es suya. Continúa indicando que a los pocos días www.agpd.es sedeagpd.gob.es 2/7 se dirigió nuevamente al punto de Venta ORANGE nuevamente las líneas bajo su titularidad. y se puso 4) En el escrito de 15/12/2012, el denunciante aporta la impresión de una factura obtenida desde la web, área de cliente. Consiste en la factura número 1112, emitida el 8/11/2012 del período 8/10 a 7/11/2012 por 83,42 €, conteniendo los datos de su amigo, dirección y DNI, y la cuenta bancaria del denunciante 2042 (10 y ss.). En el detalle de los cargos por número, figuran no solo los números ***TEL.2 y ***TEL.3, sino también el ***TEL.1 pero recogiendo de esta solo el período de llamadas de 8 a 17/10/2012, indicando la factura que sobre dicha línea se realizó un cambio de tarifa el 18/10/2012, fecha que coincide con la puesta de línea en prepago y cambio de asignación al amigo del denunciante. 5) Requerida aclaración al denunciante,( fecha en que se produjeron los hechos, número de línea o líneas a los que se refiere su denuncia, documentación que acredite que tiene acceso a información relativa a líneas de un tercero a través del área web e clientes e información de si se le ha facilitado una nueva clave o tiene acceso al área de clientes con su anterior clave) este, mediante correo electrónico de 27/03/2013 indica: a. Ha dejado de ser cliente de ORANGE y ya no tiene acceso al área de cliente. La documentación a la que accedió es la que ya ha presentado. Aporta un cargo por domiciliación bancaria, de fecha 20/11/2012 por importe de 83,42 € emitido por FRANCE TELECOM a la cuenta entidad 2042 de su titularidad. Aporta también factura rectificativa de esta, fechada el 20/02/2013 significando que sustituye a la acabada en 1112 emitida el 8/11/
3. 6) En correo electrónico del denunciante de 2/04/2013, este indica que “cuando aprecié el error de ORANGE fue a final de octubre” y declara que lo que pudo ver en la web área clientes fue la impresión que obra en la denuncia, “datos personales”, el nombre de otra persona, su amigo, junto a su NIF, dirección, pero también se puede apreciar los teléfonos de contacto del denunciante, la cuenta bancaria del denunciante y la dirección de correo electrónico del denunciante. Añade que en ningún momento se le ha cambiado la clave de acceso al área de clientes. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad FRANCE TELECOM ESPAÑA S.A., teniendo conocimiento de: Se efectúa visita de Inspección en la sede de FRANCE TELECOM el 30/05 y 6/06/
4. A) En sus sistemas de Información figura: 1.
5. Los datos de A.A.A., como titular de cinco contratos, entre ellos los correspondientes a las líneas ***TEL.2 y ***TEL.3, ambos en alta con fecha 04/01/2008 y de baja por portabilidad en fecha 21/12/
6. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 1.
7. Se comprueba que la línea ***TEL.1 figura en alta con fecha 04/01/2008 a nombre de A.A.A. y con fecha 17/10/2012 consta una activación de este contrato a prepago. Asimismo figura que, con fecha 18/10/2012, se produce un cambio de titular a favor de B.B.B. y con fecha 26/10/2012 consta una baja del contrato por portabilidad. 1.
8. Se comprueba que B.B.B., ha tenido además de la línea prepago ***TEL.1, dos contratos pospago asociados a las líneas ***TEL.2 y ***TEL.3, ambas desactivadas para este cliente en fecha 02/11/
9. 1.
10. Se comprueba que las líneas telefónicas ***TEL.2 y ***TEL.3 han figurado asociadas a los clientes B.B.B. y A.A.A., y que con fecha 2/11/2012 consta un cambio de titular de B.B.B. a A.A.A.. B) En relación con los cambios efectuados en las líneas ***TEL.2 y ***TEL.3, ORANGE manifiesta que se ha comprobado que al solicitar un cambio de titularidad por parte de A.A.A. a favor de B.B.B. en lugar de dar de baja un contrato y abrir otro contrato a nombre del nuevo titular, se realizó por error una sustitución manual del nombre y los datos principales del antiguo titular por los del nuevo en el mismo contrato sin modificarse la cuenta bancaria ya que no era necesaria al ser una línea prepago. Por este motivo, las dos líneas de contrato de A.A.A. se vieron arrastradas en el cambio de datos personales. “Un cambio de titularidad correcto debería haber implicado la creación de un nuevo contrato para la línea de prepago que se cambiaba de titularidad, de esta manera las líneas de pospago hubieran seguido perteneciendo al antiguo titular, el denunciante. “ “Al no haber un alta y una baja del contrato, sino una modificación de datos, el sistema no envió la señal correspondiente para la eliminación del código de usuario y contraseña por lo que se mantuvo y por tanto al acceder a la web se mostraban los datos del nuevo titular.” Cuando se produjo el cambio de titular el 2/11/2012, que como queda reflejado en las comprobaciones efectuadas provocó un cambio de contrato para las líneas ***TEL.2 y ***TEL.3, y por tanto uno de los clientes solo podía acceder a sus datos. C) ORANGE manifiesta que el acceso a la web tiene como código de usuario el número de línea telefónica y como contraseña la elegida por el cliente. En el caso de que un cliente tenga más de una línea contratada, se permite el acceso a la información de todas sus líneas, siempre que sean del mismo tipo ya que la web diferencia entre telefónica móvil y telefonía fija y ADSL. Cuando una línea se da de baja se desactivan las claves de usuario y contraseña. No obstante, en este caso no se produjo una baja sino una modificación de datos. D) Se ha verificado que en el Sistema donde se registran los accesos a la web que figuran accesos, desde el año 2009 hasta diciembre de 2012, utilizando como código de usuario las líneas telefónicas ***TEL.2 y ***TEL.
11. E) Se verifica que los datos personales que muestra la web, después de la identificación y autenticación del cliente, corresponden a: DNI, nombre y apellidos, dirección de mail, teléfono fijo, teléfono móvil, cuenta bancaria y dirección de envío de factura, a las facturas, los puntos disponibles, servicios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 asociados y consumo del cliente. F) En relación con la reclamación interpuesta por A.A.A., en fecha 20/11/2012, a través de la web en la dirección http://clientes.orange.es...................., se ha comprobado que en el fichero de contactos y reclamaciones de los clientes consta una anotación en fecha 21/11/2012, donde el cliente reclama la existencia de una factura de sus líneas a nombre de otra persona y, respecto a esta reclamación, figura en el Sistema que la incidencia se encuentra resuelta pero no se puede contactar con el cliente. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD precisa: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Tal obligación comporta, en lo que hace al caso, que los datos almacenados en el área clientes de la web de ORANGE, en la que se producen los accesos por el denunciante no pueden ser revelados ni su contenido dados a conocer, teniendo el deber de guardarlos. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena a la relación contractual fuera de los casos autorizados por ley, pues en eso consiste precisamente el secreto. Este deber de sigilo, como venimos declarando desde nuestra Sentencia de 14 de septiembre de 2001 (recaída en el recurso nº 196/2000) resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un "instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos" (STC 292/2000). Este derecho fundamental a la protección de los datos "persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino" (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, "es decir, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 poder de resguardar su vida privada de una publicidad no querida" (STC de tanta cita). No existe indicio alguno que favorezca la tesis del denunciante de que ha existido una brecha de seguridad por cuanto en todo momento el accedió con su usuario y contraseña teniendo acceso a sus líneas. No se acredita que a sus datos haya accedido un tercero. Lo que ha sucedido es que además de tener acceso, ha visionado los datos, pero no de un tercero sino de su amigo. Los datos que de su amigo puede ver el denunciante cuando accede al área cliente de ORANGE no son diferentes de los que obraban en el formulario de cambio de titularidad de su línea a su amigo, que el propio denunciante llevó a cabo el 18/10/
12. (folios 3 y 4, 6). La factura emitida el 8/11/2012 de 83,42 €, a la que el denunciante accedió en su área de cliente, o se le remitió, contiene los datos de su amigo excepto la cuenta bancaria, que es del denunciante, y supuso que se cargase a esa cuenta del denunciante, como acredita el mismo (10 a 15, 23, 26, 28 a 33). Las líneas que se comprenden en esa factura corresponden a consumos que efectúa el denunciante. Esa factura fue corregida en cuanto a los datos del titular según copia que aporta el denunciante el 20/02/2013 (folio 27). También se debe indicar que el consumo del período que comprende esa factura se corresponde con el tiempo en que los datos de las dos líneas del denunciante ***TEL.2 y ***TEL.3 estuvieron anotadas en los sistemas de la denunciada a su amigo, pero el continuaba en poder del uso de las mismas. Diversas sentencias de la Audiencia Nacional han puntualizado que el deber de secreto no se vulnera si los datos a los que se accede son conocidos previamente por la persona que accede a los mismos, con el argumento de que si se conocían previamente, el hecho de su revelación no es algo nuevo que suponga descubrimiento de tal secreto. En este caso, con los accesos al área de cliente de ORANGE que efectúa el denunciante tiene acceso a datos de una persona, su amigo sobre el que conocía los datos a los que accedió, pues el mismo formalizó el cambio de una primera línea a su nombre, y los datos que conoce el denunciante no son diferentes de los que allí figuraban. Es de suponer que dichos datos, incluida la copia del DNI como el denunciante manifiesta, se los proporciona su amigo para hacer el cambio de nombre. Por tanto, no se puede tildar de infracción del secreto de los datos que tiene conocimiento el denunciante sobre su amigo, si antes este se los entregó para hacer otro tramite. Por otro lado, la supuesta manifestación de que el amigo puede ver los datos del denunciante presentes en la factura de 8/11/2012 no aparece acreditada en el procedimiento. Sea acredita que el denunciante la pudo consultar y visionar en el área cliente de la web, pero ello no supone que le fuera remitida al domicilio de su amigo. Para ello, además se debe tener en cuenta que las consultas on line suelen descartar el envío en papel de las mismas, y en este caso la consulta la efectúa el denunciante con sus mismas claves de acceso. Por otro lado, en la Inspección llevada a cabo en ORANGE se constató que aparecía un contacto del denunciante dando cuenta el 21/11/2012 de que la factura de 8/11/2012 porta el nombre de otra persona, con la anotación de la resolución de la incidencia (52,62 a 64). Asimismo, se verificó el escaso período de tiempo en que las dos líneas del denunciante figuraron con el nombre de su amigo de manera irregular, de 18/10 a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 2/11/2011

(92). Producido el cambio de titularidad de la línea prepago, sin cambiar esa línea a otro contrato, se arrastraron las otras dos líneas que se cambiaron o pasaron a figurar a nombre del amigo del denunciante. Al no cambiarse la cuenta bancaria, la factura se cargó en la cuenta del denunciante, que seguía siendo usuario de las líneas. Las contraseñas de acceso a la web, área de cliente para el denunciante, no variaron, por eso durante escaso tiempo el denunciante podía ver los datos de su amigo en dichos accesos. Los hipotéticos perjuicios sufridos por el denunciante con la pérdida de puntos acumulados no son competencia de esta Agencia, apuntando más bien al área de Consumo. Por tanto, dado que no se cometió infracción del deber de secreto, el escaso tiempo que las dos líneas estuvieron en los sistemas de la denunciada bajo titularidad del amigo del denunciante y la celeridad en la resolución del problema, procede el archivo de la denuncia. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:

1. PROCEDER AL ARCHIVO de las presentes actuaciones.
2. NOTIFICAR la presente Resolución a FRANCE TELECOM ESPAÑA S.A. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es