1/3 Expediente Nº: E/00436/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante ORANGE ESPAGNE, S.A.U. en virtud de dos denuncias y teniendo como base los siguientes HECHOS PRIMERO: En fecha 12 de enero de 2016 tienen entrada en esta Agencia dos denuncias, en las que los afectados manifiestan que desde el sitio web www.jazztel.com es posible acceder a los datos personales y de facturación de los clientes de JAZZ TELECOM, S.A.U. Ambos denunciantes describen cómo al acceder a la opción de menú “Ayuda”, seleccionando del menú desplegable “ADSL” y a continuación “Tarifas ADSL”, en el menú vertical de la izquierda se activa el área de clientes con datos de una tercera persona. Ambos denunciantes manifiestan haberse puesto en contacto con JAZZTEL para comunicar la incidencia. SEGUNDO: Tras la recepción de las denuncias la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- Según consta en el expediente administrativo, el 8 de febrero de 2016 se produjo, mediante escritura de fusión otorgada ante notario, la fusión por absorción de JAZZ TELECOM, S.A.U. (sociedad absorbida) y ORANGE ESPAGNE, S.A.U. (sociedad absorbente).
- El 18 de enero de 2016 se realiza por parte de personal de la Subdirección de Inspección una prueba que consta en diligencia tratando de reproducir la incidencia. Se siguen los pasos descritos en las denuncias, pero la página web no muestra los datos de ningún cliente. En fechas posteriores se vuelven a reproducir los pasos descritos en las denuncias, sin que se haya podido observar en ningún caso los efectos descritos.
- Durante la realización de una visita de inspección a la sede de ORANGE se constata que: 3.
- Los datos presentados por los denunciantes corresponden con clientes reales de la entidad. Entre los contactos mantenidos por el primer denunciante, no figura ninguno en relación con la incidencia descrita. Entre los contactos mantenidos con el segundo denunciante figura uno de 12 de enero de 2016 con el texto “VALORACIÓN FINANCIERA: 6 7-APTO PLUS 6 12/01/16 EL CLIENTE INDICA QUE ESTAN VIENDO LOS DAROS DE ELLOS EN LA PAG DE JAZZTEL”. 3.
- Consultado el registro de incidencias de la entidad, no figura ninguna incidencia relacionada con los hechos denunciados o que afecte a datos de carácter personal entre el 1 de diciembre de 2015 y el 8 de febrero de
- 3.
- Consultado el registro de modificaciones realizadas al sitio web www.jazztel.com no figura ninguna relacionada con los hechos denunciados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/3 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 9 de la LOPD establece: “
- El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
- No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.
- Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” En el Título VIII del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, se detallan los requisitos de seguridad que han de reunir los ficheros y tratamientos de datos de carácter personal, en función de la tipología de los datos involucrados. Al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el art. 137 de LRJPAC: “
- Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/3 imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. En el caso que nos ocupa, a partir de las actuaciones practicadas por la Inspección de Datos no se ha logrado acreditar, en relación con los hechos denunciados, el incumplimiento, por parte del operador de telecomunicaciones, de ninguna de las obligaciones previstas en los preceptos citados de la normativa de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a ORANGE ESPAGNE, S.A.U. y a los denunciantes. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es