1/6 Procedimiento Nº: E/00536/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 28 de diciembre de 2015, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el reclamante) en el que se dirige contra ORANGE ESPAGNE, S.A.U. por los siguientes hechos: El reclamante tiene un contrato con la entidad ORANGE ESPAGNE, S.A.U. (número de contrato ***CONTRATO.1). ORANGE ESPAGNE, S.A.U. facilitó al reclamante la posibilidad de acceder a sus servicios a través de la página web, con varias claves de acceso, secretas y personales. Tras tener problemas con su línea telefónica, el reclamante acude al establecimiento comercial de ORANGE ESPAGNE, S.A.U. sito en C/ Uría de Oviedo, donde le comunican que una persona no identificada había efectuado un pedido de un teléfono por importe 800 € a su nombre, pero para entregar en la ***DIRECCIÓN.1, y con el número de teléfono de contacto ***TELÉFONO.
- Dicho pedido se anula en el establecimiento en ese momento. El 17/12/2015 la abogada Dña. B.B.B., en representación del reclamante, envía Burofax a ORANGE ESPAGNE, S.A.U., en el que solicita el expediente completo asociado a la incidencia número ***INCIDENCIA.1 (en la que supuestamente informa a ORANGE ESPAGNE, S.A.U. del uso fraudulento), y solicita el ejercicio del derecho de acceso a los datos personales del reclamante que obren en los ficheros de ORANGE ESPAGNE, S.A.U. Tras recibir comunicación fechada el 21/12/2015 de ORANGE ESPAGNE, S.A.U en la que se requiere ejercer de nuevo la solicitud adjuntando copia del documento nacional de identidad, la abogada, en representación del reclamante, envía de nuevo con fecha 29/12/2015 escrito de solicitud de ejercicio del derecho de acceso a ORANGE ESPAGNE, S.A.U. Manifiesta que no ha recibido respuesta por parte de esta entidad. Entre tanto, se tramitó un nuevo pedido fraudulento de un teléfono a nombre del recurrente (y con cargo al mismo). Dicho pedido se cancela. Ante este nuevo hecho fraudulento el reclamante revisa su área personal en la web de ORANGE ESPAGNE, S.A.U y se percata de que todos sus datos personales a excepción de la cuenta bancaria (que permanecía la del reclamante) habían sido alterados. Por los hechos descritos el reclamante ha interpuesto denuncian penal por posible delito de revelación de secretos y estafa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Entiende que, a la luz de los citados hechos, ORANGE ESPAGNE S.A.U debería responder en su calidad de infractor de varias conductas, a saber: Impedimento para acceder a la información solicitada por el otorgante Contratar sin consentimiento Vulnerar el deber de secreto Falta de seguridad El reclamante aporta copia de la siguiente documentación: Fotocopia del Documento Nacional de Identidad Copia del contrato de fecha 15/4/2015 y número ***CONTRATO.1 de cliente particular de telefonía móvil establecido entre el reclamante y la entidad ORANGE ESPAGNE, S.A.U., en el que figuran como servicios contratados los números de teléfono ***TELÉFONO.2 con terminal asociado “Terminal Libre” y ***TELÉFONO.3 con terminal asociado “APPLE IPHONE 6 16GB”. Documento que, según expone el reclamante, fue facilitado por el comercial de ORANGE en el establecimiento comercial sito en ***DIRECCIÓN.2 en el momento de anular el pedido supuestamente fraudulento. Contiene información relativa al mencionado pedido. Copia del burofax enviado el 17/12/2015 a ORANGE ESPAGNE, S.A.U. en el que solicita el expediente completo asociado a la incidencia número 196UIOEZ y se ejerce el derecho de acceso. Copia de la carta fechada el 21/12/2015 enviada por ORANGE ESPAGNE, S.A.U. al reclamante en el que solicitan que subsane la solicitud de acceso adjuntando copia de su DNI. Copia de la carta fechada el 29/12/2015 enviada por la abogada Dña. B.B.B. en representación del reclamante en la que manifiesta adjuntar copia del DNI para la subsanación de la solicitud realizada mediante burofax el 17/12/
- Copia impresa de los mensajes SMS enviados por ORANGE ESPAGNE, S.A.U al reclamante. Copia impresa de la pantalla del área personal del reclamante en la página web ORANGE ESPAGNE, S.A.U. en la que manifiesta que los datos consignados, a excepción de la cuenta bancaria, no le corresponden. Copia de la denuncia interpuesta el 30/12/2015 por el reclamante contra ORANGE ESPAGNE, S.A.U. en la Comisaría de ***LOCALIDAD.1 (Unidad de delitos económicos) cuyo número de referencia es: “Delincuencia Económica Rº Sda. ***REFERENCIA.1 Copia de documentos justificativos de gastos en los que el reclamante manifiesta haber incurrido en la realización de estos trámites. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN La empresa ORANGE ESPAGNE, S.A.U en su escrito de fecha 9/5/2016 ha remitido la siguiente información pertinente a los efectos de la investigación: - Copia del DNI del reclamante y del contrato de fecha 15/4/2015 y número ***CONTRATO.1 de cliente particular de telefonía móvil establecido entre el reclamante y la entidad ORANGE ESPAGNE, S.A.U., en el que figuran como servicios contratados los números de teléfono ***TELÉFONO.2 con terminal asociado “Terminal Libre” y ***TELÉFONO.3 con terminal asociado “APPLE IPHONE 6 16GB”. - Copia impresa de los datos que figuran en sus sistemas relativos al reclamante donde consta dirección de contacto ***DIRECCIÓN.3 y números de teléfono asociados ***TELÉFONO.2 y ***TELÉFONO.
- La dirección coincide con la que el reclamante ha facilitado a la AEPD y los números de teléfono con los que figuran en el contrato adjuntado. - En su escrito de respuesta a la solicitud de información, ORANGE ESPAGNE, S.A.U manifiesta que las líneas asociadas al reclamante (***TELÉFONO.2 y ***TELÉFONO.3) se portaron a ORANGE ESPAGNE, S.A.U el 17/4/2015, continúan activas, y sobre las mismas no constan facturas pendientes de pago ni anuladas. - Copia de las condiciones generales de los servicios de Orange que regían a la fecha de realización del contrato. La cláusula “14” referida a la protección de datos refiere que “Los datos personales facilitados serán tratados por Orange para la administración y gestión del Servicio y en su caso, de los Servicios de Valor Añadido. Dicho tratamiento se llevará a cabo bajo estricto cumplimiento del deber de guardar secreto y bajo la adopción de todas las medidas necesarias para evitar su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología”. - Documento en el que ORANGE ESPAGNE, S.A.U manifiesta que contiene información de los pedidos “renove” de teléfonos móviles realizados vía internet a nombre del reclamante que fueron cancelados ya que éste no los reconoció. Ambos incluyen nombre y DNI del reclamante en el apartado “datos de socio”, y el número de teléfono ***TELÉFONO.2, la descripción “SAMSUNG G. S6 EDGE+ 32GB NEGRO (G928F) + REEMPLAZO TRIPLESIM NFC 2015”, y la oferta “pago a plazos 30,5€/mes x 24 meses” en el apartado “oferta”. El primer pedido está fechado el 13/12/2015 y el segundo el 18/12/
- - Al respecto de las comunicaciones y reclamaciones establecidas entre el reclamante y ORANGE ESPAGNE, S.A.U expone en su escrito de respuesta a la solicitud de información que: C/ Jorge Juan, 6 28001 – Madrid o En fecha 14/12/2015 se abrió la incidencia “***INCIDENCIA.2” porque el reclamante no reconocía un cambio de dirección y un pedido de “renove” realizados. ORANGE ESPAGNE, S.A.U manifiesta que se canceló el pedido y se informó al reclamante de que tenía que poner una denuncia. o En fecha 17/12/2015, interacción “***INTERACCIÓN.1”, el reclamante consulta por el pedido cancelado en la incidencia anterior. Se le informa del estado de este. www.aepd.es sedeagpd.gob.es 4/6 o Con fecha 17/12/2015, consta una interacción (***INTERACCIÓN.2) en la que se indica que el reclamante ha ido a la Policía a poner la denuncia y le han informado que los hechos no constituyen un delito de acuerdo con Código Penal. Se le informa que para poder seguir adelante con las gestiones de la incidencia es necesaria la denuncia. En el “pantallazo” que asocia a esta incidencia figura el texto “SOLAMENTE PUEDE APORTAR UNA RECLAMACIÓN APORTADA POR SU ABOGADA Y QUE YA ENVIÓ POR BUROFAX A LA SEDE”. ORANGE ESPAGNE, S.A.U asimismo desea hacer consta que “el uso ilegítimo de los datos personales por parte de un tercero, con objeto de cometer un ilícito penal, debe ser puesto en conocimiento de los Cuerpos y Fuerzas de Seguridad del Estado, para que el mismo sea juzgado por la jurisdicción penal competente. ORANGE no tiene constancia de la interposición de la referida denuncia ante la policía”. o En fecha 18/12/2015, interacción “***INTERACCIÓN.3”, el reclamante indica que le ha llegado un SMS que le informa de la tramitación de otro pedido que no reconoce. Se cancela el pedido. En el “pantallazo” que asocia a esta incidencia figura el texto “ENTIDAD RELACIONADA ***INCIDENCIA.1”. o El 21/12/2015 se recibió una petición de derecho de acceso, gestionada en la solicitud “***SOLICITUD.1”. Se cerró el 21/12/2015 indicando que la petición no cumplía los requisitos formales al no adjuntar la fotocopia de su DNI. - Copia del comunicado enviado por el reclamante fechado el 17/12/2015 enviado a ORANGE ESPAGNE, S.A.U. en el que solicita el expediente completo asociado a la incidencia número ***INCIDENCIA.1 (en la que comunica el uso indebido que ha habido de sus datos personales) y ejerce el derecho de acceso. - Copia de la comunicación fechada el 21/12/2015 enviada por ORANGE ESPAGNE, S.A.U. al reclamante en el que solicitan que subsane la solicitud de acceso adjuntando copia de su DNI. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En el presente caso, el reclamante manifiesta que se ha producido una suplantación de su identidad en la medida en la que han accedido a la web de Orange en dos ocasiones, compañía de la que es cliente, para realizar un pedido a su nombre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 para que el mismo fuera enviado a otra dirección diferente a la suya, pero cargado en su cuenta corriente. Por estos hechos manifiesta que Orange ha vulnerado los artículos 9 y 10 de la LOPD que establecen lo siguiente: “Artículo 9 Seguridad de los datos
- El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
- No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.
- Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley. Artículo 10 Deber de secreto El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” En este sentido es preciso destacar que la solicitud de los terminales, tal y como se señala tanto por el reclamante como por el reclamado, se llevó a cabo desde la página web de Orange, por lo que para acceder a ella, concretamente al área de clientes desde donde se gestionan diversos trámites de los clientes, entre ellos la solicitud de un terminal asociado a una línea (como es el caso) se ha de introducir un usuario y una clave. El reclamante manifiesta en su reclamación que Orange le facilitó “varias claves de acceso secretas y personales”, de lo que se deduce que para solicitar los terminales vía web a los que hace referencia, hubo que hacer uso de esa clave personal e intransferible sólo conocida por el mismo. El mal uso o el uso indebido mediante suplantación de identidad por parte de un tercero no es imputable a Orange, ya que cumplió con las oportunas medidas de seguridad al solicitar usuario y clave para la gestión del trámite. De acuerdo a estos criterios, se puede entender que Orange empleó una razonable diligencia, ya que adoptó las medidas necesarias para identificar a la persona que realizaba la solicitud de los terminales. Junto a ello debe resaltarse que desde el momento en que la entidad reclamada tuvo conocimiento de la reclamación interpuesta por el reclamante procedió a cancelar los pedidos solicitados. III Se ha de concluir, que tras el análisis de los hechos reclamados y de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a Orange una vulneración de la normativa en materia de protección de datos, en la medida en que actuó con diligencia. En el caso de que pudieran derivar de una posible usurpación de personalidad llevada a cabo por un tercero, habrá de pronunciarse el correspondiente organismo jurisdiccional competente en razón de la materia, al no corresponder a la Agencia Española de Protección de Datos enjuiciar las actuaciones delictivas que se puedan derivar del presente caso Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a ORANGE ESPAGNE, S.A.U. y a D. A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es