E-00798-2017

1/8 Expediente Nº: E/00798/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ORANGE ESPAGNE, S.A.U. en virtud de denuncia presentada por D.D.D. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 19/01/2017, tuvo entrada en esta Agencia escrito de Dña. D.D.D. (en lo sucesivo la denunciante), en el que denuncia a ORANGE ESPAGNE, S.A.U. (en lo sucesivo ORANGE), por los siguientes hechos: La entidad denunciada ha incluido sus datos en el fichero de solvencia patrimonial y de crédito ASNEF sin requerimiento previo de pago. Tres meses después, cursa otra denuncia ante la AEPD en la que aporta una resolución de la Secretaría de Estado de Telecomunicaciones y Sociedad de la Información (en adelante, SETSI) con origen en una reclamación interpuesta por ella ante dicho organismo con fecha 10/01/2017 denunciando una suplantación en la contratación de los servicios a los que está vinculado el contrato y la deuda. La resolución reconoce el derecho de la denunciante a no abonar las facturas de ORANGE vinculadas a esos servicios contratados, con lo que la deuda no sería cierta. La denunciante aporta en su primera denuncia copia de la siguiente documentación:  Consulta del fichero ASNEF fechada el 21/11/2016 en la que figura inscrita una deuda asociada a la denunciante en calidad de deudora, informada por la entidad denunciada JAZZTEL y relacionada con un producto de Telecomunicaciones. La fecha de alta (primer acreedor) de dicha deuda es 23/09/2015; la fecha de alta último acreedor no está cumplimentada; y la fecha de visualización es también 23/09/2015. El importe asociado a la deuda es 138,72 euros, el domicilio asignado a la denunciante C.C.C., y el número de DNI/NIF coincide con el facilitado por la denunciante a la AEPD, que a su vez es el que figura en su Documento de Identidad. En respuesta al requerimiento de información adicional de la AEPD, la denunciante aportó la siguiente documentación:  Escrito de contestación al requerimiento de la AEPD, en el que la denunciante explica que ha solicitado en dos ocasiones sin éxito la cancelación cautelar de sus datos a la empresa denunciada (se adjunta la documentación correspondiente); que no reconoce el domicilio que obra en poder de la empresa denunciada JAZZTEL S.A.U., el cual, según declara, es inexistente o falso. También incide en que la deuda es inexistente, pero no da más detalle.  Formulario de ejercicio de derecho de acceso al fichero ASNEF PROTECCION, con fecha 24/10/2016 y firmado, en el que la denunciante ejerce el derecho de acceso a sus datos personales inscritos en el fichero ASNEF PROTECCIÓN. La consulta obtenida mediante este formulario parece ser la que aportó la denunciante en su denuncia inicial.  Formulario de cancelación de datos fechado el 04/01/2017 y firmado, por el que la denunciante ejerce el derecho de cancelación de los datos personales del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 fichero cuyo responsable es JAZZTEL S.A.U. En texto manuscrito se lee en la parte inferior: “Cancelación cautelar”.  Carta fechada en 11/01/2017 en la que EQUIFAX IBERICA, S.L., en respuesta al ejercicio del derecho de cancelación recibido el 04/01/2017, informa a la denunciante de que su solicitud no puede ser atendida, dado que los datos han sido confirmados por la entidad denunciada JAZZTEL. Asimismo, en la impresión adjunta de los datos del fichero, con fecha 05/01/2017, se verifica que los datos de la deuda no han cambiado con respecto a los que se observaban la consulta del 21/11/2016.  Formulario de cancelación de datos fechado el 24/01/2017 y firmado, por el que la denunciante ejerce el derecho de cancelación de los datos personales del fichero cuyo responsable es JAZZ TELECOM S.A.U. En texto manuscrito se lee en la parte inferior: “Baja cautelar del fichero de Jazztel, por segunda vez”.  Carta fechada en 31/01/2017, en la que EQUIFAX IBERICA, S.L., en respuesta al ejercicio del derecho de cancelación recibido el 24/01/2017, informa a la denunciante de que su solicitud no puede ser atendida, dado que los datos han sido confirmados por la entidad denunciada JAZZTEL. Asimismo, en la impresión adjunta de los datos del fichero, con fecha 24/01/2017, se verifica que los datos de la deuda no han cambiado con respecto a los que se observaban en la consulta del 21/11/2016. Por último, en una segunda denuncia cursada ante la AEPD y registrada de entrada con fecha 20/04/2017, aporta un documento reciente, clave para el caso:  Resolución del Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información, firmada electrónicamente con fecha 03/04/2017 en relación con el expediente ***EXP.1 de asunto “Reclamación sobre voz”, iniciado a partir de una reclamación presentada por la denunciante con fecha 10/01/2017. C/ Jorge Juan, 6 28001 – Madrid o En la reclamación, la denunciante expuso que el operador JAZZ TELECOM S.A.U. había llevado a cabo la portabilidad de sus líneas F.F.F. y G.G.G. sin su consentimiento, y que el operador suplantó su identidad en la contratación de los servicios. También solicita la exclusión de sus datos personales de cualquier fichero de solvencia patrimonial. o El contenido de la resolución es: reconocimiento del derecho de la reclamante a obtener la baja inmediata en los servicios no solicitados, el derecho a retornar a su operador de origen, y el derecho de no abonar las facturas que pueda haber emitido JAZZ TELECOM S.A.U., acompañado de una compensación económica de los gastos en que la reclamante incurra en dicha operación de retorno a su proveedor original. o Por último, la SETSI se inhibe en lo tocante al examen de la autenticidad de la grabación aportada por el operador (la reclamante deberá acudir a la jurisdicción ordinaria), así como de la legalidad de la cesión de datos a los ficheros de solvencia (la reclamante se deberá dirigir a la AEPD). www.agpd.es sedeagpd.gob.es 3/8 SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: ORANGE en sus escritos de fecha de registro 27/04/2017, 19/05/2017 y 21/06/2017 ha remitido la siguiente información pertinente a los efectos de la investigación: Relativo a la contratación de servicios e información de cliente  Impresión de pantalla de los datos de la denunciante en sus sistemas, en la que se observa el domicilio C.C.C.. El alta de la denunciante tuvo lugar el 14/04/2015, según el escrito de alegaciones, con la contratación de un Pack Ahorro Internet Máxima Velocidad asociado al número F.F.F. y la portabilidad del móvil de línea G.G.G.. La portabilidad de la línea móvil fue cancelada con fecha 23/04/2015 y la línea fija se dio de baja el 29/04/2015.  Respecto a las facturas, sólo se llegó a emitir una, con fecha 16/05/2015 y cubriendo el período desde 22/04/2015 hasta el 14/05/2015, de importe 138,72 euros. Dicha factura, la cual se adjunta en la documentación, fue devuelta por la denunciante con fecha 08/06/2015, y se puede observar en su desglose que 130 euros responden al cobro de los gastos ocasionados por la cancelación del servicio.  La contratación se realizó por vía telefónica. La empresa denunciada dice aportar la grabación de la misma, de fecha 14/04/2015. La grabación, que consta de dos pistas, es de verificación de la contratación de los servicios y de la portabilidad de las dos líneas desde Telefónica S. A. / Movistar, y por tanto, su cometido es verificar la información proporcionada en una llamada anterior, en la cual se produjo la contratación en sí. En la grabación aportada, la interlocutora, supuestamente la denunciante, solo asiente o calla cuando le pregunta la operadora. En determinado momento de la segunda pista, otra persona le dice a la operadora que hable más alto y menos rápido porque su madre no se está enterando.  La verificación de las contrataciones fue efectuada por la empresa TRIA GLOBAL SERVICE S.L. (QUALYTEL), de CIF***CIF.1. No aportan contrato por haberlo hecho ya en numerosos expedientes previos. Relativo al requerimiento previo de pago  Copia de la carta, con referencia ***REF.1 y fechada a 23/06/2015, que remite la entidad denunciada JAZZTEL a la denunciante a la dirección A.A.A. en la que se reclama el pago de la deuda contraída por importe de 138,72 euros, y se advierte de que sus datos podrían incluirse en ficheros de solvencia patrimonial y de crédito de mantenerse la situación de impago en el plazo de 30 días.  Copia del certificado con fecha 18/04/2017 expedido por SERVINFORM S.A. (como prestador del servicio de Envío de Requerimientos de Pago y Cesión de Crédito de la empresa denunciada JAZZTEL en virtud de un contrato marco celebrado en 22/05/2014), de la generación, impresión y puesta en el servicio de envíos postales el día 24/06/2015 de la comunicación de referencia ***REF.1 dirigida a la denunciante a la dirección B.B.B. Hace constar que dicha carta se puso a disposición del servicio de envíos postales para su posterior distribución en el albarán núm. ***ALB.1 con un total de 2117 comunicaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8  Copia del documento acreditativo del gestor postal CORREOS, con número de entrega ***ALB.1 en el que figura la remisión de 2117 cartas con fecha 24/06/2015 en nombre de JAZZ TELECOM S.A.U., sin individualizar una referencia a la carta a la denunciante, y validado por el gestor postal con sello de 24/06/2015.  Copia del certificado expedido por EQUIFAX IBERICA S.L. a fecha 18/04/2017 (en calidad de prestador de servicio de gestión de cartas devueltas de notificación de requerimiento previo de pago, de JAZZ TELECOM en virtud del Contrato Marco celebrado el 21/05/2014), por el cual acredita que no consta que el requerimiento previo de pago de referencia ***REF.1 , generado en EQUIFAX en fecha 23/06/2015, procesado en el prestador de servicio SERVINFORM S.A. (antes EMFASIS Billing & Marketing Services S.L.) con fecha 23/06/2015 y puesto a disposición del servicio de envíos postales con fecha 24/06/2015, dirigido a la denunciante a la dirección B.B.B. haya sido devuelto al apartado de Correos designado a tal efecto.  Copia del contrato, suscrito a fecha 21/05/2014 entre JAZZ TELECOM S.A. y ASNEF-EQUIFAX, que regula la prestación del servicio de generación, impresión, puesta en el servicio de envíos postales, así como gestión de las devoluciones (recogida, tratamiento y custodia), de los requerimientos de pago emitidos por JAZZ TELECOM S.A. Relativo a la regularización de la situación  La empresa denunciada recibió con fecha 16/02/2017 el escrito de la SETSI perteneciente a la reclamación con número de expediente ***EXP.1 en la que la denunciante afirma que no ha contratado ningún servicio con ellos, solicitando el documento físico del contrato y la baja de sus datos de los ficheros de solvencia. A este respecto, alegan que tras las comprobaciones efectuadas y debido a la existencia de la grabación de la contratación efectuada a nombre de la contratante junto con el análisis del departamento correspondiente, se envía respuesta a la SETSI indicando que la contratación es correcta y, por tanto, la deuda es procedente.  Sin embargo, con motivo de dicha reclamación, los datos de la denunciante han sido dados de baja del fichero de solvencia patrimonial y crédito, con fecha 16/02/2017  Las líneas objeto de controversia están dadas de baja actualmente.  Por último, la deuda en cuestión forma parte de una cartera de créditos que se han cedido a la empresa ALTAIA CAPITAL S.L. con fecha 15/03/2017. No aportan el contrato de cesión de cartera de créditos. La empresa EQUIFAX IBÉRICA, S.L. en su escrito de fecha de registro 29/06/2017 (número de registro ***REG.1) ha remitido la siguiente información pertinente a los efectos de la investigación:  Con fecha 29/06/2017 no existen en el fichero de solvencia patrimonial ASNEF operaciones impagadas asociadas al identificador de la denunciante.  La baja de la deuda inscrita objeto de la denuncia fue practicada el 24/02/2017. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 4.3 de la LOPD, que dispone que: "Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado". La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. III El artículo 6.1 de la LOPD, dispone que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones tasadas a la regla general contenida en el 6.1: “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. IV En el artículo 38.1 del Reglamento de la LOPD, con el fin de salvaguardar la calidad de los datos personales que acceden a los ficheros de solvencia patrimonial, en relación con las obligaciones dinerarias a que alude el artículo 29 de la LOPD, señala que la inclusión en los ficheros relativos al cumplimiento o incumplimiento de las obligaciones dinerarias deberá efectuarse solamente cuando concurra, por lo que aquí importa, el siguiente requisito: “
2. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 En cualquier caso, se hace preciso señalar que la Agencia Española de Protección de Datos no es el órgano competente para dirimir si la deuda reclamada a la denunciante era correcta o no, ni su cuantía exacta con carácter definitivo e irrevocable, para eso están los tribunales de justicia en última instancia, aquí de orden civil; a la Agencia le compete determinar si se han cumplido los requisitos legal y reglamentariamente establecidos para la inclusión de los datos personales del afectado en los ficheros de morosidad, en el presente caso ASNEF. O como dice la sentencia de 3 de julio de 2007 de la Audiencia Nacional: "Otra cosa es que para ejercer su competencia (refiriéndose al Director de la Agencia) haya de realizar valoraciones fácticas o jurídicas cuya naturaleza podríamos calificar de prejudicial, y sobre las que no podría adoptar una decisión definitiva con efectos frente a terceros". Pero esas valoraciones sí deben servir a la Agencia para saber que la información trasmitida al fichero contaba con la suficiente veracidad, tal como demanda la Ley. V En el presente caso, la afectada denuncia la inclusión de sus datos en el fichero ASNEF a instancias de ORANGE (aunque la afectada denuncia a Jazztel, dicha entidad que fue absorbida por ORANGE en proceso de fusión en fecha 08/02/2016), por una deuda que sin que le hayan requerido previamente de pago y motivada por una posible contratación fraudulenta derivada de la suplantación de su identidad. ORANGE ha aportado impresiones de pantalla de sus sistemas informáticos donde figuran los datos personales de la denunciante: nombre y apellidos, NIF, número de cuenta, dirección, etc. Asimismo, aporta copia de grabación telefónica en la que figura tanto la portabilidad de dos líneas de telefonía móvil y verificación de la misma en relación con las citadas líneas por empresa independiente en la que una persona confirma el nombre, apellidos, NIF, etc., de la denunciante cuando el operador verbaliza dichos datos, aceptando las condiciones de la contratación. En cuanto al requerimiento de pago exigible a ORANGE, como previo a la inscripción de la deuda en el fichero de solvencia patrimonial ASNEF y que la denunciante invoca como garantía del cumplimiento del principio de calidad de datos establecido en el artículo 4.3 de la LOPD, consta acreditado. Del contenido del expediente y de las actuaciones de investigación realizada por los servicios de inspección de este centro directivo, se desprende la ausencia del elemento subjetivo de culpabilidad necesario para ejercer la potestad sancionadora. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos acrediten el cumplimiento de un nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. Así, La Audiencia Nacional señala en su Sentencia de 19 de enero de 2005, “el debate debe centrarse en el principio de culpabilidad, y más en concreto, en el deber de diligencia exigible a (…) en el cumplimiento de las obligaciones de la LOPD, y no tanto en la existencia misma de la contratación fraudulenta sino el grado de diligencia desplegado por la recurrente en su obligada comprobación de la exactitud del dato”. A tenor de las reflexiones precedentes, y toda vez que en el presente caso está acreditado que ORANGE actuó con la diligencia que era procedente -la diligencia que las circunstancias del caso y el desarrollo de su actividad profesional aconsejan- ya que adoptaron las medidas para identificar a la persona que realizaba la contratación de los correspondientes servicios (según se desprende de los documentos sonoros aportados) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 que excluye la presencia del elemento subjetivo de la infracción, se concluye que la actuación examinada no es subsumible en el catálogo de infracciones de la LOPD. Además, a raíz de la resolución emitida por la SETSI en la que se reconocía el derecho de la denunciante a obtener la baja inmediata en el servicio no solicitado y a no abonar la facturas que le pudiera haber emitido ORANGE, el derecho de la denunciante a retomar los servicios con su operadora de origen y, por último, obtener compensación por los gastos que hubiera satisfecho para volver con su operador de origen, la entidad denunciada ORANGE reacciono con razonable diligencia al dar la baja los datos incluidos en el fichero. Por último, se hace necesario indicar que al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan esta imputación o de la intervención en los mismos del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se ha acreditado elemento probatorio que permita atribuir a ORANGE una vulneración de la normativa en materia de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a ORANGE ESPAGNE, S.A.U. y a D.D.D.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es