1/8 Expediente Nº: E/01487/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ORANGE ESPAGNE, S.A.U. en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20 de enero de 2016, tuvo entrada en esta Agencia un escrito de Dña. A.A.A. (en lo sucesivo la denunciante) en el que denuncia a la entidad ORANGE ESPAGNE, S.A.U. (en lo sucesivo ORANGE) por haber facilitado sus datos personales a una tercera persona sin su consentimiento. En su denuncia manifiesta que, con fecha 15/12/2015, recibió una citación del Juzgado de Instrucción nº 7 de Granada en calidad de imputada por razón de una denuncia formulada por Dña. B.B.B. en la que pone de manifiesto que desde enero de 2015 la entidad ORANGE le efectúa cargos en su cuenta bancaria correspondientes al número ***TEL.1 que es titularidad de la denunciante. Añade que en esa denuncia Dña. B.B.B. manifiesta que ORANGE le informó que dicha línea es de la denunciante y le facilitó su nombre, apellidos, dirección y DNI. La denunciante manifiesta que dicha línea no es suya y que ORANGE, además de sus datos, facilitó a Dña. B.B.B. el código del pedido del teléfono (***CÓD.1) y el número de IMEI del mismo (******1) que fue adquirido en la (C/...1) de Granada. Así mismo, manifiesta realizó una llamada al número de teléfono ***TEL.1, y le respondió su titular, indicándole que la línea es de prepago y que lo adquirió en la citada tienda. Tras realizar varias comprobaciones y gestiones, en atención al cliente de la compañía, le indicaron que en algún fichero el citado número de IMEI está asociado a su nombre. Con fecha 11 de abril de 2016, a solicitud de esta Agencia, la denunciante aportó la siguiente documentación: Copia de la denuncia interpuesta por Dña. B.B.B.s ante la Guardia Civil, con fecha 29 de julio de 2015. Según consta en la diligencia formalizada por la Guardia Civil, Dña. B.B.B. realizó las declaraciones siguientes: “Desde enero de 2015 le vienen cargando en su cuenta bancaria una serie de cargos referentes a la compañía de telefonía móvil Orange, concretamente del número ***TEL.1 tarifa tu mundo, el cual ella desconoce por no ser la titular de esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 línea. Que dicho número del móvil corresponde según la dicente a A.A.A. con DNI… ya que ha sido consultado por la misma en la página web de la compañía de telefonía móvil Orange”. “Que los datos facilitados por la compañía Orange ha sido el código de pedido del teléfono, siendo el ***CÓD.2, número de IME del teléfono con el que se está realizando la estafa, siendo el ******1”. Copia de la cedula de citación del Juzgado de Instrucción número 7 de Granada, recibida por la denunciante en calidad de imputada. Copia impresa de la información que consta en el Portal Cliente de ORANGE, en la que figuran las dos líneas contratadas por la denunciante, ninguna de ellas es la ***TEL.1. Captura de la pantalla de su teléfono móvil, donde figura el número IMEI de su teléfono, que no coincide con el ******1. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. RESPECTO A LA TITULARIDAD DEL NUMERO DE TELEFONO ***TEL.1 En la Inspección realizada en ORANGE, se ha comprobado en el fichero de CLIENTES que se trata de una línea prepago (no genera facturación), figurando los siguientes titulares sucesivos: a. Prepago sin datos con fecha de baja en el año 2007. b. Prepago sin datos con fecha de baja 2010. c. A nombre de C.C.C. en prepago con fecha de baja 2012. d. A nombre de D.D.D., en prepago, hasta marzo de 2014. e. A nombre de E.E.E., desde enero de 2015 y activo en la actualidad. No se ha obtenido constancia de que el citado número tenga o haya tenido como titular ni a la denunciante ni a Dña. B.B.B.s. 2. RESPECTO A LOS CONCEPTOS FACTURADOS A DÑA. B.B.B.S. 1. Se ha verificado que figura en el fichero de CLIENTES como titular de dos contratos de prepago y un tercer contrato con dos líneas a. La línea ***TEL.1 en baja desde febrero de 2016, por impago. b. La línea ***TEL.2, con fecha de baja por impago en febrero de 2016 y alta 2 de septiembre de 2014. c. No consta ningún “Renove” (nuevo terminal) 2. Se han recabado las facturas generadas por las citadas líneas, verificando que: a. La primera es de octubre de 2014 y la más reciente es de marzo de 2016. b. Se accede a la factura de octubre de 2014, verificando que corresponde a las líneas ***TEL.1 y ***TEL.2. c. Se accede a la factura de enero de 2015, verificando que corresponde a las líneas ***TEL.1 y ***TEL.2. d. Se accede a las facturas de junio, julio y agosto de 2015, verificando que corresponden a las líneas ***TEL.1 y ***TEL.2 y que se factura por concepto de “venta a plazos” por importe de 2 euros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 e. Se accede a las facturas de febrero y marzo de 2016, verificando que corresponde a las líneas ***TEL.1 y ***TEL.2. f. Se verifica que el cargo de “venta a plazos” por importe de 2 euros se factura desde junio de 2015 hasta febrero de 2016 y en marzo de 2016 se factura la amortización de terminal por importe de 22 euros. 3. Con fecha 24 de octubre de 2016, ORANGE ha remitido a esta Agencia copia impresa de la información que consta en sus sistemas en relación con el pedido número ***CÓD.1, de un terminal a nombre de Dña. B.B.B., de fecha 16 de enero de 2015, asociado a la línea ***TEL.1, donde consta el abono aplazado del mismo en 24 cuotas de 2€ mensuales. Tanto el número de pedido ***CÓD.1 como el IMEI asociado a este teléfono ******1, coincide con el pedido y número de IMEI que Dña. B.B.B. identifica en la denuncia que interpuso ante la Guardia Civil, como el del teléfono “con el que se está realizando la estafa”. No se ha obtenido constancia de que se haya facturado a Dña. B.B.B., ningún concepto relativo a la línea ***TEL.1. 3. RESPECTO A LOS DATOS DE LA DENUNCIANTE 1. Se ha comprobado que los datos de la denunciante figuran en el fichero de CLIENTES como titular de dos contratos: a. El primer contrato de las líneas ***TEL.3: con fecha de alta 16 de febrero de 2012 y activa en la actualidad, y ***TEL.4, con fecha de alta 8 de mayo de 2015 y activo en la actualidad. b. El segundo contrato de prepago que expiró en agosto de 2014. c. Así mismo, consta un “Renove” (nuevo terminal) de fecha 5 de mayo de 2015. d. Se han recabado copia de las facturas asociadas a la denunciante, verificando que en las facturas de junio y julio de 2015, que corresponden a las líneas ***TEL.3 y ***TEL.4, consta un cargo de “venta a plazos” por importe de 4.01 euros. a. no obteniendo constancia de que conste ningún concepto relativo a la línea ***TEL.1. 2. Respecto al concepto de “venta a plazos” que figura en las facturas de junio y julio de 2015, en el escrito remitido a esta Agencia por ORANGE con fecha 18 de noviembre de 2016, han aportado copia de los datos que les constan en relación con el pedido de un terminal de fecha 9 de mayo de 2015, asociado al número ***TEL.3, donde figura el nombre de la denunciante y el pago del mismo en 24 cuotas de 4,01€. Según manifiestan el pedido se realizó por teléfono, el número de IMEI asociado es el *******2 (no coincide con el número de IMEI que según Dña. B.B.B. correspondía al concepto por el que le facturaban incorrectamente). No se ha obtenido constancia de que la denunciante sea ni haya sido titular de la línea ***TEL.1 ni de que se le haya facturado ningún concepto relativo a dicha línea. Tampoco se obtiene evidencia de que el IMEI ******1 conste asociado a los datos de la denunciante. 4. RESPECTO A LOS CONTACTOS MANTENIDOS CON DÑA. B.B.B.S. 1. Constan dos contactos en relación con los hechos investigados: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 De fecha 25 de julio de 2015, llamada entrante en la que solicita información sobre la factura ya que no ha realizado ninguna renovación de móvil y que le han facturado cuotas por un terminal que no le corresponde. De la misma fecha, llamada de ORANGE en la que le indican que presente una denuncia con objeto de estudiar un posible fraude. 5. RESPECTO A LOS CONTACTOS MANTENIDOS CON LA DENUNCIANTE 2. Constan dos contactos en relación con los hechos investigados: Con fecha 8 de julio de 2016, se persona en tienda realizando reclamación ya que solicita datos sobre líneas de la que no es titular, como consecuencia de una denuncia que se ha presentado contra ella. Contestación a la reclamación de 12 de julio de 2016, en la que le informan de la documentación necesaria para presentar una denuncia. 6. RESPECTO A LOS NUMEROS DE IMEI ASOCIADOS Con fecha 18 de noviembre de 2016, ORANGE ha remitido a esta Agencia la siguiente información en relación con los números de IMEI asociados a las líneas contratadas tanto por la denunciante como por Dña. B.B.B., así como del número ***TEL.1: Línea ***TEL.1, IMEI *******3, con fecha 4 de diciembre de 2015. Línea ***TEL.4 (titular la denunciante); IMEI *******4, con fecha 1 de enero de 2012. Línea ***TEL.3 (titular la denunciante), IMEI *******2, con fecha 12 de mayo de 2015. Línea ***TEL.2 (titular Dña. B.B.B.), IMEI *******5, con fecha 29 de marzo de 2016. Línea ***TEL.1 (titular Dña. B.B.B.), IMEI *******6, con fecha 4 de septiembre de 2014. En la información aportada se verifica que ninguno de los números de IMEI que constan asociados a las citadas líneas se corresponde con el número ******1. No obstante, en la información aportada por ORANGE relativa al “renove” de un terminal a nombre de Dña. B.B.B., de fecha 16 de enero de 2015, asociado a la línea ***TEL.1, figura asociado dicho número de IMEI en esa fecha. TERCERO: Considerando lo expuestos en los Antecedentes anteriores, los Servicios de Inspección de la AEPD, en su informe de actuaciones de investigaciones previas, concluyen que no se ha obtenido evidencia de que, tal y como manifiesta Dña. B.B.B. en la denuncia tramitada ante el Juzgado de Instrucción nº 7 de Granada, el número de teléfono ***TEL.1 este asociado a la denunciante, ni que el código ***CÓD.1 y el número de IMEI ******1 consten asociados a la misma en ningún sistema. Por otra parte, no se ha podido determinar que ORANGE haya facilitado a Dña. B.B.B. datos relativos a la denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II El artículo 4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) regula el principio de calidad de datos y dispone, en sus apartados 3 y 4, lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. “4. Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16” Añade el artículo 8 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, en su apartado 5: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste. Si los datos de carácter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento específico para ello. Cuando los datos hubieren sido comunicados previamente, el responsable del fichero o tratamiento deberá notificar al cesionario, en el plazo de diez días, la rectificación o cancelación efectuada, siempre que el cesionario sea conocido. En el plazo de diez días desde la recepción de la notificación, el cesionario que mantuviere C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 el tratamiento de los datos deberá proceder a la rectificación y cancelación notificada. Esta actualización de los datos de carácter personal no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de las interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre. Lo dispuesto en este apartado se entiende sin perjuicio de las facultades que a los afectados reconoce el título III de este Reglamento.” Así las cosas el responsable del fichero o tratamiento tiene la obligación de mantener en sus ficheros información exacta y puesta al día de forma que respondan con veracidad a la situación actual del titular de los datos personales de que se trate, así como la obligación de actualizar o cancelar de oficio los datos inexactos. Si se mantuvieran datos inexactos y no se realizasen las rectificaciones que procedan se estaría infringiendo el principio de calidad de datos, que prohíbe mantener en los ficheros datos inexactos y no actuales. En este caso, de las comprobaciones realizadas por los Servicios de Inspección de esta Agencia, que accedieron a los sistemas de información de la entidad ORANGE en la visita de inspección realizada en fecha 24/11/2015, resulta que la información contenida en los mismos relativa a la denunciante responde a su situación actual, figurando como titular de las líneas contratadas por la misma, y no de ninguna otra, y con la información correcta relativa a sus terminales. Asimismo, se ha podido comprobar que el número de telefonía móvil, el código de pedido y el número IME de terminal objeto de la denuncia formulada por Dña. B.B.B.s ante la Guardia Civil no figuren en los ficheros de ORANGE asociados a los datos personales de la denunciante Dña. A.A.A.. III Por otra parte, se denuncia por Dña. A.A.A. la vulneración del deber de secreto regulado en el artículo 10 de la LOPD, en el que se establece que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. El deber de secreto (profesional) que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la protección de datos a que se refiere la Sentencia del Tribunal Constitucional 292/2000 y, por lo que ahora interesa, motiva que los datos personales no puedan ser conocidos por ninguna persona o entidad ajena, fuera de los casos autorizados por la Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 El deber de guardar secreto (profesional) que incumbe a los responsables de ficheros y a quienes intervienen en cualquier fase del tratamiento incluye el deber de guardarlos y se contempla como obligación que subsistirá aún después de finalizar las relaciones con el responsable del fichero. En este caso, usted se denuncia que la entidad ORANGE ha incumplido el deber de secreto por facilitar a un tercero (Dña. B.B.B.
- s)información su nombre, apellidos, dirección y DNI, así como el código del pedido de un teléfono (***CÓD.1) y el número de IMEI del mismo (******1). Sin embargo, con su denuncia no se aporta prueba alguna al respecto ni la Inspección de Datos, en las comprobaciones efectuadas, ha obtenido evidencias que prueben de forma fehaciente que la entidad ORANGE entregase dicha información a un tercero. Tampoco es cierto lo indicado en la denuncia presentada ante esta Agencia, según la cual Dña. B.B.B.s declaró en ante la Guardia Civil que la información sobre Dña. A.A.A. le fue entregada por aquella entidad. Según consta en esta declaración, Dña. B.B.B.s se limitó a declarar que obtuvo el nombre y DNI de la denunciante como titular de la línea por la que le realizaban cargos en su facturación consultando ella misma la página web de la compañía, pero sin explicar cómo pudo acceder a la información y sin aportar prueba alguna que lo acredite. Por otra parte, no se entiende cómo Dña. B.B.B.s pudo asociar esa línea a los datos personales de la denunciante dado que en los sistemas de información de ORANGE aparece otra persona como titular de la misma, según quedó de manifiesto en la inspección realizada. Si es cierto que el código del pedido del teléfono (***CÓD.1) y el número de IMEI del mismo (******1) figuraron asociados a Dña. B.B.B.s, pero no a la denunciante. En este orden de ideas, debe tenerse en cuenta que en el ámbito administrativo sancionador son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. El Tribunal Constitucional, en su Sentencia 24/1997, ha establecido que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
- a)La prueba indiciaria ha de partir de hechos plenamente probados.
- b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se hayan obtenido evidencias o indicios de los que se derive la existencia de infracción. En este caso de la documentación aportada por usted y de las comprobaciones realizadas no resultan indicios razonables de los que pueda derivarse el incumplimiento del deber de secreto por parte de la entidad ORANGE. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a ORANGE ESPAGNE, S.A.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es