E-01959-2013

1/8 Expediente Nº: E/01959/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad FRANCE TELECOM ESPAÑA S.A. en virtud de denuncia presentada por Don A.A.A.y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 14 de diciembre de 2012, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia de manera sucinta que: “Que una persona desconocida con mi nombre y DNI ha solicitado la portabilidad de una línea de mi propiedad de la Compañía Vodafone a la compañía Orange, como línea de empresa. Que con Orange a mi nombre hay una línea de particular con nº ***TEL.1”. Aporta copia de la siguiente documentación: - Denuncia presentada en fecha 14/11/2012 en la Policía Nacional, en donde se describen los mismos hechos aquí denunciados. - Impresiones de la Intranet de ORANGE relativos al denunciante, según los cuales el denunciante figura como cliente de la entidad. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 25/4/2013 se solicita a la Entidad –ORANGE-- información relativa a D. A.A.A.y de su respuesta recibida se desprende: SOBRE LA CONTRATACION - Respecto de los productos que constan de alta a su nombre: Consta el denunciante en los sistemas de ORANGE como titular de tres líneas: - Número ***TEL.2, línea de prepago, ya expirada. - Número ***TEL.1, línea de postpago, de alta en fecha 28/11/2011 como resultado de una portabilidad, y que continúa activo. - Número ***TEL.3, con alta en fecha 12/11/2012 y baja en fecha 1/01/

1. La línea ***TEL.3 consta asociada al denunciante, pero con domicilio de contrato en (C/.................1) VALENCIA, distinto del informado por el denunciante. Informa la entidad que la línea ***TEL.3 se dio de baja, porque tras una llamada del denunciante a ORANGE en la que negaba la titularidad de la misma, se realizó un estudio interno del caso y se determinó que podría haberse producido un fraude, por lo que se tomaron con la máxima celeridad posible las medidas oportunas para retrotraer la situación al momento anterior a la portabilidad supuestamente fraudulenta. Aporta impresión de pantalla en la que figura la calificación de Fraude en fecha 18/1/
2. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 La venta se formalizó a través de teléfono. Aporta la operadora copia de la grabación de la conversación telefónica mediante la que se realiza la verificación de la contratación por una tercera entidad independiente de ORANGE. En dicha grabación una persona que se identifica con el nombre y DNI del denunciante solicita la portabilidad de la línea ***TEL.3, si bien el domicilio que aporta es distinto del informado por el denunciante. SOBRE LAS COMUNICACIONES CON EL AFECTADO Y ACCIONES EMPRENDIDAS POR LA ENTIDAD - CONTACTOS REGISTRADOS EN EL SISTEMA DE INFORMACION DE LA ENTIDAD: Respecto de las comunicaciones y contactos que han existido entre esa entidad y el cliente, aportan la siguiente información: o En fecha del 3/11/2012, el reclamante se puso en contacto con ORANGE, indicando que no había realizado la portabilidad de la línea ***TEL.3 ni era titular de la misma. Además, solicitó el bloqueo del terminal arguyendo que le habían suplantado la identidad. El caso se remitió al departamento de Fraude con el fin de determinar si realmente se había producido un alta fraudulenta. o El 19/12/2012 el cliente solicitó el derecho de acceso a sus datos personales. Desde ORANGE se le contestó indicando que su solicitud no cumplía con los requisitos formales necesarios al no adjuntar a la misma fotocopia del DNI, y se le instó a solicitar el acceso correctamente. Aporta copia de la solicitud remitida por el cliente, la carta de respuesta enviada por France Telecom, y el acuse de recibo de la misma. o Tras el estudio realizado por el departamento de Fraude de FRANCE TELECOM se abrieron dos incidencias:
3. En la incidencia ***INCIDENCIA.1 se indica lo siguiente: “LÍNEA DESACTIVADA POR GA POR CT NO CONTRATO. CLIENTE NO PASA POLÍTICA Ó VINCULACIÓN NEGATIVA EN LÍNEAS DEL CLIENTE EN CASO DE RECLAMACIÓN ESCALAR CONTROL DE TRÁFICO-SPOC”.
4. En la incidencia ***INCIDENCIA.2 se indica lo siguiente: “GA: SE SOLICITAN AJUSTES PARA LA LÍNEA ***TEL.3 DEL CUST CODE ********** A.A.A.. SOLICITAMOS Y AUTORIZAMOS AJUSTES YA QUE EL TITULAR NO RECONOCE DICHA LÍNEA. EL TITULAR TIENE LA LINEA ***TEL.1 QUE SÍ RECONOCE CON EL CUST CODE **********1 A.A.A.Y DIRECCION DIFERENTE Y DE DIFERENTE PROVINCIA QUE LA LÍNEA NO RECONOCIDA. COMPROBAMOS QUE LA LÍNEA QUE NO RECONOCE Y LA QUE SÍ RECONOCE NO ESTÁN VINCULADAS NI POR TRÁFICO NI POR IMEIS.” o C/ Jorge Juan, 6 28001 – Madrid Paralelamente, el reclamante volvió a solicitar el derecho de acceso a sus datos personales, esta vez de forma correcta. www.agpd.es sedeagpd.gob.es 3/8 Se le contestó informándole sobre los datos que en ese momento constaban en los sistemas de la entidad con respecto a las líneas que fueron dadas de alta con su consentimiento, e indicándole que, en lo relativo a la línea objeto de controversia, tras el estudio de su caso se había procedido al borrado/bloqueo de los datos asociados a la misma, todo ello tras haberse realizado los ajustes correspondientes en la única factura que le fue emitida. Aporta la entidad copia de la solicitud de acceso realizada por el reclamante, así como respuesta que le fue remitida por ORANGE. SOBRE LOS POSIBLES IMPAGOS - Se han emitido una sola factura a la línea ***TEL.3 en fecha 28/11/2012, de la que se ha emitido la correspondiente factura rectificativa, por lo que no queda importe pendiente de pago. En fecha 21/11/2013 se realizó visita de inspección a ORANGE durante los inspectores de la Agencia solicitan al representante de la entidad que les permita el acceso a los sistemas de información, donde se realizan las siguientes comprobaciones: a. Se realiza una consulta sobre la línea número ***TEL.1, encontrándose que dicha línea figura a nombre de D. A.A.A.. Se comprueba que se hizo una petición de portabilidad en fecha 24/11/2011, que fue realizada en fecha 28/11/
5. No consta fecha de baja. Se comprueba que desde el 28/11/2011 fue aplicada la tarifa Delfin 59, realizándose un cambio en fecha 31/7/2013 a la tarifa Ballena 33 SIM. b. Se realiza una consulta relativa a las facturas emitidas al número ***TEL.1, comprobando que figuran facturas emitidas entre el 26/12/2011 y el 26/10/
6. Se realiza impresión de las facturas emitidas en fecha 26/12/2011 y el 26/10/2013, comprobándose que en ambas facturas constan consumos. c. Se realiza una consulta al estado de los pagos respecto de la facturación asociada a la línea móvil número ***TEL.1, comprobándose que todas las facturas constan pagadas. d. Se realiza una consulta al sistema de gestión documental de la entidad, accediéndose al contrato de la línea móvil número ***TEL.1, comprobando que existe un contrato de fecha 19/11/2011, así como copia del DNI de D. A.A.A.. Señalan los representantes de la entidad que la línea fue contratada, usada y sus factura pagadas con total normalidad. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6 de la LOPD, determina: “
7. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.
8. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso, se procede a analizar la reclamación de fecha 14/12/12 en dónde el epigrafiado pone de manifiesto que: “Que una persona desconocida con mi nombre y DNI ha solicitado la portabilidad de una línea de mi propiedad de la Compañía Vodafone a la compañía Orange, como línea de empresa. Que con Orange a mi nombre hay una línea de particular con nº ***TEL.1”. Los hechos expuestos podrán suponer una “presunta” vulneración del contenido del art. 6.1 LOPD ““El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. En fase de instrucción—ex art. 78 Ley 30/92—se procede a solicitar información a la Entidad denunciada—Orange—la cual alega en fecha 24/06/13 que: “El Sr. A.A.A. tiene un total de tres líneas con dicha Compañía:   Línea ***TEL.2: servicio prepago ya expirado. Línea ***TEL.1: servicio pospago en la actualidad continua en activo. La problemática se centra según se desprende de la denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado—folios nº 3 y 4-- en el número de línea: ***TEL.3, que es la que el mismo “indica que no ha ordenado portabilidad” y no en la indicada en su reclamación ante esta AEPD, que señala como: ***TEL.
9. La Entidad investigada—France Telecom (Orange) manifiesta en relación con el nº de línea—***TEL.3—que la misma está asociada a los siguientes datos: D. A.A.A., con nº de NIF: ***NIF.
10. Cuenta bancaria: ***CCC.
11. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 La línea ***TEL.3 fue de dada de baja en fecha 18/01/13 por la Entidad denunciada—France Telecom (Orange), por que tras una llamada del Sr. A.A.A. en la que negaba la titularidad de la misma, se realizó un estudio interno del caso y se determinó que podría haberse producido un fraude, por lo que se tomaron con la máxima celeridad posible la medidas oportunas para retrotraer la situación al momento anterior a la portabilidad supuestamente fraudulenta. A mayor abundamiento, asociado a la línea—***TEL.3—se emitió una única factura con referencia ***FACTURA.1 por un importe de 4,56€, la cual fue rectificada y anulada mediante la correspondiente factura rectificativa, al considerarse la contratación de la línea como fraudulenta. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propia posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). Sobre el modo de efectuarse la contratación de la línea—***TEL.3—la misma se contrató telefónicamente, aportando la Entidad—France Telecom (Orange) copia de la grabación de voz; por lo que se puede considerar que la misma ha actuado con una “mínima” diligencia en la contratación. La intervención de un tercero de mala fe, que dispone de los datos personales del denunciante y se sirve del engaño para obtener un beneficio económico, excluye el elemento subjetivo de la culpabilidad; pues la Entidad denunciada se ve también inmersa en el “presunto” delito y ésta ha adoptado una serie de medidas (vgr. llamada de verificación) tendentes a cumplir la normativa vigente en materia de protección de Datos tendentes a comprobar la identidad del contratante. Sobre las intervenciones de terceros de mala fe, se ha pronunciada la Audiencia Nacional, en supuestos similares al que nos ocupa, así en la SAN de fecha 22/03/12 (rec. Nº 9/2009). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 “Se revocan las sanciones por tratamiento inconsentido de datos y por infracción del principio de calidad del dato por ausencia de culpabilidad de la entidad actora: uso fraudulento de identidad por parte de un tercero”. …Por todo lo cual y a la vista de las especiales circunstancias concurrentes en el caso de autos, no cabe apreciar culpabilidad alguna (ni siquiera a título de culpa o falta de diligencia) en la actuación de la entidad recurrente, que actuó en la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal con una documentación en apariencia auténtica y a ella correspondiente, por lo que estaba legitimada para el tratamiento de sus datos de carácter personal. En consecuencia, al faltar uno de los requisitos exigidos para la imposición de sanción por vulneración del principio del consentimiento consagrado en el artículo 6.1 de la LOPD, procede dejar sin efecto la sanción impuesta por la comisión de dicha infracción." Para mayor seguridad, en la protección de sus datos de carácter personal, puede de estimarlo oportuno ejercer derecho de cancelación ante el responsable del fichero —France Telecom (Orange) que dará lugar al bloqueo de los datos de carácter personal estando únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de estas. A tal efecto deberá dirigir la correspondiente la solicitud, mediante un medio que permita acreditar el envío y la recepción ante el responsable del fichero (vgr. correo certificado con acuse de recibo del Servicio oficial de Correos); indicando los extremos que considere oportunos y acompañando toda la documentación explicativa al efecto; en caso de no ser atendido en el plazo marcado legalmente o desatendida su solicitud puede presentar la correspondiente reclamación ante esta AEPD a los efectos legales oportunos. La “presunta” comisión de un delito (vgr. delito de estafa. Art. 248 y ss LO 10/95) se trata de una cuestión que excede de la competencia de esta AEPD, siendo el Juez de Instrucción del lugar de comisión del hecho delictivo el que tras recibir la correspondiente denuncia, que ya se presentó, el que deberá proceder a enjuiciar el caso en cuestión. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
12. PROCEDER AL ARCHIVO de las presentes actuaciones.
13. NOTIFICAR la presente Resolución a FRANCE TELECOM ESPAÑA S.A. y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es