1/9 Expediente Nº: E/02310/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ORANGE ESPAGNE, S.A.U., en virtud de la denuncia presentada por D.ª B.B.B. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 18/04/2016 ha tenido entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito de D.ª B.B.B. (en lo sucesivo, la denunciante) en el que expone que JAZZ TELECOM S.A.U., (en adelante, ORANGE o la denunciada) ha tratado sus datos personales vinculados a varios contratos celebrados por un tercero quien los facilitó como propios suplantando su personalidad, sin que la operadora denunciada hubiera realizado una comprobación de la identidad del contratante y de la titularidad de la cuenta bancaria, y además ha comunicado sus datos a un fichero de solvencia patrimonial vinculados a la deuda derivada de dichos contratos. La denunciante explica que tuvo conocimiento del fraude por casualidad, cuando el 22/03/2016 solicitó financiación para la compra de un vehículo que fue denegada al encontrarse incluida en ficheros de morosidad. Que posteriormente ha sabido que con fecha 30/12/2014 se contrataron a su nombre las líneas de teléfono e internet L.L.L., H.H.H. y I.I.I.; que la dirección que consta vinculada a dichas contrataciones es calle F.F.F., planta J.J.J., C.C.C., provincia en la que afirma nunca ha residido. La denunciante interpuso por estos hechos una denuncia en la Comandancia de la Guardia Civil de D.D.D. el 31/03/2016 de la que aporta copia. Añade que nunca ha sido cliente de JAZZ TELECOM SAU y que la cuenta bancaria de “UNICAJA” asociada a dicha contratación no le pertenece. Explica que una vez que logró remitir al Departamento de fraudes y riesgos de JAZZTEL la copia de la denuncia presentada en la Guardia Civil la operadora le comunicó telefónicamente que lamentaban el error y que procedía a dar de baja sus del fichero ASNEF, lo que efectivamente sucedió si bien, afirma que sigue constando en los archivos de la entidad una deuda a su nombre extremo del que sin embargo no aporta pruebas. La denuncia se dirige también contra la página web “asnef.informacionnacional.es” que, según manifiesta, induce con engaño bastante a realizar una disposición económica a su favor sin contraprestación de servicio alguno. Se aportan, entre otros, copia de los documentos siguientes: - Fax dirigido a JAZZ TELECOM, S.A.U., el 04/04/2016 y el informe de la transmisión “ok”, en el que pone en su conocimiento los hechos, solicita la baja en los ficheros de solvencia patrimonial y crédito y que le faciliten la información y documentación relativa a las contrataciones objeto de investigación. - Certificado expedido por el Interventor de la Sucursal **** la entidad UNICAJA, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 de D.D.D., en el que hace constar que, consultados los archivos de la entidad, la denunciante no es cliente y nunca ha sido titular de una cuenta. - Copia de varias facturas de JAZZ TELECOM, S.A.U., emitidas a nombre de la denunciante y dirigidas a la dirección de C.C.C. calle F.F.F., de las siguientes fechas: 23/01/2015; 23/02/2015; 23/03/2015 y 23/09/2015. - Carta de EQUIFAX, dirigida a la denunciante, de fecha 29/03/2016, en la que responde al acceso solicitado en fecha 28/03/2016. Según la información facilitada los datos personales de la denunciante fueron incluidos en el fichero ASNEF vinculados a una deuda por importe de 659,45 euros, informados por JAZZTEL con fecha de alta 23/09/2015. - Carta de EQUIFAX dirigida a la denunciante, de fecha 06/04/2016, en la que en respuesta a la cancelación solicitada le informa que se ha procedido a la baja en el fichero ASNEF de los datos asociados a su NIF respecto a la incidencia comunicada por JAZZTEL. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas que se reproduce: << RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN La empresa ORANGE ESPAGNE, S.A.U. en su escrito de fecha de registro 15/7/2016, número de registro 254884/2016 ha remitido la siguiente información pertinente para la investigación: Aportan copia impresa de los datos que figuran en sus sistemas relativos a la denunciante donde consta domicilio C/ F.F.F. PLANTA C.C.C. (dirección que la denunciante manifiesta no le corresponde) y cuenta bancaria de la entidad “UNICAJA” (entidad en la que la denunciante manifiesta no haber tenido cuenta). Respecto de los productos que constan de alta a nombre de la denunciante manifiesta que: Con fecha 30/12/2014 se produce el alta del producto “ADSL Estándar hasta 12 Megas + línea + llamadas” asociado a los números L.L.L., H.H.H., I.I.I.. Además se produjo la venta de un terminal Sony Xperia E3 a pagar a plazos. Con fecha 17/3/2015 se produce la suspensión por impago de todas las líneas. Con fecha 23/6/2015 se produce la baja de todas las líneas contratadas. Aporta copia de tres grabaciones de conversaciones telefónicas mediante las que se contratan los servicios: Archivo de audio de nombre “ ***NOMBRE.1”. Conversación de fecha 30/12/2014 (según se indica en la propia grabación), en la que, a solicitud del agente comercial de JAZZ TELECOM SAU la interlocutora: C/ Jorge Juan, 6 28001 – Madrid o Asiente cuando le solicita confirmación de que apellidos y DNI son los de la denunciante. su nombre, o Asiente cuando se le indica que su domicilio es C/ F.F.F. PLANTA E.E.E.. www.agpd.es sedeagpd.gob.es 3/9 o En esta grabación se refiere la contratación de un servicio de ADSL, aceptando la interlocutora las condiciones del servicio. Archivo de audio de nombre “ ***NOMBRE.2”. Conversación de fecha 5/1/2015 (según se indica en la propia grabación), en la que, a solicitud de la agente comercial de JAZZ TELECOM SAU la interlocutora: o Asiente cuando le solicita confirmación de que apellidos y DNI son los de la denunciante. su nombre, o Indica que su domicilio es C/ F.F.F. PLANTA E.E.E.. o Aceptación de las condiciones de contratación del servicio L.L.L.. Archivo de audio de nombre “ ***NOMBRE.3”. Conversación de fecha 5/1/2015 (según se indica en la propia grabación), en la que, a solicitud del agente comercial de JAZZ TELECOM SAU la interlocutora: o Asiente cuando le solicita confirmación de que apellidos y DNI son los de la denunciante. su nombre, o Asiente cuando se le indica que su domicilio es C/ F.F.F. PLANTA E.E.E.. o Aceptación de las condiciones de contratación del producto Sony Xperia E3. o En esta grabación se refiere además la contratación de una línea móvil, de la cual no se indica la numeración. Respecto de las comunicaciones y contactos que han existido entre esa entidad y la denunciante, manifiesta que ésta se puso en contacto el día 6/4/2015 con el servicio de Defensor del Cliente para comunicar la existencia de un alta fraudulenta a su nombre, solicitando la anulación de los importes facturados así como la baja de sus datos en ficheros de solvencia patrimonial y de crédito. Señala que tras recibir dicha solicitud y analizar los detalles de la contratación, se determinó que había existido un alta fraudulenta, atendiendo la reclamación emitiendo una factura rectificativa por importe de 659.46 euros, que fueron asumidos la entidad y cancelando los datos de la denunciante en los ficheros de solvencia patrimonial y de crédito el día 7/04/2015. Añade que se informó a la denunciante de los trámites realizados. Aporta copia impresa del sistema en relación al expediente ***EXP.1 que refiere la reclamación de fecha 6/4/2015. Adjunta copia impresa del sistema en el que, en relación con la denunciante, figura apuntada la fecha de exclusión de ficheros de morosidad 7/4/2016. Se han emitido facturas mensuales entre enero y agosto de 2015. Manifiesta que todas las facturas han sido impagadas, llegando el importe de la deuda a 659.46 euros. Añade que dicho importe fue asumido íntegramente por ORANGE ESPAGNE, S.A.U. tras la anulación de todas las facturas a consecuencia de la comunicación del fraude por la denunciante. Adjunta copia de las facturas emitidas entre enero y agosto del 2015 a nombre de la denunciante. Aporta también factura rectificativa por importe de 659,46 euros de fecha de emisión 23/5/2016.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” II Corresponde indicar, en primer término, cuál es el marco normativo en el que han de valorarse los hechos expuestos en la denuncia. La LOPD consagra el principio del consentimiento en el tratamiento de los datos de carácter personal y dispone en su artículo 6, bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. Entre los principios de protección de datos a los que la LOPD dedica el Título II figura el de exactitud o veracidad, manifestación del principio de calidad de los datos, recogido en su artículo 4.3 que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29 de la citada Ley Orgánica 15/1999 establece en sus apartados 2 y 4, respectivamente: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Las disposiciones precedentes deben integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
- c)y 3,
- h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por otra parte, el Reglamento de Desarrollo de la LOPD, aprobado por el R.D. 1720/2007, de 21 de diciembre, (en lo sucesivo RLOPD), en su artículo 38 y bajo la rúbrica “Requisitos para la inclusión de los datos” dispone: “1. Solo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).” La exigencia de responsabilidad sancionadora presupone la concurrencia del elemento subjetivo de la infracción, requisito esencial en tanto rige en nuestro Derecho sancionador el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A su vez, la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) –vigente cuando la denuncia examinada entró en la AEPD- proclama en el artículo 130.1 el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Solo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 Por tanto, a la luz de este precepto, la responsabilidad sancionadora puede exigirse a título de dolo como de culpa, siendo suficiente en este último caso la mera inobservancia del deber de cuidado. En la Sentencia de 17/10/2007 (Rec. 63/2006) la Audiencia Nacional (Sala de lo Contencioso Administrativo) expone que “....el ilícito administrativo previsto en el artículo 44.3.
- d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD) En idéntico sentido la Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo 28, bajo la rúbrica “Responsabilidad”, “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” III La presente denuncia versa sobre el tratamiento de los datos personales de la denunciante (nombre, apellidos y DNI) efectuado sin su consentimiento por JAZZ TELECOM, S.A.U., y materializado en haber contratado a su nombre varios productos de telecomunicaciones para las líneas L.L.L., H.H.H. y I.I.I.: ADSL y el servicio telefónico fijo y móvil. La denuncia versa también sobre la inclusión de los datos personales de la denunciante en un fichero de solvencia patrimonial y crédito, informados por la denunciada, por un saldo deudor que deriva de los referidos contratos, deuda a la que la afectada es ajena. Es preciso indicar que en virtud de Escritura Notarial de 08/02/2016 se elevó a público el acuerdo de fusión por absorción celebrado entre ORANGE ESPAGNE, S.A.U., como entidad absorbente, y la mercantil JAZZ TELECOM, S.A.U. Por ello, si bien la conducta que se somete a la valoración de esta Agencia se efectuó por JAZZ TELECOM, S.A.U. ( en adelante JAZZTEL) la actual responsable, en cuanto sucesora de esa mercantil en todos sus derechos y obligaciones, sería ORANGE. Esto explica que nos refiramos indistintamente a JAZZTEL y a ORANGE. A la luz de la documentación que obra en el expediente es un hecho incontrovertido que los datos personales de la denunciante (DNI, nombre y dos apellidos) fueron objeto de tratamiento por la denunciada y fueron incluidos en ficheros de solvencia asociados a una deuda que no le pertenece, de forma que no cumple el requisito del artículo 38.1.a, del RLOPD, toda vez que respecto a la afectada la deuda no es cierta. Cabe citar como prueba del tratamiento efectuado las facturas emitidas por JAZZTEL a nombre de B.B.B. con DNI K.K.K. de las que ella y la denunciada han aportado copias; la carta de EQUIFAX respondiendo al acceso solicitado por la denunciante en la que informa que asociado a su NIF, su nombre y dos apellidos consta una deuda de 659,45 euros, comunicada por JAZZTEL con fecha de alta 23/09/2015. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 El tratamiento de los datos de la denunciante por la denunciada se confirma también por la documentación remitida por ORANGE en respuesta al requerimiento informativo de la Inspección de Datos: impresiones de pantalla de sus sistemas informáticos en las que constan su DNI, nombre y dos apellidos. En todos los casos se atribuye a la denunciante un domicilio en C.C.C., ciudad en la que declara que nunca ha estado domiciliada, y una cuenta bancaria en UNICAJA entidad de la que tampoco ha sido cliente. A tal fin aporta con su denuncia un certificado expedido por el Interventor de una sucursal de dicha entidad en el que declara que no ha sido titular de ninguna cuenta bancaria en ella. En los ficheros de ORANGE la denunciante figura como contratante de varios productos con fecha 30/12/2014: servicio ADSL de hasta 12 megas más una línea de móvil y el servicio telefónico para los números L.L.L., H.H.H. y I.I.I.. También la venta a plazo de un terminal Sony Experia E3. Constatado el tratamiento por JAZZTEL de los datos personales de la denunciante y su inclusión en un fichero de solvencia se ha de verificar si intervino culpa de la denunciada o si ésta omitió la diligencia que era procedente atendidas las circunstancias del caso, imprescindible para que la conducta analizada sea subsumible en los tipos infractores de los artículos 44.3.
- b)y 44.3.
- c)LOPD. ORANGE ha aportado copia de tres grabaciones de las conversaciones telefónicas mantenidas con la persona que facilitó como suyos los datos personales de la afectada, prestó el consentimiento a la contratación de los servicios y productos antes indicados y facilitó como domicilio el ubicado en C.C.C., calle F.F.F., 1, planta M.M.M., código postal J.J.J.. Estas grabaciones demuestran que la denunciada con ocasión de la contratación telefónica celebrada por el tercero que suplantó la identidad de la denunciante adoptó las medidas necesarias para comprobar la identidad del cliente, por lo que la diligencia desplegada priva a su conducta de la culpabilidad necesaria para poder exigir responsabilidad administrativa por conductas que en principio son antijurídicas. A ese respecto son muy esclarecedoras las siguientes SSAN: La de fecha 26/04/2002 (Rec. 895/2009) que expone: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” (El subrayado es de la AEPD) También la SAN de 29/04/2010 que en su Fundamento Jurídico sexto, y a propósito de una contratación fraudulenta, indicó que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 En definitiva, por más que la conducta analizada pueda coincidir, a priori, con los tipos sancionadores previstos en la LOPD –por lo que aquí interesa, el artículo 44.3.b, en relación con la vulneración del artículo 6.1, y el artículo 44.3.c, en relación con la infracción del artículo 4.3- tal conducta no es merecedora de reproche o sanción administrativa al no apreciarse en ella falta de diligencia de la operadora denunciada. Se añade a lo ya indicado que el 06/04/2015 la denunciante contactó con el Defensor del Cliente de la compañía para comunicar que existía un alta fraudulenta a su nombre y que tras las comprobaciones pertinentes JAZZTEL emitió una factura rectificativa por importe de 659,46 euros y con fecha 07/04/2015, con gran rapidez, excluyó sus datos personales del fichero ASNEF. Finalmente, en relación a la denuncia formulada contra la página web “asnef.informacion-nacional.es” por inducir con engaño bastante a realizar una disposición económica a su favor sin contraprestación de servicio alguno, indicar que tal cuestión excede de la competencia atribuida a la AEPD por su normativa reguladora. A tenor de las reflexiones precedentes, habida cuenta de que en el presente caso se ha constatado que ORANGE, entonces JAZZTEL, actuó con una diligencia razonable y adoptó las medidas que la contratación telefónica exige para garantizar la identidad del contratante está ausente el elemento subjetivo de la infracción, por lo que ninguna responsabilidad sancionadora deriva de los hechos que se someten a la valoración de este organismo debiendo, en consecuencia, acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a ORANGE ESPAGNE, S.A.U. y D.ª B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es