E-02817-2013

1/8 Expediente Nº: E/02817/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos en virtud de denuncia presentada por D.ª A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 26 de febrero de 2013 tuvo entrada en esta Agencia escrito de D.ª A.A.A. (en lo sucesivo la denunciante) en el que manifiesta que FRANCE TELECOM ESPAÑA, S.A.U, -actualmente ORANGE ESPAGNE, S.A., según consta en la Escritura Notarial otorgada el 31 de enero de 2014 que eleva a público el acuerdo social de cambió de denominación adoptado el 23 de enero de 2014- (en lo sucesivo ORANGE o la denunciada) ha dado de alta la línea de telefonía móvil prepago número ***TEL.1 asociada a sus datos personales sin su consentimiento. SEGUNDO: Tras la recepción de la denuncia, por la Subdirección General de Inspección de Datos se procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos reflejados en el Informe de Actuaciones Previas de Inspección que se reproduce: << ANTECEDENTES Con fecha de 26 de febrero de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara lo siguiente: 1. Que en fecha de 9/1/2011 han contratado a su nombre y sin su consentimiento la línea telefónica ***TEL.1 con la entidad FRANCE TELECOM (ORANGE) a través de la estación de servicio MARIOLA, S.L. de ***POBLACIÓN.1(Valencia). 2. Que dicha línea ha sido utilizado por los adquirientes al objeto de hostigar a personas de su entorno. 3. Que puso en conocimiento los mencionados hechos en conocimiento de la Policía Nacional mediante la correspondiente denuncia. Aporta  Copia de la denuncia de fecha 18/1/2011 ante la Policía Nacional. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8  Copia de la Sentencia número 85/2013 del Juzgado de lo Penal número 18 de Valencia con sede en Torrent. En el apartado de hechos probados de la sentencia se recoge que: “El día 9 de enero de 2011, B.B.B. y C.C.C., ambos sin antecedentes penales, adquirieron, en la estación de servicio MARILA, S.L., sita en la CC 234 de ***POBLACIÓN.1, una línea telefónica prepago de la compañía ORANGE con el número ***TEL.1, utilizando para ello la identidad de A.A.A., ex mujer de José Francisco Sanchis Cambronero, apareciendo aquella como titular de la citada línea”. ACTUACIONES PREVIAS 1. En fecha de 27/12/2013 se solicita información a la sociedad FRANCE TELECOM ESPAÑA, S.A. quien remite escrito de respuesta recibido en fecha de 16/1/2014 del que se desprende lo siguiente: 1.1. Señala FRANCE TELECOM ESPAÑA, S.A. que la línea ***TEL.1 fue dada de alta, en fecha de 9/1/2011, a nombre de A.A.A., habiendo sido dada de baja en fecha de 20/2/2012 por expiración del prepago (indicativo de que la línea no ha tenido uso). 1.2. Afirma FRANCE TELECOM ESPAÑA, S.A. que la contratación se realizó en la modalidad de PREPAGO por lo que no existe contrato físico, si bien afirma que se recabaron, en el momento de la contratación, los datos de nombre y apellidos (A.A.A.), nacionalidad (ESPAÑOLA) y número de documento identificativo (***NIF.1). 1.3. Añade que la contratación del citado número se realizó a través de un distribuidor en base al procedimiento establecido al efecto por FRANCE TELECOM y que adjuntan como anexo. Según dicho procedimiento, se requiere que el cliente muestre presencialmente algunos de los siguientes documentos, sin que la entidad haya recabado copia de ninguno de ellos: 1.3.1.DNI 1.3.2.Pasaporte nacional 1.3.3.Pasaporte extranjero 1.3.4.Tarjeta de residencia. 1.4. Finalmente señala FRANCE TELECOM ESPAÑA, S.A. que no constan contactos habidos con la denunciante y relativos al citado número de teléfono.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37,

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Carácter Personal (en lo sucesivo, LOPD). II La Ley 25/2007, de 18 de octubre, de Conservación de Datos relativos a las Comunicaciones Electrónicas y a las Redes Públicas de Comunicaciones, establece en su Disposición Adicional única, bajo la rúbrica “Servicios de telefonía mediante tarjetas de prepago”: “1. Los operadores de servicios de telefonía móvil que comercialicen servicios con sistema de activación mediante la modalidad de tarjetas de prepago, deberán llevar un libro-registro en el que conste la identidad de los clientes que adquieran una tarjeta inteligente con dicha modalidad de pago. (…) La identificación se efectuará mediante documento acreditativo de la personalidad, haciéndose constar en el libro-registro el nombre, apellidos y nacionalidad del comprador, así como el número correspondiente al documento identificativo utilizado y la naturaleza o denominación de dicho documento…” (El subrayado es de la Agencia) Hasta la entrada en vigor de la Ley 25/2007 la adquisición de una línea de telefonía móvil en la modalidad de prepago suponía el anonimato de la persona –física o jurídica- que contrataba la prestación de ese servicio con la operadora, pues ninguna norma jurídica obligaba a la identificación del adquirente del servicio. A raíz de la Ley 25/2007 se impone a las operadoras de telefonía la obligación de identificar a quienes contratan con ellas la prestación de un servicio prepago debiendo -a tal fin- recoger el nombre, apellidos, nacionalidad y número del documento utilizado para acreditar la identidad del contratante e incorporar estos datos a un libro-registro a cuya llevanza vienen igualmente obligadas. En la actualidad la adquisición de una tarjeta prepago lleva implícita un tratamiento de los datos de carácter personal del adquirente por la empresa de telefonía, conforme a las definiciones que los artículos 3.a y 3.c. de la LOPD ofrecen de “datos de carácter personal” y de “tratamiento de datos”. Cuestión lógica, por otra parte, si tenemos en cuenta que el objetivo que se persigue a través de la Disposición Adicional única de la Ley 25/2007 no es otro que identificar plenamente al adquirente de una línea de esas características. El logro de este objetivo se articula, por una parte, mediante la recogida de los datos de carácter personal de quien adquiere la tarjeta y su incorporación a un libro-registro que debe llevar la operadora y, por otra, mediante la entrega al adquirente de una tarjeta SIM que tiene asignado un número de identificación secreto que será preciso introducir en el terminal móvil para poder hacer uso del servicio. III La LOPD consagra el principio del consentimiento en el tratamiento de los datos de carácter personal y dispone en su artículo 6, bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. Precepto que debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
2. h)de la Ley Orgánica 15/1999: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. De acuerdo con las disposiciones trascritas el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular; exigencia de la que se dispensa al responsable del fichero - entre otros supuestos previstos en la Ley Orgánica 15/1999- cuando el tratamiento se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). Esto, porque el consentimiento al tratamiento de los datos está implícito en el consentimiento otorgado a la contratación misma, en la medida en que el referido tratamiento sea preciso para el cumplimiento del contrato y siempre –obviamente- que quien facilita los datos personales con ocasión de la contratación sea efectivamente su titular. La LOPD califica como infracción grave, tipificada en el artículo 44.3.b), la vulneración del principio del consentimiento (artículo 6) y sujeta a su régimen sancionador tanto a los responsables de los ficheros como a los encargados de tratamiento (artículo 43 LOPD). Ahora bien, la exigencia de responsabilidad sancionadora presupone la concurrencia de un doble elemento: la conducta antijurídica descrita en el tipo sancionador y el elemento subjetivo de la infracción, pues rige en nuestro Derecho el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca la responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999 en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. A su vez, la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) proclama en el artículo 130.1 el principio de culpabilidad en el marco del procedimiento administrativo sancionador y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”.(El subrayado es de la Agencia) Por tanto, a la luz de este precepto la responsabilidad sancionadora puede exigirse tanto a título de dolo como de culpa, bastando incluso la mera inobservancia del deber de cuidado. Así, en la Sentencia de 17 de octubre de 2007 (Rec. 63/2006) la Audiencia Nacional (Sala de lo Contencioso Administrativo) expone que “....el ilícito administrativo previsto en el artículo 44.3.
3. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la Agencia ) IV El núcleo de la denuncia que examinamos es el tratamiento de los datos personales de la denunciante por parte de ORANGE, tratamiento materializado en el alta a su nombre y sin su consentimiento de la línea de móvil prepago número ***TEL.1. Corresponde por tanto examinar si la actuación de la entidad es subsumible en el artículo 44.3.
4. b)de la LOPD. Que los datos personales de la denunciante se trataron por ORANGE vinculados al alta la citad línea es un hecho sobre el que no existe controversia. No solo lo reconoce así la operadora en el escrito de respuesta a la solicitud de información de la Agencia durante las actuaciones de investigación previa llevadas a cabo. También la sentencia de 1 de marzo de 2013 del Juzgado de lo Penal número 18 de Valencia, recaída en el Procedimiento Abreviado ****/2012 seguido contra B.B.B. y C.C.C.., que condenó a ambos como autores de sendos delitos de falsedad de uso de documento de identidad previsto y penado en los artículos 400 bis y 392.2 del Código Penal. En la mencionada Sentencia se recoge el siguiente hecho probado: “El día 9 de de enero de 2011, B.B.B. y C.C.C., (..) adquirieron en la estación de servicio MARIOLA, S.L., sita en (…) una línea de teléfono prepago de la compañía ORANGE con el número ***TEL.1, utilizando para ello la identidad de A.A.A., ex mujer de B.B.B.., apareciendo aquella como titular de la citada línea” Por ello, una vez constatado que la entidad trató los datos personales de la denunciante sin su consentimiento, lo que corresponde examinar es la concurrencia o no del elemento subjetivo de la culpabilidad imprescindible para que pueda exigirse responsabilidad a ORANGE por la infracción del artículo 6 de la LOPD. El análisis se centra, pues, en comprobar si ORANGE, a fin de cumplir la obligación que le impone el artículo 6 de la LOPD, desplegó la diligencia que las circunstancias del caso requerían encaminadas a comprobar la identidad de las personas que prestaban el consentimiento a la contratación y facilitaban como suyos los datos personales de la denunciante. Esto, porque siguiendo los razonamientos anteriores, si quedara acreditado que la entidad observó la diligencia que las circunstancias del caso y el desarrollo de su actividad profesional aconsejan, esto es, la diligencia que era procedente, faltaría el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 elemento subjetivo de la infracción, y su conducta no sería sancionable por más que un tercero hubiera suplantado la identidad de la denunciante en la contratación con ORANGE y le hubiera facilitado los datos personales de aquella. Sobre el grado de diligencia necesario, cuya presencia excluirá el elemento subjetivo de la infracción, nos remitimos a alguna de las explicaciones que ha ofrecido la Audiencia Nacional. Así, en su Sentencia de 17 de octubre de 2007 (Rec. 63/2006) en la que indica: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. (El subrayado es de la Agencia) Por otra parte, la Ley 25/2007 precisa que deberá identificarse al adquirente de una línea de móvil prepago, tratándose de una persona física, “mediante documento acreditativo de la personalidad”. Llegados a este punto debemos recordar que el artículo 137.2 de la LRJPAC establece que “Los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que sustancien”. (El subrayado es de la Agencia) Esta vinculación de las sentencias penales se concreta en aquellas afirmaciones fácticas declaradas probadas que son integrantes del tipo penal que se define y castiga. Descendiendo a las específicas circunstancias del caso que nos ocupa vemos que los mismos hechos sobre los que versa la denuncia presentada en esta Agencia – junto a otros- dieron lugar a la apertura del Procedimiento Abreviado ****/2012 seguido contra B.B.B. y C.C.C.., que condenó a ambos como autores de un delito de falsedad de uso de documento de identidad, previsto y penado en los artículos 400 bis y 392.2 del Código Penal El artículo 392 del Código Penal dispone: “1. El particular que cometiere en documento público, oficial o mercantil, alguna de las falsedades descritas en los tres primeros números del apartado 1 del artículo 390, será castigados con las penas de prisión de seis meses a tres años y multa de seis a doce meses. 2. Las mismas penas se impondrán al que, sin haber intervenido en la falsificación, traficare de cualquier modo con un documento de identidad falso. Se impondrá la pena de prisión de seis mese a un año y multa de tres a seis meses al que hiciere uso, a sabiendas, de un documento de identidad falso.(…)” (El subrayado es de la Agencia) A tenor del hecho que se declara probado por la Sentencia (que se ha reproducido más arriba) el alta de la línea telefónica asociada a los datos personales de la denunciante tuvo su origen en la actuación fraudulenta de los terceros que suplantaron su identidad. Ahora bien, el tipo penal del artículo 392.2. del Código Penal por el que lo suplantadores fueron condenados exige -es un elemento integrante de la conducta típica- que hubieran hecho uso con ocasión de la contratación de la línea de “un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 documento de identidad falso” en cuya falsificación no hubieran intervenido. Del artículo 137 de la LRJPAC, en relación con el contenido de la sentencia, esta Agencia viene obligada a admitir que los condenados B.B.B. y C.C.C., al contratar la línea de móvil prepago con ORANGE a nombre de la denunciante, hicieron uso de un documento de identidad falso cuya finalidad no podía ser otra (pues así se infiere del contexto) que acreditar la identidad de la persona suplantada. En definitiva, se concluye de la Sentencia que quienes facilitaron los datos de la denunciante exhibieron ante ORANGE –o lo que es igual, ante su Distribuidor- un documento acreditativo de la identidad de la supuesta contratante –por más que este fuera falso - y, por tanto, que ORANGE, a través de su Distribuidor sí obró con la diligencia que está obligada a observar en el cumplimiento de la obligación impuesta por el artículo 6 LOPD. La exhibición ante la operadora de un documento de identidad de la denunciante por quienes suplantaron su identidad es relevante para considerar que ORANGE actuó en este supuesto con diligencia, sin que sea obstáculo en tal sentido el hecho de que el documento fuera falso. Es constante la doctrina de la Audiencia Nacional que, en relación con la diligencia que es exigible advierte que no pueden pedirse comportamientos imposibles, como lo sería en el presente caso que el Distribuidor de ORANGE hubiera detectado que el documento aportado no era auténtico. Puede traerse a colación la SAN de 26 de abril de 2002 (Rec 895/20009 en la que expone: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” (El subrayado es de la Agencia) El comportamiento diligente de ORANGE en el cumplimiento de la obligación impuesta por el artículo 6.1 LOPD se evidencia, como se ha indicado, del hecho relevante ya mencionado de que según la Sentencia penal citada en la actuación de los terceros que intervinieron en la contratación de la línea medió un “documento de identidad falso”. La Sentencia condenó a los terceros por la conducta consistente en haber dado de alta la línea de móvil prepago a nombre de la afectada como autores del delito previsto en el artículo 392.2 del Código Penal, que tipifica la conducta consistente en “traficar de cualquier modo con un documento de identidad falso”. También, en esta misma línea, el examen de la documentación que ORANGE remitió a la Agencia en respuesta a las actuaciones de investigación practicadas por la Inspección de Datos, confirma que la operadora tenía establecido un protocolo al que sus Distribuidores debían ajustarse respecto a la actuación a seguir con ocasión del alta de líneas de móvil prepago. En el citado protocolo se prevé expresamente que, en cumplimiento de la Ley 25/2007, cuando el adquirente de una línea móvil prepago sea una persona física de nacionalidad española deberá presentar como documento identificativo el DNI. En consideración a las reflexiones precedentes, y toda vez que en el supuesto que nos ocupa falta el elemento subjetivo de la infracción -pues la operadora denunciada obró con la diligencia que era procedente según la normativa vigente o al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 menos no ha quedado acreditado que no lo hiciera-, hemos de concluir que la conducta de ORANGE ESPAGNE, S.A., no es subsumible en el tipo sancionador del artículo 44.3.
5. b)de la LOPD, por lo que ninguna responsabilidad sancionadora es exigible a la entidad debiendo acordarse el archivo de las presentes actuaciones. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a ORANGE ESPAGNE, S.A. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD) y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es