1/6 Expediente Nº: E/02889/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad FRANCE TELECOM ESPAÑA S.A. en virtud de una denuncia presentada por Dª A.A.A. y en base a los siguientes HECHOS PRIMERO: Con fecha 25 de marzo de 2013 se recibe en el registro de la Agencia Española de Protección de Datos escrito de Dª. A.A.A. (en adelante la denunciante) en el que manifiesta que un tercero, a través de la compañía France Telecom SAU, actualmente ORANGE ESPAGNE S.A,U ha accedido a sus datos personales sin su consentimiento ocasionándoles graves perjuicios. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos reflejados en el Informe de Actuaciones Precias de Inspección que se reproduce: <<ANTECEDENTES Con fecha de 25 de marzo de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara lo siguiente: Que desde agosto de 2012 se encuentra acosada por B.B.B. de quien sospecha ha accedido a través de ORANGE a sus datos personales, realizando desde entonces todo tipo de actuaciones para perjudicarla: usurpando su identidad ha contratado productos a su nombre, realiza falsas denuncias ante la policía, llama a sus amigos a los que insulta en su nombre, etc. Que tras contactar con ORANGE, el operador le confirmó que el 10/1/2013 se recibió una llamada que según el operador procedía de ella misma, y en la que se solicitó la remisión de un duplicado de su factura a una dirección de correo electrónico. Tras requerir al operador dicha dirección, éste se negó a facilitarla alegando la Ley de Protección de Datos. Aporta los siguientes documentos: • Factura de fecha 26/10/2012 emitida por el operador a su nombre y girada a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 cuenta ***CCC.1 por importe 36,80 €. • Fax de fecha 25/9/2012 remitido por la denunciante a ORANGE en el que insta al operador a no facilitar sus datos personales a ningún tercero ni a realizar cambios en su contrato si el cambio no es solicitado desde la propia línea contratada. • Copia de la denuncia de fecha 14/1/2013 ante la Guardia Civil en la que pone de manifiesto que B.B.B. (DNI ***DNI.1) ha averiguado sus datos personales que está utilizando para perjudicarla. Usurpando su identidad ha contratado productos a su nombre, realiza falsas denuncias ante la policía.>> ACTUACIONES PREVIAS La denuncia tiene entrada en fecha de 25 de marzo de 2013 siendo asignada al inspector actuante en fecha de 18/11/2013 realizándose una inspección en fecha de 17/1/2014 a FRANCE TELECOM ESPAÑA, S.A. en la que se averigua lo siguiente: 1 Los inspectores solicitan y obtienen acceso a los sistemas informáticos de ORANGE al objeto de realizar las siguientes comprobaciones: 1.1 Se accede a la aplicación que gestiona los cuentas y productos contratados por los clientes por el nombre de A.A.A. con NIF: ***NIF.1, domicilio en (C/..............1) de Granada con dirección de correo electrónico .........@hotmail.com y teléfonos de contacto ***TEL.1 y teléfono ***TEL.2 encontrándose que figura como titular del número de móvil ***TEL.2 con fecha de alta 23/4/2012 y en situación de activo al día de la fecha. 1.2 Se accede a la aplicación que gestiona los contactos con los clientes por el nombre de A.A.A. con número de NIF: ***NIF.1 encontrándose numerosos contactos entre las fechas 7/5/2012 y 4/8/
- C/ Jorge Juan, 6 28001 – Madrid 1.2.1 Contacto de fecha 26/9/2012:”Se recibe fax cliente solicita que no se le modifique los datos personales como tampoco cambio de tarifas en su línea de fija y móvil se realiza desglose”. 1.2.2 Contacto de fecha 27/9/2012: “Cliente solicita que no se realicen modificaciones a la línea a excepción de que se llame desde el mismo número, nunca desde otro teléfono, indica que hace unos meses alguien se hace pasar por ella. Cliente indica que cualquier modificación que se realice no respetando su petición no será abonada”. 1.2.3 Contacto de fecha 1/10/2012 hay una llamada saliente donde ORANGE intenta contactar con el cliente sin éxito por lo que se remite un SMS. 1.2.4 Contacto de fecha 1/10/2012 hay un SMS saliente donde ORANGE comunica “A.A.A. hemos recibido tu fax y realizado tu petición…”. 1.2.5 Contacto de fecha 10/1/2013 hay una llamada entrante con el www.agpd.es sedeagpd.gob.es 3/6 siguiente contenido: “cliente solicita ultima factura. Envio” 2 1.2.6 Se comprueba que el sistema dispone de una pestaña denominada “ALERTAS” donde a fecha de 18/1/2012 se activó la siguiente alerta “….ATENCION… NO DAR INFORMACIÓN SI LA CLIENTA NO DA SU CLAVE”. 1.2.7 Se comprueba también que a partir de la fecha 18/1/2013 se activa el que solo se atienda las modificaciones que se realicen desde la propia línea ***TEL.2 viéndose reflejado en los contactos habidos desde dicha fecha. 1.3 Se accede nuevamente a la aplicación que gestiona los cuentas y productos al objeto de verificar los cambios que se han realizado en los correos electrónicos de contacto asociados a de A.A.A. obteniéndose el siguiente histórico: inicialmente el correo electrónico era ........1@hotmail.com modificándose, en fecha de 31/1/2013, a .....2@hotmail.es, volviéndose a modificar, a fecha de 18/4/2013, a ........1@hotmail.com, en fecha de 3/5/2013 a .....2@hotmail.es, el 3/5/2013 .....2@hotmail.es el 7/5/2013 a ........1@hotmail.com, el 18/7/2013 a .....2@hotmail.es, el 3/9/2013 a ........1@hotmail.com, el 13/12/2013 a .........@hotmail.com. 1.4 Se comprueba que en fechad e 20/3/2013 existió una solicitud para que se remita la factura electrónica on-line. La representante de FRANCE TELECOM ESPAÑA, S.A. realiza las siguientes manifestaciones sobre las consultas practicadas: 2.1 El control autenticación denominado básico establecido por ORANGE consiste en solicitar el nombre y apellidos y DNI del cliente. Existe también un procedimiento de autenticación denominado estricto en el que además del control básico se solicitan 3 datos adicionales (ej: dirección del cliente, dirección de la última factura y fecha aproximada de activación de la línea). Adicionalmente ORANGE permite al cliente poder activar una clave o contraseña para el acceso a los datos de su cuenta. 2.2 FRANCE TELECOM ESPAÑA, S.A. ha materializado la petición del cliente realizada mediante su fax de fecha 25/9/2012 mediante la activación de una contraseña y de que no se atiendan modificaciones que no sean realizadas desde la propia línea del cliente, controles que entraron en vigor 18/1/2013 tras las necesarias comunicaciones con el cliente, algunos de ellos fallidos, de acuerdo a los procedimientos de activación de FRANCE TELECOM ESPAÑA, S.A. 2.3 Se observa en el histórico de contactos que desde la activación de los controles anteriormente mencionados, se han producido diversos intentos de accesos a los datos del cliente que no han sido atendidos al no haber pasado la nueva política de seguridad establecida sobre la línea. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 III En el supuesto que nos ocupa, la denunciante manifiesta que Orange ha vulnerado el deber de secreto sobre sus datos personales, en la medida en que un tercero ha accedido a través de esta compañía a sus datos personales, causándole graves perjuicios. No obstante, de las actuaciones previas de investigación practicadas por esta Agencia en las dependencias de la entidad denunciada, se observa que Orange habilitó un procedimiento de autenticación especial en que, además del control básico, se solicitan tres datos adicionales, además de activar una contraseña para el acceso de los datos de su cuenta. Asimismo, del análisis de sus sistemas consta la existencia de llamadas de personas que se hacen pasar por la denunciante solicitando cambios de facturación pero estas solicitudes no prosperan al requerirle la contraseña. A este respecto ha de tenerse en cuenta que el Tribunal Constitucional viene manteniendo que los principios y garantías del procedimiento judicial penal son, en principio y con las oportunas modulaciones, aplicables al procedimiento administrativo sancionador, dado que también este es manifestación del ordenamiento punitivo del Estado, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el artículo 137 de LRJPAC: “
- Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya comprobado los hechos que motivan esta imputación. En el presente caso, no se ha aportado ninguna evidencia o indicios de los que pueda deducirse que a través de la entidad denuncia un tercero haya accedido a los datos de la denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 IV A la vista de las consideraciones precedentes y toda vez que hay una falta de pruebas que acrediten los hechos atribuidos a Orange Espagne, debe concluirse que no existen indicios razonables suficientes para imputar a la citada entidad la comisión de una infracción del artículo 10 de la LOPD, por lo que procede acordar el archivo de las actuaciones previas. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a ORANGE ESPAGNE S.A. y a Dª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es