E-03369-2013

1/7 Expediente Nº: E/03369/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ORANGE ESPAGNE S.A.U. en virtud de una denuncia presentada por D. B.B.B. en base a los siguientes HECHOS PRIMERO: Con fecha de 25 de mayo de 2012 tiene entrada en esta Agencia un escrito de B.B.B. en el que declara: <<PRIMERO- Que con fecha 07 de mayo de 2012 causé baja en la compañía FRANCE TELECOM ESPANA S.A. (ORANGE), …, por cursar portabilidad con la compañía KPN SPAIN S.L.U (SIMYO) del número H.H.H.. SEGUNDO.- Que dado que tenía solicitado de Orange el envío de facturas por vía telemática, con fecha 16 de mayo de 2012 me remitieron a mi dirección de correo electrónico ( G.G.G.@..) comunicación de disponibilidad de la factura correspondiente al período comprendido entre el 8 de abril y el 7 de mayo de 2012 (se adjunta correo como documento núm. DOS). A tal fin me indicaron que debía entrar en su página web para poder visualizar y/o descargar la factura (como así venía siendo en anteriores ocasiones). Dado que desde el 7 de mayo de 2012 dejé de ser cliente de Orange, procedieron unilateralmente a darme de baja en su página web por lo que, al tratar de entrar para descargar mi última factura, me resultó imposible acceder a ella. TERCERO.- Que con fecha 17 de mayo de 2012 y ante la imposibilidad de acceder a la factura de abril emitida, les remití fax solicitándoles el envío de dicha factura (Adjunto copia como documento núm. TRES). CUARTO.- Que en esa misma fecha me mandaron sms a mi número de teléfono móvil indicándome que mi reclamación había sido atendida. Poco tiempo después me llegó un correo de la dirección F.F.F.@orange-ftgroup.com remitiéndome la supuesta factura. QUINTO.- Que al abrir el documento adjunto al correo constaté que la factura remitida (con referencia D.D.D.) pertenecía a otro usuario de Orange ( A.A.A.), donde venían reflejados todos los datos de dicha cliente, así como relación de las llamadas efectuadas por la misma. SEXTO.- Que con fecha 18 de mayo de 2012 procedí a solicitar nuevamente a Orange la factura relativa a mi persona y perteneciente al último período de facturación con dicha compañía.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Aporta copia de la siguiente documentación: - Correo electrónico fechado el 16 de mayo de 2012 remitido desde la cuenta de correo E.E.E.@orange.es con destino a la cuenta G.G.G.@....... con el asunto “Orange: Tu factura” en el que se le informa que ya tiene disponible su factura que se puede descargar desde un enlace que se le ofrece en el mensaje. - Fax remitido por el denunciante a Reclamaciones Orange en el que solicita el envío de la factura en papel. Acompaña reporte emisión del fax fechado el 17/5/

1. - Correo electrónico remitido en fecha 17/5/2012 (16:34 h.) desde la cuenta G.G.G. @...... con destino a la cuenta .....@.... con el asunto “Fwd: ultima factura de orange” conteniendo un fichero anexo denominado “FACTURA.pdf”. Dicho correo proviene del reenvió de un correo electrónico previo de la misma fecha (14:40 h.) remitido desde la cuenta F.F.F.@orange-ftgroup.com con destino a la cuenta G.G.G.@...... - Factura de fecha 08/04/2012 a nombre de Dª A.A.A., en la que constan, además del nombre, los siguientes datos de carácter personal: DNI, dirección postal, números de teléfono y consumo detallado (números llamados, fechas, hora y duración de la llamada). Según informa el denunciante esta factura se correspondería con la contenida en el fichero denominado “FACTURA.pdf” que recibió en el correo electrónico enviado por Orange. En fecha 11/6/2013 se emitió resolución del Director de la Agencia por la cual se acordaba la caducidad de actuaciones y se ordenaba el inicio de las presentes actuaciones previas de investigación. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
2. De la información y documentación aportada por ORANGE se desprende: a. Aporta la entidad impresiones de pantalla según las cuales la línea H.H.H. estuvo activada a nombre del denunciante, habiendo sido portada a la entidad con fecha 19/12/2008 como línea postpago y dada de baja por portabilidad con fecha 7/05/
3. b. Aporta la entidad facturas emitidas a nombre del denunciante durante
4. c. Informa la entidad de haber tenido los siguientes contactos con el denunciante: <<- Con fecha 15/02/2012 se recibe una reclamación oficial procedente del Ayuntamiento de Alboraya. El motivo de la reclamación es el mismo que la incidencia anterior, por lo que se indica que ya se procedió a la devolución del importe... - Con fecha 12/04/2012 el cliente contacta con el Departamento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 atención al cliente y libera su teléfono Apple Iphone 4 16 Gigas, aceptando el coste de gestión por importe de 5 €, impuestos incluidos. - Con fecha 25/04/2012 el cliente solicita el envío de la grabación del descuento ofertado y aceptado el 30/11/
5. Se realiza en envío de la misma por correo electrónico. - Con fecha 17/05/2012 se recibe fax en el que el cliente solicita el envío del duplicado de la factura de fecha 08/05/
6. Se realiza en envío del mismo por correo electrónico. - Con fecha 01/06/2012 se recibe fax en el que el cliente solicita el envío del duplicado de la factura de fecha 08/04/
7. Se realiza en envío del mismo y nuevamente el de la factura 08/05/2012 por correo electrónico.>>
8. Se solicita al denunciante que reenvíe copia del documento original a la Inspección de datos, se comprueba que en las propiedades del fichero FACTURA.pdf consta como fecha de generación del mismo el día 12/4/2012, fecha anterior a la de emisión del correo electrónico origen de la denuncia. Igualmente se comprueba que la factura contenida en dicho fichero, de fecha 8/4/2012, se refiere a una persona distinta del denunciante.
9. En fecha 15 de julio de 2013 se realizó visita de inspección a ORANGE en la que los inspectores de la Agencia solicitaron al representante de la entidad que les permita el acceso a los sistemas de información de la misma, en donde se realizan las siguientes comprobaciones: a. Se accede al fichero de cliente usando como argumento de búsqueda el NIF I.I.I., encontrándose éste asociado a D. B.B.B., quien ha mantenido con la entidad líneas telefónicas distintas. b. Se accede al sistema de contactos con los clientes usando como argumento de búsqueda el NIF I.I.I., encontrándose que existen múltiples interacciones con el cliente. Se comprueba que existen dos anotaciones del día 17/5/2012, respecto de un contacto entrante y otro saliente. En el contacto entrante el cliente solicita duplicado de factura, en el saliente se anota que el cliente tiene el móvil apagado y que se le envía un SMS. Se comprueba la existencia de cuatro anotaciones el día 18/5/
10. En la primera consta una anotación según la cual se recibe fax del cliente solicitando duplicado de la factura, e indicando que con fecha 17/5 se le envió una factura perteneciente a otro cliente, por lo que solicita nuevamente el envío. En la segunda se anota que se ha recibido el fax y que han enviado un duplicado de la factura correspondiente al 2 de mayo de 2012 a la cuenta G.G.G.@...... Se comprueba la existencia de una anotación de fecha 1/6/2012 según la cual el cliente solicita factura del mes de abril. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Se comprueba la existencia de una anotación de fecha 4/6/2012 según la cual en dicha fecha se procede al envío de duplicado de la factura solicitada por el cliente.
11. Se solicitó a los representantes de la entidad el acceso a la cuenta de correo electrónico desde la que se realizó el envío de la factura, informando estos que cuando se solicita un duplicado de factura se genera una orden en el sistema de gestión de contactos SIEBEL, que de forma automática genera un correo electrónico que se envía al cliente, junto con el duplicado de la factura que se obtiene directamente desde la cuenta del cliente en el sistema de facturación. Informan los representantes de la entidad que la cuenta de correo electrónico desde la que se envían los duplicados de la facturación por el sistema SIEBEL es C.C.C.@orange.com. Aportan los representantes de la entidad copia de la plantilla que se genera automáticamente por el sistema, así como un ejemplo de correo recibido por una empleada de la entidad y la verificación de la dirección de correo electrónico desde la que se envía el duplicado de facturas.
12. Se entregó a los representantes de la entidad copia del correo electrónico remitido por el denunciante a la Agencia, informando los mismos que la cuenta de correo electrónico F.F.F.@orange-ftgroup.com se corresponde a una cuenta de atención al canal de distribución, cuenta desde la que no se enviaría la factura del cliente, dado que es una cuenta de uso interno para atención al canal de distribuidores, no pudiéndose enviar correos externos.
13. Durante la inspección se solicitó a los representantes de la entidad para que en el plazo de 10 días hábiles aporten la siguiente documentación, sin que se recibiera contestación al respecto: - Copia de las trazas de sistemas del proceso de envío del correo electrónico de fecha 17/5/2012 por el que se envió a D. B.B.B. copia del duplicado de la factura solicitada. Se ha de incluir copia de los logs de correo electrónico correspondiente a dicho envío. - Copia de los logs de correo electrónico correspondientes al día 17/5/2012 para los mensajes enviados desde la cuenta F.F.F.@orange-ftgroup.com con destino a la cuenta G.G.G.@...... FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 II El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. III En el supuesto que nos ocupa el denunciante manifiesta que tras solicitar un duplicado de su factura a Orange, ésta le envía por correo electrónico la factura de un tercero. No obstante, de las actuaciones previas de investigación practicadas por esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Agencia en las dependencias de Orange y una vez analizado sus sistemas, si bien se acredita que el denunciante solicitó duplicado de una factura no hay constancia de que la entidad remitiera factura de otro cliente al denunciante por email. Por otro lado, la cuenta de correo aportada por el denunciante como dirección remitente ( F.F.F.@orange-ftgroup.com) es una cuenta de uso interno para atención al canal de distribuidores, no pudiéndose enviar correos externos. El medio a través del cual se remiten los duplicados de facturas a los clientes es a través de un correo desde la cuenta C.C.C.@orange.com. A este respecto ha de tenerse en cuenta que el Tribunal Constitucional viene manteniendo que los principios y garantías del procedimiento judicial penal son, en principio y con las oportunas modulaciones, aplicables al procedimiento administrativo sancionador, dado que también este es manifestación del ordenamiento punitivo del Estado, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el artículo 137 de LRJPAC: “
14. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Por ello, dada la ausencia de indicios razonables que permitan imputar a la entidad denunciada una posible vulneración de la normativa en materia de protección de datos procede acordar el archivo de las actuaciones practicadas. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
15. PROCEDER AL ARCHIVO de las presentes actuaciones.
16. NOTIFICAR la presente Resolución a ORANGE ESPAGNE S.A.U. y a por D. B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es