1/5 Expediente Nº: E/03859/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ORANGE ESPAGNE S.A.U. en virtud de una denuncia presentada por Dª A.A.A. en base a los siguientes HECHOS PRIMERO: Con fecha 2 de mayo de 2013 se recibe en el registro de la Agencia Española de Protección de Datos escrito de Dª A.A.A. en el que se pone de manifiesto los siguientes hechos: La denunciante ha sido cliente de ORANGE ESPAGNE S.A.U (en adelante ORANGE) hasta el 20 de febrero de
- Al solicitar telefónicamente el envío del duplicado de su factura ha recibido la factura de un tercero. Adjunto a la denuncia, se ha aportado copia de la mencionada factura. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Tal y como consta en el Acta de Inspección E/38059/2013/-I/1 realizada el 28 de noviembre de 2013 en ORANGE:
- En los Sistemas de Información de ORANGE consta Dª A.A.A. como titular de la línea ***TEL.1 con fecha de alta 22/11/2012 y en baja por portabilidad en fecha 20/02/
- Como domicilio consta una dirección de Madrid y con dirección de correo electrónico ..........@hotmail.com. Asimismo figura que se han generado 6 facturas a este cliente, la última de ellas de fecha 26/04/
- En los Sistemas de Información de ORANGE consta D. B.B.B. como titular de la línea ***TEL.2 en activo con fecha de alta 01/04/
- Como domicilio figura una dirección de Jaén y dirección de correo ...@.... Asimismo consta que el cliente tiene facturación electrónica y que entre las facturas generadas para este cliente figura la factura de fecha 16/04/2013 que coincide con la aportada por la denunciante.
- En los Sistemas de Información de ORANGE donde se registran los contactos, incidencias y reclamaciones de los clientes se ha verificado que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 3.
- Con fecha 2/04/2013 consta la anotación de “Factura ORANGE”. 3.
- Con fecha 28/06/2013 figura una anotación respeto de una reclamación ante una Junta Arbitral y en las comprobaciones que la entidad realiza ante esta reclamación consta una “interacción relacionada” donde se indica “cl dada de baja de ORANGE desea que se le envíe última fact de fecha 26/03/2013 en la que se carga cp por baja anticipada”. 3.
- No se ha obtenido ninguna constancia de que B.B.B. haya solicitado un duplicado de factura.
- Se ha verificado que no hay ninguna modificación de datos de dirección postal en ninguno de los dos clientes.
- ORANGE manifiesta que los datos que figuran en las facturas de ambos clientes son correctos y la fecha que figura en la interacción con la denunciante registrada como “Factura ORANGE” es 2 de abril de 2013 y la factura aportada por la denunciante es de fecha 16 de abril de 2013, lo que indica que la emisión de esta factura no se había realizado en el momento en que la denunciante solicitó el duplicado de su factura, por lo que consideran que no hay ninguna acreditación de que se haya enviado la factura erróneamente. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. III En el supuesto que nos ocupa, la denunciante manifiesta que, tras solicitud de duplicado de factura a Orange, esta entidad le remite factura de un tercero. No obstante, de las actuaciones previas de investigación practicadas por esta Agencia en las dependencias de France Telecom y una vez analizado sus sistemas, si bien se acredita que la denunciante solicitó duplicado de una factura no hay constancia que la entidad remitiera factura de otro cliente a la denunciante. A este respecto ha de tenerse en cuenta que el Tribunal Constitucional viene manteniendo que los principios y garantías del procedimiento judicial penal son, en principio y con las oportunas modulaciones, aplicables al procedimiento administrativo sancionador, dado que también este es manifestación del ordenamiento punitivo del Estado, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el artículo 137 de LRJPAC: “
- Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. En el presente caso, no se ha aportado ninguna evidencia o indicios de los que pueda deducirse que la entidad denunciada enviara documentación de un tercero a la denunciante. IV A la vista de las consideraciones precedentes y toda vez que hay una falta de pruebas que acrediten los hechos atribuidos a ORANGE ESPAGNE debe concluirse que no existe prueba de cargo suficiente para imputar a la citada entidad la comisión de una infracción del artículo 10 de la LOPD, por lo que procede acordar el archivo de las actuaciones previas. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a ORANGE ESPAGNE S.A.U. y A.A.A.. a Dª De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es