← España

E-04919-2014

1/9 Expediente Nº: E/04919/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ORANGE ESPAGNE S.A.U. en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 13 de junio de 2014 tiene entrada en esta Agencia un escrito de D. A.A.A. , en adelante el denunciante, en el que manifiesta que se utilizaron sus datos para comprar un terminal que en ningún momento solicitó ni recibió y que se duplicó la tarjeta y se hizo uso de ella. Todo ello fue denunciado ante la policía nacional y la fiscalía. Junto con el escrito de denuncia se aportan, entre otros, copia de los siguientes documentos:

  1. Reclamación presentada el 16 de septiembre de 2013 por el denunciante ante el servicio de consumo de la Junta de Castilla-La Mancha y de los escritos intercambiados entre las partes actoras en el transcurso de la reclamación en la que se describen los siguientes hechos: 1.
  2. Los días 9 y 10 de septiembre de 2013 recibe en las líneas que utilizan su mujer, su hijo y el mismo unos mensajes notificando el cambio de tarifas y el envío de unos terminales que no ha solicitado. 1.
  3. Los mismos días 9 y 10 pone en conocimiento de ORANGE ESPAGNE S.A.U, (en adelante ORANGE), los hechos y solicita la cancelación de todos los pedidos. 1.
  4. El 11 de septiembre, al observar que su línea no funciona y que la línea está siendo utilizada por otra persona se pone en contacto con ORANGE que le informa de que se ha solicitado un duplicado de su tarjeta, cosa que sólo se puede hacer desde una tienda ORANGE. 1.
  5. Tras solicitar una nueva tarjeta comienzan a recibir, él mismo y su mujer e hijo mensajes en relación a traspasos de saldos que no han solicitado y nuevos mensajes de cambios de tarifa y solicitud de terminales que ORANGE le indica que no puede anular.
  6. Denuncia presentada ante la policía nacional el 11 de septiembre de
  8. Facturas emitidas los días 26 de los meses de agosto, septiembre y octubre de 2013 y febrero y marzo de
  9. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: En una de las páginas del sitio web de ORANGE1 se indica, en relación a la solicitud de duplicado de tarjeta que el duplicado se puede solicitar en caso de robo del teléfono, avería de la tarjeta SIM o cambio tecnológico. En cualquier caso otra de las páginas2 indica que el duplicado puede obtenerse a través de una tienda física o llamando al
  10. Con fecha 30 de septiembre de 2014 se solicita a ORANGE que responde mediante escrito de 14 de noviembre de 2014 y el 21 de mayo de 2015 se realizó una vista de inspección a la sede de la entidad. De la inspección y el escrito se desprenden los siguientes hechos:
  11. En los sistemas de ORANGE constan a nombre del denunciante tres líneas de telefonía móvil:  La línea G.G.G. el 2 de septiembre de 2009 y la baja el 30 de enero de 2014  La línea F.F.F. el 2 de septiembre de 2009 y la baja el 28 de julio de 2014  La línea E.E.E. el 25 de abril de 2011 como línea prepago, migrada a pospago el 8 de julio de 2013 y dada de baja el 28 de julio de
  12. Todas las líneas fueron dadas de baja por portabilidad.
  13. Los hechos descritos en la denuncia y que fueron realizados suplantando su identidad se refieren: 2.
  14. La compra de terminales con venta a plazos a nombre del denunciante. 2.
  15. El cambio de tarifa de las líneas de la que el denunciante es titular. 2.
  16. La realización de un duplicado de la tarjeta SIM de una de sus líneas. La compra de terminales y el cambio de las tarifas fueron realizados a través del servicio telefónico de atención al cliente de ORANGE mientras que el duplicado de la tarjeta SIM fue solicitado mediante la presencia del solicitante en un distribuidor autorizado de la entidad. En relación con la compra de terminales y cambios de las tarifa:
  17. Los representantes de la entidad manifiestan que para poder acreditar la identidad de los clientes que contactan por teléfono la entidad dispone de un protocolo escrito que es entregado a los operadores del servicio de atención al cliente. La citada política de seguridad se establece que existen tres niveles de seguridad: 1 http://ayuda1.orange.es..............1 2 http://ayuda1.orange.es..............2 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9  Identifica: solicita nombre, apellidos y teléfono/MSISDN del titular  Autentica: solicita nombre, apellidos, teléfono/MSISDN y DNI del titular (CIF en caso de empresas)  Política de seguridad estricta: utiliza esta política cuando el cliente no facilite su DNI o no lo facilite de manera correcta La citada política de seguridad se establece que para aquella “Solicitud / incidencia que suponga alguna alteración del contrato o algún impacto en factura”, como en el caso que nos ocupa, se deberá de autenticar al usuario. Así pues, siguiendo el procedimiento descrito, quien llamo para comprar los terminales y cambiar las tarifas de las líneas del denunciantes debió de proporcionar nombre, apellidos, número de línea y DNI del denunciante para hacerlo.
  18. Según los registros de contactos aportados por ORANGE constan entre otras las siguientes solicitudes telefónicas:  07/09/2013 14:19: Solicitud rechazada de renovación de terminal con venta a plazos. No consta la línea vinculada o la causa del rechazo.  09/09/2013 16:25: La operadora cancela un pedido “…POR POSIBLE FRAUDE QUIERE CAMBIO DE DOMICILIO”.  09/09/2013 17:02: Solicitud aceptada de venta a plazos de un terminal vinculado a la línea F.F.F..  10/06/2013 11:07: Solicitud aceptada de cambio de tarifa de la línea D.D.D..  10/06/2013 11:08: Reclamación en la que el titular indica no ha solicitado cambio de tarifa o pedido.  10/06/2013 12:36: Solicitud aceptada de cambio de tarifa de la línea G.G.G..  10/06/2013 17:31: Reclamación en la que el titular indica no ha hecho ningún pedido y lo califica de “posible fraude”.  11/06/2013 11:57: Solicita activación de la tarjeta SIM de reemplazo de la línea G.G.G..  11/06/2013 11:57: Reclamación en la que el titular indica que no dispone de Internet.  11/06/2013 14:27: Solicitud calificada por el operador como “POSIBLE FRAUDE” que no termina de tramitarse de renovación del terminal asociado a la línea F.F.F. en la que además solicita el cambio de dirección y envío a otra dirección.  11/06/2013 18:08: Solicitud aceptada de cambio de tarifa de la línea G.G.G.  11/06/2013 18:28: Solicitud de bloqueo de la tarjeta SIM por fraude.  11/06/2013 20:44: Llamada realizada por el titular de las líneas F.F.F., G.G.G. y D.D.D.. El operador asoció el siguiente comentario con la llamada “ACEPTA ARGUMENTARIOS. SE ABRE ACTIVIDAD DE VERIFICACIÓN DE DATOS. POR SUPUESTO FRAUDE CON LAS LÍNEAS DEL TITULAR. PIDEN PASO A RECLAMACIONES.”  11/06/2013 21:09 y 21:46: Nuevas llamadas del titular reclamando la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 suplantación de identidad y negando los pedidos de terminales y cambios de tarifas. Constan registros de llamadas realizadas por el titular para consultar el estado de su reclamación los días 12 de septiembre, 9 de octubre de
  20. En los sistemas de ORANGE consta la entrada de tres reclamaciones presentadas por el denunciante ante el servicio de consumo de la junta de Castilla La Mancha los días 25 de octubre de 2013, 10 de diciembre de 2013 y 19 de mayo de
  21. ORANGE aporta copia de los escritos de respuesta remitidos para las tres reclamaciones recibidas, de las que no conserva copias. En respuesta remitida a la Junta de Castilla-La Mancha de en respuesta remitida el 25 de octubre de 2013 ya que el denunciante “…solicita la revisión de los renoves y cambios de tarifas realizados en las líneas F.F.F. y D.D.D.” se informa a éste de que:  Los cambios de tarifas han sido revertidos y los pedidos vinculados a las líneas cancelados tras la petición de 10 de septiembre de
  22.  “…el cliente en la actualidad se encuentra al corriente de pagos con esta mercantil”. En respuesta remitida a la Junta de Castilla-La Mancha de 10 de diciembre de 2013 ORANGE informa de que vinculada a la línea F.F.F. consta la adquisición de un terminal en septiembre de
  23. En respuesta remitida a la Junta de Castilla-La Mancha de 26 de mayo de 2014 ORANGE informa de que revisada la cuota de la venta a plazos asociada a la línea F.F.F. han realizado una devolución por importe de 104 euros correspondiente a las facturas de los meses de septiembre de 2013 a abril de 2014 y que se verá reflejada como descuento.
  24. Consultados los sistemas de facturación de la entidad se observa que efectivamente, a partir del mes de junio de 2014 se comienza a descontar el importe de 104 euros y, dado que el denunciante da de baja sus últimas líneas el 28 de julio de 2014, la devolución finaliza el 12 de septiembre de 2014 mediante la transferencia del importe restante.
  25. A pesar de la respuesta remitida a la Junta de Castilla-La Mancha el 25 de octubre de 2013 en el sentido de que los pedidos de terminales fueron cancelados, en los sistemas de la entidad consta el registro de cuatro solicitudes de terminales móviles asociados a las líneas del denunciante. Tres de los pedidos constan como cancelados pero uno de los dos realizados el 9 de septiembre de 2013 figura como entregado el 11 de septiembre de
  26. El pedido identificado con código ***NÚMERO.
  27. ORANGE aporta copia de un albarán de entrega a nombre del denunciante, dirigido a la dirección B.B.B. –C.C.C.) y firmado. El albarán tiene fecha de firma de 11 de septiembre de 2013 y en las instrucciones de entrega figura el texto “**MOVIL F.F.F.**” En el caso del resto de los pedidos son cancelados a petición del cliente, siendo los motivos registrados: “SUPLANTAN LA LINEA DEL CLIENTE”, “EQUIVOCACION DE SU OFERTA” y “quiere recibirlos en casa”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9
  28. Según manifiestan ORANGE: 8.
  29. Tanto el Grupo de Análisis y Fraude como el Área de Atención al Cliente tienen la potestad de incluir alertas pero la declaración de un fraude es potestad única del Grupo de Análisis y Fraude. 8.
  30. Las reclamaciones del denunciante no llegaron a ser estudiadas por el Grupo de Análisis y Fraude, y por lo tanto los hechos denunciados no fueron declarados como fraude, sino que fueron tramitadas por el Grupo de Reclamaciones Oficiales. En el sistema que registra las incidencias tramitadas consta un apunte de 11 de octubre de 2013 en el que se indica que, comprobado el albarán de entrega del terminal entregado, se constata que la firma del albarán no coincide con la del DNI del cliente y que la dirección de entrega está en C.C.C. cuando la del cliente está en H.H.H.. 8.
  31. Los operadores del servicio de atención al cliente tienen acceso a las interacciones que previamente se han producido con el cliente pero la pantalla que se les muestra inicialmente, tal y como se ha indicado previamente, es la de Alertas. Puede darse el caso de que un operador haya rechazado un cambio mientras que otro no lo haga ya que la principal herramienta de lucha contra el fraude son las políticas de seguridad descritas en el punto
  33. ORANGE aporta copia de tres grabaciones en las que no se consta la fecha en la que éstas se realizan: 9.
  34. En una de ellas consta audio al principio y al final de la grabación. Los primeros segundos corresponden con un cambio de la tarifa vinculada a la línea G.G.G. a Ballena
  35. Los últimos segundos corresponden a la venta a plazos de un terminal Samsung Galaxy. Es el operador proporciona todos los datos en ambos casos que son nombre, apellidos y DNI, terminal o tarifa y condiciones de compra o contratación. La persona con quien el operador se comunica únicamente confirma los datos que el operador proporciona. 9.
  36. Una segunda grabación correspondiente a la venta a plazos de un terminal Samsung Galaxy. Es el operador proporciona todos los datos, que son nombre, apellidos y DNI, terminal adquirido y condiciones de compra. La persona con quien el operador se comunica únicamente confirma los datos que el operador proporciona. 9.
  37. La tercera grabación corresponde a un cambio de tarifa de una línea sin determinar a la tarifa Ardilla
  38. En este caso la persona con quien el operador se comunica sí que proporciona su DNI y pregunta por la posibilidad de adquirir un terminal aunque finalmente no lo hace. En relación con la solicitud de un duplicado de la tarjeta SIM
  39. ORANGE proporciona copia de un documento fechado en julio de 2013 denominado “Documentación necesaria y formatos de entrega para actos comerciales con cliente” que es entregado a los distribuidores autorizados de la entidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 En la página 9 de dicho documento se establece que para solicitar un duplicado de tarjeta SIM “Se debe aportar el documento identificativo del cliente según se requiere en el alta”, que en el caso que nos ocupa corresponde al DNI.
  40. Consultados los representantes de ORANGE sobre si se conserva una copia del documento identificativo de los solicitantes de duplicados de tarjetas SIM, éstos manifiestan que en el momento de los hechos denunciados no era necesario que el distribuidor obtuviese una copia del documento identificativo del cliente, salvo que por algún motivo no constase en el sistema una copia escaneada previamente. La entidad dispone actualmente de un proyecto en marcha denominado Firma Digital” en el que cada distribuidor dispone de un escáner en el que se introduce el documento identificativo y el sistema, tras comprobar que el documento no ha sido alterado o falsificado, verifica que el DNI pertenece a un cliente de ORANGE y que éste es el titular de la línea sobre la que pretende actuar y/o de la SIM que pretende duplicar. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el supuesto que nos ocupa, el tratamiento de datos realizado por la entidad denunciada fue llevado a cabo empleando una diligencia razonable. En este sentido, ha de tenerse en cuenta que ORANGE aporta copia de tres grabaciones de los productos contratados: la primera de ellas se refiere a un cambio de la tarifa vinculada a la línea G.G.G. a Ballena 23 y a la venta a plazos de un terminal Samsung Galaxy; asimismo, la segunda de las grabaciones se corresponde a la venta a plazos de otro terminal Samsung Galaxy y la tercera se refiere a un cambio de tarifa de una línea sin determinar a la tarifa Ardilla
  41. Si bien, en este último caso, la persona con quien el operador se comunica sí que proporciona su D.N.I. y pregunta por la posibilidad de adquirir un terminal aunque finalmente no se lleva a término dicha operación. En los supuestos de las dos primeras grabaciones, el operador es quien proporciona todos los datos y el interlocutor únicamente los confirma. Los datos proporcionados por el operador son: nombre, apellidos, D.N.I., terminal o tarifa y condiciones de compra o contratación. Por otro lado, el hecho denunciado de la realización de un duplicado de la tarjeta SIM de una de las líneas del denunciante sin su consentimiento, es solicitado, a diferencia de los casos descritos con anterioridad, en un distribuidor autorizado por la entidad y según los protocolos de actuación de ORANGE, se debe aportar DNI, salvo que ya constase en el sistema una copia escaneada previamente; que resulta ser el caso que nos ocupa. Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de veintinueve de abril de 2010 al establecer que “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación” o como se recoge en la sentencia de la Audiencia Nacional de diez de marzo de 2015 al señalar que: “por tanto, ningún reproche cabe hacer a la actuación de Telefónica Móviles España S.A. en este ámbito sancionador, pues como ya se ha expuesto actuó con la diligencia exigible, tratando los datos del denunciante a partir de la apariencia de legitimidad de la contratación de la línea en cuestión que le otorgaba la grabación telefónica (…) En definitiva, no cabe apreciar culpabilidad en la actuación de la entidad recurrente, por lo que no puede imputársele o ser sancionada ex artículo 130 LRJPAC por vulneración del principio de consentimiento ni tampoco, y en correlación, del principio de calidad de datos pues el requerimiento previo de pago se realizó en el domicilio que según la citada grabación telefónica correspondía al titular de la línea”. De acuerdo a estos criterios, se puede entender que ORANGE empleó una razonable diligencia, ya que adoptó las medidas necesarias para identificar a la persona que realizaba los cambios de tarifa y los pedidos asociados a las líneas F.F.F. y D.D.D.. Junto a ello debe resaltarse que desde el momento en que ORANGE tuvo conocimiento de la denuncia interpuesta ante la Policía Nacional en las dependencias de H.H.H. de fecha 11/09/2013 y de la reclamación de fecha 16/09/2013 ante el servicio de consumo de la Junta de Castilla- La Mancha, en las que el de denunciante pone de manifiesto una presunta suplantación de identidad; ORANGE procedió a realizar las oportunas comprobaciones y tras las mismas, los cambios de tarifa fueron revertidos, los pedidos vinculados a las líneas F.F.F. y D.D.D. cancelados y las facturas correspondientes a los cambios en las tarifas que se habían realizado en las líneas F.F.F. y D.D.D. rectificadas. Y finalmente, tras la última reclamación de fecha 05/05/2014 presentada por D. A.A.A. A.A.A. ante el servicio de consumo, al considerar parcialmente insatisfechas las pretensiones formuladas ante ORANGE; las cuotas de la venta a plazos asociada a la línea F.F.F. fueron reintegradas. Así, en el ejercicio de la labor inspectora en el asunto que nos ocupa, se consultan los sistemas de facturación de la entidad y se observa que efectivamente, a partir del mes de junio de 2014 se comienza a descontar el importe de 104 euros y, dado que el denunciante da de baja sus últimas líneas el 28 de julio de 2014, la devolución finaliza el 12 de septiembre de 2014 mediante la transferencia del importe restante. Debe subrayarse que la modificación de las condiciones de contratación sin consentimiento no es competencia de esta Agencia, pudiendo someterse en el caso que se estime oportuno a los órganos de consumo competentes. Por otro parte, se debe poner de manifiesto que la posible falsificación de la grabación o la suplantación de identidad debe sustanciarse en los ámbitos jurisdiccionales pertinentes de la vía penal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 IV Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a ORANGE ESPAGNE S.A.U. una vulneración de la normativa en materia de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
  42. PROCEDER AL ARCHIVO de las presentes actuaciones.
  43. NOTIFICAR la presente Resolución a ORANGE ESPAGNE S.A.U. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.