1/8 Expediente Nº: E/06186/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ORANGE ESPAGNE, S.A.U. en virtud de denuncia presentada por E.E.E. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18 de octubre de 2016, tuvo entrada en esta Agencia escrito de E.E.E. (en lo sucesivo la denunciante) contra ORANGE ESPAGNE, S.A.U. manifestando lo siguiente: Por los siguientes hechos manifestados por la denunciante: Que la denunciante mantiene contratadas con la entidad denunciada las líneas de telefonía móvil ***TLF.1, ***TLF.2 Y ***TLF.3, y un servicio de ADSL asociado al número de telefonía fija O.O.O. Que con fecha 8/8/2016 recibe un mensaje de la entidad denunciada en el que le comunican la compra de dos terminales móviles que no había realizado. Que se pone en contacto con la entidad denunciada y ésta le comunica que anula la compra de los terminales. Que posteriormente recibe de nuevo mensajes comunicándole los datos del pedido a su nombre. Entre dichos datos se encontraban los siguientes que, según señala, no le corresponden: o Teléfono: P.P.P. o Dirección: B.B.B. Que en la factura de fecha 8/9/2016 figuran cargos en concepto de adquisición de los terminales móviles citados. Que ha denunciado los hechos ante la policía. La denunciante aporta, entre otra, copia de la siguiente documentación: Denuncia interpuesta ante la Policía en las dependencias de ***LOC.1-OFICINA DE DENUNCIAS con fecha 8/8/2016 y número de atestado ***NUM.1 en la que el denunciante manifiesta la suplantación de identidad sufrida en la contratación de dos terminales móviles “Iphone 6S PLUS 64GB” a su nombre. Añade que al respecto de dicha contratación recibió un mensaje en el que le facilitaban, entre otros, el número de pedido Q.Q.Q. de los terminales. Primera página (1 de 6) de la factura número G.G.G. de fecha de emisión 8/8/2016 dirigida por la entidad denunciada a la denunciante (a la dirección C.C.C. por importe de 122,90 euros. Primera página (1 de 7) de la factura número L.L.L. de fecha de emisión 8/9/2016 dirigida por la entidad denunciada a la denunciante (a la dirección C.C.C. por importe de 212,58 euros en la que se advierten un cargo de 133,15 euros por “amortización de terminal”. Escrito fechado a 27/9/2016 dirigido por la denunciante a la entidad denunciada en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 que le comunica su intención de rescindir el contrato de ADSL y telefonía móvil que mantiene con Orange. En dicho escrito motiva su decisión enunciando, entre otras cuestiones, la suplantación de personalidad sufrida. Correo electrónico de fecha 28/9/2016 dirigido por la entidad denunciada a la denunciante en el que le reclama el pago de 212,58 euros por devolución de la factura número M.M.M. de fecha 8/9/
- Escrito de fecha 17/10/2016 dirigido por la entidad denunciada a la denunciante en el que le reclama el pago de 133,15 euros pendientes de pago correspondientes a la factura de fecha 8/9/
- SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: La empresa ORANGE ESPAGNE, S.A.U. en su escrito de fecha de registro 27/2/2017 (número de registro ***REG.1 ) ha remitido la siguiente información pertinente a los efectos de la investigación: Copia impresa de los datos que figuran en sus sistemas relativos a la denunciante. Entre los mismos constan: nombre, apellidos y DNI de la denunciante. Como dirección figura A.A.A. Aparecen también un correo electrónico, un número de teléfono y una cuenta bancaria asociados a la denunciante. Los servicios contratados por la denunciante reflejados en los sistemas de información de la entidad denunciada son: o Líneas de telefonía móvil: ***TLF.1, (alta con fecha 3/2/2016 y baja por portabilidad el 17/11/2016), ***TLF.2 (alta con fecha 2/1/2014 y baja por portabilidad el 4/11/2016) ***TLF.3 (alta con fecha 2/1/2014 y baja por portabilidad el 9/11/2016). o Línea de telefonía fija O.O.O. (alta con fecha 25/8/2015 y baja el 2/11/2016) Respecto a la contratación de los terminales “IPhone” objeto de controversia manifiesta que “por un defecto sobrevenido en la grabación original que contiene la contratación de los terminales iPhone, no es posible reproducir la misma. Por ello, junto al presente escrito se aporta transcripción de la conversación en la que se solicitaba el pedido consistente en Ios dos terminales IPHONE 68 PLUS 64GB 4G, asociados a las líneas ***TLF.2 Y ***TLF.3”. Adjunta (documento anexo nº 3) la, según indica la entidad, transcripción de la conversación en la que se solicitaba el pedido de dos terminales IPHONE 6S PLUS 64GB 4G, asociados a las líneas ***TLF.2 Y ***TLF.
- Se advierte que en dicho documento figuran transcritas las palabras emitidas por la entidad pero no las de la contratante. Adjunta (documento anexo nº 4) copia del correo electrónico dirigido por la entidad denunciada a la denunciante a la dirección F.F.F. en la que se especifican los detalles de contratación realizada con fecha 8/8/2016 de dos terminales IPHONE 6S PLUS 64GB 4G. Respecto al procedimiento de contratación a través del canal telefónico expone que: “se lleva a cabo mediante la verificación por terceros, a través de una empresa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 verificadora independiente y auditable. La empresa verificadora informa al cliente de la grabación de la llamada y le indica que el objeto de la misma es acreditar la contratación a realizar. En caso de conformidad se solicita la confirmación de los datos personales del contratante, de la línea y del producto. Desde Orange Espagne se garantiza la autenticidad, integridad y no alteración del contenido de las grabaciones de la siguiente manera: o Autenticidad: La grabación nos la proporciona el verificador mediante un sistema de SFTP (Securized File Transfer Protocol). o Integridad y no alteración: No se escuchan cortes en la propia grabación, ni voces distintas, etc. o Identidad de los contratantes: se garantiza mediante la propia política de seguridad que se aplica a cada grabación, es decir, la identificación del cliente mediante la lectura de sus datos personales. Todo lo anterior, en conformidad con la circular 1/2004 de, 27 de abril, por la que se introduce el consentimiento verbal con verificación por tercero en las tramitaciones de preselección de operador, así como en las circulares de la CMT 1/2009 de 16 de abril y 2/2010 de 16 de diciembre que modifican la anterior”. Sobre el detalle del procedimiento añade que: “La empresa verificadora informa al cliente de la grabación de la llamada y le indica que el objeto de la misma es acreditar la contratación a realizar. En caso de conformidad se solicita la confirmación de los datos personales del contratante, de la línea y del producto. Si todo el proceso es favorable, el verificador habilita la situación de “finalizado”, lo que conlleva el registro del cliente en el FICHERO DE CL!ENTES de ORANGE ESPAGNE, S.A.U. Si el proceso no ha podido ser verificado se habilita la situación ‘Pendiente Verificar’, con objeto de volver a realizar la verificación posteriormente. Si el cliente no está de acuerdo con la contratación se habilita la situación de ‘cancelado en VPT’. En ambos casos, los datos se mantienen únicamente en el fichero de peticiones durante 3 meses, siendo posteriormente cancelados. La verificación en los servicios de voz y de voz + datos se exige que sea el titular de la línea el que realice la contratación. El tiempo medio de espera desde que se realiza la captura de los datos hasta que se produce la acreditación del contrato por medio del verificador es de 5 días, si no se ha verificado se cancela. En el plazo de unos 15 días, la empresa verificadora remite las grabaciones realizadas que quedan en custodia de ORANGE ESPAGNE S.A.U., asociadas a la línea telefónica objeto del contrato y a la orden de petición”. Respecto a la facturación a la denunciante de los servicios contratados manifiesta que todas las facturas emitidas fueron abonadas a excepción de la número R.R.R. de fecha 8/12/2016 y S.S.S. de fecha 8/1/
- Añade que la factura rectificativa número T.T.T. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 de fecha 7/11/2016 sustituye a la número M.M.M. de fecha 8/9/2016, anulando el cargo por cancelación de la venta a plazos del terminal móvil. Adjunta (bloque documental nº 1): o Factura número G.G.G. de fecha de emisión 8/8/2016 dirigida por la entidad denunciada a la denunciante (a la dirección B.B.B. por importe de 122,90 euros. o Factura número M.M.M. de fecha de emisión 8/9/2016 dirigida por la entidad denunciada a la denunciante (a la dirección B.B.B. por importe de 212,58 euros en la que se advierten un cargo de 133,15 euros por “amortización de terminal”. Factura T.T.T. (que rectifica -sustituye- la número M.M.M. ) de fecha 7/11/2016 dirigida por la entidad denunciada a la denunciante (a la dirección B.B.B. por importe de 79,43 euros. o Factura número U.U.U. de fecha de emisión 8/10/2016 dirigida por la entidad denunciada a la denunciante (a la dirección A.A.A. por importe de 100,97 euros. o Factura número W.W.W. de fecha de emisión 8/11/2016 dirigida por la entidad denunciada a la denunciante (a la dirección A.A.A. por importe de 86,68 euros. o Factura número R.R.R. de fecha de emisión 8/12/2016 dirigida por la entidad denunciada a la denunciante (a la dirección A.A.A. por importe de 153,21 euros (incluye un importe de 75 euros es concepto de baja anticipada). o Factura número S.S.S. de fecha de emisión 8/1/2017 dirigida por la entidad denunciada a la denunciante (a la dirección A.A.A. por importe de 110,37 euros (en concepto de amortización de terminal). Respecto de las comunicaciones y contactos que han existido entre esa entidad y el cliente en relación con los hechos denunciados, aportan la siguiente información: o Con fecha 8/8/2016 registro de la comunicación la denunciante al objeto de cancelar el pedido de los terminales contratados ese mismo día. Expone que se procedió a la cancelación. Adjunta impresiones de pantalla de sus sistemas en las que el estado de dicho pedido es “Cancelado”. o Con fecha 28/9/2016 la denunciante manifiesta su disconformidad con la contratación de los terminales IPhone, no reconociendo la misma. o Con fecha 24/10/2016 la denunciante manifiesta nuevamente la usurpación de la personalidad sufrida en la contratación de terminales IPhone. o Con fecha 7/11/2016, recibe reclamación al respecto de los hechos denunciados procedente de la OCU. o Con fecha 17/11/2016, recibe reclamación al respecto de los hechos denunciados procedente del Servicio de Consumo del Gobierno de Navarra. C/ Jorge Juan, 6 28001 – Madrid Adjunta (documento número 7) las alegaciones presentadas por ORANGE ESPAGNE, S.A.U. a la reclamación anterior. Adjunta (documento número 6) las alegaciones presentadas por ORANGE ESPAGNE, S.A.U. a la reclamación anterior. www.agpd.es sedeagpd.gob.es 5/8 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el presente caso, el denunciante - E.E.E. - denuncia a ORANGE ESPAGNE S.A.U porque el 8/8/2016 recibe un mensaje de la entidad denunciada en el que le comunican la compra de dos terminales móviles que no había realizado. En respuesta a las actuaciones de investigación llevadas a cabo por esta Agencia se tiene conocimiento del correo electrónico dirigido por la entidad denunciada a la denunciante a la dirección ***1@gmail.com en la que se especifican los detalles de contratación realizada con fecha 8/8/2016 de dos terminales IPHONE 6S PLUS 64GB 4G para la contratación de las líneas ***TLF.3 y ***TLF.2 . ORANGE ESPAGNE S.A.U, aporta copia de los datos que figuran en sus sistemas: Nombre y apellidos del denunciante y número de D.N.I. dirección de correo postal y electrónico, un número de teléfono y una cuenta bancaria, con motivo de la contratación de otros servicios contratados por la denunciante -***TLF.1, ***TLF.2 Y ***TLF.3 y un servicio de ADSL asociado al número de telefonía fija O.O.O. -. Tras la reclamación presentada por el denunciante el 18 de octubre de 2016, por suplantación de identidad en la contratación de las líneas ***TLF.3 y ***TLF.2 , y la facturación emitida por ORANGE ESPAGNE S.A.U, por estos servicios, señalar que dicha entidad ha aportado documentación que permite constatar que todas las facturas emitidas fueron abonadas a excepción de la número R.R.R. de fecha 8/12/2016 y S.S.S. de fecha 8/1/
- ORANGE ESPAGNE S.A.U, manifiesta la existencia de la factura rectificativa número T.T.T. de fecha 7/11/2016 que sustituye a la número M.M.M. de fecha 8/9/2016, anulando el cargo realizado, por cancelación de la venta a plazos del terminal móvil. Por lo tanto parece constatarse una diligencia debida en la actuación de ORANGE ESPAGNE S.A.U, ya que en cuanto tuvo conocimiento de la posible suplantación o contratación fraudulenta de las líneas ***TLF.3 y ***TLF.2 , procedió a cancelar el cargo que dicha venta suponía a la denunciante, mediante factura rectificativa emitida el 07/11/2016, respecto de la factura de 08/09/2016, que facturaba la compra de los terminales indicados. Así las cosas, hemos de proceder a analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de 29/04/2010 al establecer que “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación. En conclusión, se ha solicitado para la concesión del crédito para identificar a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. xxx. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la Sala que la recurrente adoptó las medidas adecuadas tendentes a verificar la identificación de la persona con la que contrataba, no apreciando falta de diligencia en su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD.” De acuerdo a estos criterios, se puede entender que ORANGE ESPAGNE S.A.U. empleó una razonable diligencia, ya que aunque la contratación de las líneas ***TLF.3 y ***TLF.2 , fue mediante conversación telefónica y por un defecto sobrevenido en la grabación original que contiene la contratación de los terminales iPhone, no es posible reproducir la misma, dicha entidad ha aportado transcripción de la conversación en la que se solicitaba el pedido consistente en dos terminales IPHONE 68 PLUS 64 GB 4G, asociados a las líneas ***TLF.3 y ***TLF.2 . ORANGE ESPAGNE S.A.U. señala además cual es el procedimiento de contratación a través de canal telefónico garantizándose la autenticidad de la grabación, mediante verificador, así como la integridad y no alteración de dicha grabación, y asegurándose de la veraz identidad de los contratantes, mediante una política de seguridad que se aplica en cada grabación. Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a ORANGE ESPAGNE S.A.U una vulneración de la normativa en materia de protección de datos. IV Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a ORANGE ESPAGNE, S.A.U y E.E.E. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es