E-07317-2013

1/6 Expediente Nº: E/07317/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ORANGE ESPAGNE, S.A.U., en virtud de denuncia presentada por D. B.B.B. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 19/07/2013 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) escrito de 13/07/2013, de D. B.B.B. (en lo sucesivo el denunciante), en el que relata que al acceder el 12/07/2013 a su cuenta de correo electrónico C.C.C. - cuenta que tiene desde hace más de diez años y a la que accede desde el portal de ORANGE ESPAGNE, S.A.U. ( en lo sucesivo ORANGE o la denunciada)- apareció un mensaje informándole que había sido bloqueada y que el bloqueo suponía el borrado de todo el contenido almacenado tanto en la bandeja de entrada como en las carpetas y papelera, sin que hubiera sido advertido previamente del bloqueo. Adjunta copia del mensaje recibido de ORANGE y del fax que envió a la denunciada el 12/07/2013. SEGUNDO: Tras la recepción de la denuncia, por la Subdirección General de Inspección de Datos se efectuaron actuaciones encaminadas al esclarecimiento de los hechos, teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas que se reproduce: << ANTECEDENTES Con fecha 19 de julio de 2013 ha tenido entrada en esta Agencia escrito de B.B.B. en el que pone de manifiesto los siguientes hechos: Al acceder a su cuenta de correo electrónico de C.C.C., en fecha 12 de julio de 2013, le mandan un mensaje informando que se ha bloqueado la cuenta de correo al no estar siendo utilizada y donde consta textualmente: “El proceso de bloqueo de tu cuenta implica el borrado de todo el contenido que tenías almacenado, tanto en la bandeja de entrada como en tus carpetas y papelera”. El denunciante manifiesta que utiliza habitualmente esa cuenta de correo y que no le han notificado con anterioridad la posibilidad del bloqueo de la cuenta. Ha interpuesto una reclamación, vía fax, a ORANGE ESPAGNE SAU (en adelante ORANGE) solicitando la activación de la cuenta y de todo su contenido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Adjunto a la denuncia se ha aportado copia del mensaje y del fax enviado al operador. ACTUACIONES PREVIAS DE INSPECCIÓN Con fecha 8 de abril de 2014 se solicita información a ORANGE, y de la respuesta en fecha 4 de junio de 2014 se desprende: 1. ORANGE manifiesta que el denunciante activó, en fecha 2 de junio de 2002, un Bono de Internet denominado “7 horas” con Wanadoo España SL (en la actualidad ORANGE). Debido al tiempo transcurrido desde la contratación no se ha localizado la carta de bienvenida que contiene un enlace directo a las Condiciones Generales de Contratación en el cuerpo del mensaje. ORANGE manifiesta que la solicitud de una cuenta de correo, ya sea por ser cliente o por ser gratuita, obliga a aceptar las condiciones legales denominadas “Términos del Servicio” por parte del Cliente. A este respecto, aporta impresión de pantalla de la contratación de una cuenta a través de Internet tal y como se realiza en la actualidad. 2. Respecto de las condiciones de bloqueo de las cuentas de correo y borrado de mensajes, ORANGE manifiesta que se encuentra estipulado en la cláusula IV de las Condiciones Generales de Prestación de Servicios de Internet de Wanadoo España SL en la que se informa de los plazos previstos para, previo aviso al cliente, proceder a la inactivación de la cuenta y borrado de los mensajes cuando se haya comprobado la inactividad de la cuenta. A este respecto, en las mencionadas condiciones consta que se podrá eliminar todos los mensajes y proceder a la inactivación de la cuenta en caso de que “los mismos no presenten actividad, ni de envío y/o recepción de mensajes durante quinientos cuarenta días naturales consecutivos” 3. En relación con el motivo por el cual se ha bloqueado la cuenta C.C.C. ORANGE manifiesta que, tras el análisis del caso, la cuenta no ha sido bloqueada de forma automática por inactividad, por lo que ha podido ser causada por el propio titular por cuestiones ligadas al uso de contraseñas. 4. Respecto de los contactos y reclamaciones con el cliente ORANGE ha aportado impresiones de pantalla donde consta que, con fecha 12/07/2013, el denunciante informa que no puede acceder a su cuenta de correo y ORANGE informa que se cambia contraseñas y se remite el caso a grupo técnico. En esa misma fecha también consta que el cliente informa que cree que se le ha desactivado el correo por falta de uso y solicita la activación. Con fecha 13/07/2013 constan dos nuevos contactos en los que el cliente indica que no se ha solucionado las reclamaciones anteriores y con fecha 14/07/2013 figura que se desbloquea la cuenta C.C.C. y que se llama al cliente con objeto de que valide el estado de su cuenta Con fecha 15/07/2013 figura que el cliente indica que se había solucionado la avería C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 pero no puede acceder a su cuenta ya que se encuentra bloqueada. Consta que se desbloquea la cuenta de correo del cliente E.E.E. y se le indica que debe de cambiar la contraseña del correo para evitar futuros bloqueos quedando pendiente de validar con el cliente Durante los días 16 y 17 de julio figuran varios contactos relacionados con la cuenta de correo bloqueada y con el envío de contraseña temporal al cliente>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD en su artículo 3, apartados

1. a)y
2. c)ofrece un concepto legal de “dato de carácter personal” y “tratamiento de datos” que define, respectivamente, como “cualquier información concerniente a personas físicas identificadas o identificables” y como “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El artículo 6, apartados 1 y 2 de la LOPD, bajo la rúbrica “Consentimiento del afectado”, establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento del afectado constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. III Los hechos denunciados versan sobre el bloqueo de la cuenta de correo electrónico del denunciante y el borrado de todo cuanto tenía almacenado “tanto en la bandeja de entrada como en mis carpetas y papelera”. El denunciante manifiesta haber recibido un mensaje electrónico de ORANGE el 12/07/2013 informándole que procedían a bloquear su cuenta por falta de uso y advierte que no es cierto que no la estuviera utilizando, pues hace uso de ella a diario, y que no ha sido informado de que el bloqueo se iba a llevar a cabo. En prueba de su relato adjunta como anexo I un documento que corresponde, supuestamente, al correo electrónico recibido de la denunciada en el que le informaba de los extremos indicados. El documento aportado carece de fecha y de las correspondientes cabeceras de envío. ORANGE, por su parte, ha indicado que según las Condiciones Generales del contrato de Prestación de Servicios de Internet de Wanadoo España, S.L., (cuya copia ha remitido a la AEPD), para proceder a la inactivación de la cuenta y al borrado de los mensajes es necesario verificar la inactividad de la cuenta durante un determinado periodo de tiempo y preavisar al cliente (cláusula IV). Sin embargo, ORANGE subraya que la cuenta del denunciante ( C.C.C. ) no fue bloqueada desde el proceso automático de inactividad de la cuenta, sino que el bloqueo pudo ser causado por el propio denunciante “por cuestiones ligadas al uso de la contraseña que, obligatoriamente debe ser habilitada y gestionada por el legítimo usuario de la misma”. ORANGE ha remitido a la AEPD impresiones de pantalla de sus ficheros con los contactos y reclamaciones que mantuvo con el denunciante entre el 12/07/213 y el 23/07/2013. Del tenor de la información que en estos documentos se recoge se deduce que cuando el denunciante llamó a ORANGE en fecha 12/07/2013 (asignándole el número de incidencia ***INCIDENCIA.1), fue informado de que se cambiaba la contraseña desde el sistema. Más adelante se le comunicó que debía esperar entre 24 y 72 horas para que se solucionara la incidencia técnica. Esta incidencia se resuelve pero se produce un nuevo bloqueo insistiendo ORANGE al denunciante que debía proceder a cambiar la contraseña. En definitiva, la documentación que obra en el expediente indica que la cuenta del denunciante no se bloqueó por inactividad sino por el uso de contraseñas. Este extremo demuestra que ninguna responsabilidad cabe exigir a ORANGE por los hechos acaecidos, pues la entidad obró con la diligencia que era procedente. A este respecto debe tenerse en cuenta que en el ámbito administrativo sancionador es esencial la concurrencia del elemento subjetivo de la culpabilidad, pues C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 no cabe imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. Así, en STC 76/1999 el Tribunal Constitucional afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Así las cosas, y dado que todo indica que en el asunto que nos ocupa ORANGE actuó con la diligencia que las circunstancias del caso exigía -habiendo presentado el denunciante su denuncia ante la AEPD un día después de aquél en que se produjo la incidencia, sin esperar a que fuera resuelta por la operadora- ninguna responsabilidad puede exigírsele, de modo que la actuación de ORANGE no es subsumible en los tipos sancionadores descritos en la LOPD, debiendo acordar el archivo de las presentes actuaciones. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a ORANGE ESPAGNE, S.A.U., y a D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es