1/8 Expediente N.º: EXP202504949 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 17 de febrero de 2025 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) ejerció el derecho de supresión en relación con la/s URL que trascribe en su reclamación frente a la entidad ORANGE ESPAGNE, S.A.U. con CIF.: A82009812 (en adelante, la parte reclamada). La parte reclamante expone que, pese a existir una resolución de la AEPD de 16/08/2023 (expediente nº 202313516) en la que se establecía que la entidad ORANGE debía proceder al borrado integral de sus datos y a la disociación del número telefónico, continúa recibiendo llamadas y mensajes vinculados a reclamaciones dirigidas a un tercero ajeno a ella. Señala que la incidencia se inició en 2021, se reiteró en 2023 y, a día de hoy, persiste, produciéndose contactos constantes por vía telefónica y SMS desde distintos números. Manifiesta además que, en el marco de estas comunicaciones, se le transmiten datos personales de un tercero (identificativos, dirección, contraseñas, deudas), lo que considera una vulneración de derechos tanto propios como ajenos. Junto al escrito de reclamación se presenta la siguiente documentación: - Correo electrónico de fecha 21 de agosto de 2023 enviado desde la dirección de correo “POTECCION DATOS, Orange” Orangeproteccion.dat@es.orange.com a la dirección de correo ***EMAIL.1 con el Asunto: “no consta expresamente en el texto facilitado” e informado de que Orange confirma la tramitación del derecho de supresión (art. 17 RGPD) y manifiesta que la interesada no consta como cliente de Orange/Jazztel y que no mantienen datos personales suyos en sus ficheros. Además, informa de la inclusión de la línea ***TELÉFONO.1 en listados internos de exclusión publicitaria desde el 21/08/2023, de modo que no recibirá comunicaciones comerciales de la empresa ni de sus marcas. La comunicación se emite como respuesta a la solicitud presentada. - SMS (sin fecha de recepción) con el siguiente mensaje: “Sr/a B.B.B. . Tiene un importe pendiente de 44,
- Recupere su servicio realizando el pago en ES00 00000000 0000 0000 0000, tarjeta o llamando al: ***TELÉFONO.2 SEGUNDO: En fecha 23 de marzo de 2025, La citada reclamación se trasladó a la parte reclamada para que procediera a su análisis y diera respuesta a esta Agencia en el plazo de un mes. En su respuesta, la parte reclamada argumentó a esta Agencia los siguiente puntos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 - Sobre la solicitud de supresión (febrero 2021): Orange denegó la supresión por existir impago en el contrato de telefonía móvil y no haber transcurrido tres meses desde la baja de servicios fijos y móviles. Pese a ello, se procedió a la modificación solicitada respecto a la atribución del número ***TELÉFONO.1 a otro cliente. - Sobre la solicitud de supresión (julio 2021): Orange revisó si ya cumplía los requisitos en relación con las deudas pendientes. En agosto de 2021 se aceptó la petición y se realizó la supresión de los datos, así como la disociación del número de teléfono del otro cliente. - Sobre la solicitud de supresión (agosto 2023): El 21 de agosto de 2023 Orange le remitió confirmación de que la supresión ya había sido realizada con anterioridad y que su número estaba incluido en el Listado interno de Exclusión Publicitaria. - Sobre el origen de nuevas comunicaciones: Reconocen que la reclamante recibió un SMS en relación con el servicio de televisión de Orange y atribuyen el hecho a un posible error en la desvinculación de la numeración en algún sistema fuente de la compañía. Se realizaron comprobaciones para corregirlo y evitar nuevas comunicaciones. - Sobre la incidencia posterior (marzo 2025): El 30 de marzo de 2025 la reclamante notificó un nuevo SMS dirigido a otra persona, reclamando un impago y en este caso Orange admite que se trató de un error técnico puntual de alineación de sistemas, pese a que la supresión ya estaba tramitada correctamente desde 2021 y reiterada en
- Aseguran que los datos de la reclamante permanecen suprimidos y solo bloqueados para eventuales requerimientos de autoridades públicas. Como conclusión, la parte reclamada afirma que el derecho de supresión fue atendido en plazo y forma desde agosto de 2021 y que el SMS de 2025 se debió únicamente a un error técnico puntual. TERCERO: En fecha 23 de abril de 2025 se recibe en esta Agencia un nuevo escrito de la parte reclamante en el que manifiesta que, desde 2021, ha solicitado a Orange la disociación de su número ***TELÉFONO.1 de otro usuario, B.B.B., al que no conoce. Indica que en 2023 la AEPD no sancionó a Orange porque la empresa manifestó haber rectificado el error, pero sostiene que dicho compromiso no se ha cumplido. Señala que continúa recibiendo a diario llamadas y mensajes de distintos números identificados como Orange para reclamar una deuda atribuida a ese tercero. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 Alega que el 23/04/2025 recibió dos llamadas desde el número ***TELÉFONO.3: en la primera se le reclamó la deuda, y en la segunda el interlocutor se burló y dijo que seguiría llamando “para molestar”. Reitera que existe una larga secuencia de correos desde 2021 hasta 2025, con respuestas que califica de automáticas, impersonales e ineficaces por parte de Orange. Junto al escrito, la reclamante aporta la siguiente documentación: - Correo electrónico de fecha 4 de agosto de 2023 enviado desde la dirección ***EMAIL.1 a la dirección PROTECCIÓN DATOS, Orange, con el asunto: “SUPRESIÓN DE TODOS MIS DATOS Y DENUNCIA ANTE AEPD” y donde la remitente expone que, pese a cuatro años de reclamaciones y a la confirmación del departamento legal de Orange sobre la suspensión/borrado de sus datos, continúa recibiendo llamadas y mensajes de la empresa no dirigidos a su persona. Advierte que, si no cesan, interpondrá denuncia ante la AEPD. Identifica la línea ***TELÉFONO.1 como de su titularidad y reitera la solicitud de borrado total de sus datos y cese de llamadas comerciales. - Correo electrónico de fecha 21 de agosto de 2023, enviado desde la dirección “PROTECCIÓN DATOS, Orange” Orangeproteccion.dat@es.orange.com a la dirección de correo de la reclamante, con el asunto: “SUPRESIÓN DE TODOS MIS DATOS Y DENUNCIA ANTE AEPD” y donde Orange comunica a la interesada que, en virtud del artículo 17 RGPD (derecho de supresión), no consta como cliente en sus sistemas ni poseen datos personales suyos almacenados. Asimismo, confirman que la línea ***TELÉFONO.1 ha sido incluida en los listados internos de exclusión publicitaria desde el 21/08/2023, garantizando que no recibirá comunicaciones comerciales de Orange ni de sus marcas. CUARTO: En fecha 17 de mayo de 2025, a los efectos previstos en el artículo 64.1 de la LOPDGDD, la Presidencia de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. QUINTO: En fecha 20 de junio de 2025 se concedió a la parte reclamada trámite de audiencia, para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes, SEXTO: En fecha 14 de julio de 2025 la parte reclamada presenta escrito de alegaciones, dentro del trámite de audiencia, en el que manifiesta, lo siguiente: - Primera solicitud de supresión (febrero 2021) Orange denegó la supresión por existir impago y no haber transcurrido tres meses desde la baja. Aun así, se procedió a modificar la atribución del número ***TELÉFONO.1, desvinculándolo del otro cliente. - Segunda solicitud de supresión (julio 2021) Orange tramitó la solicitud y en agosto de 2021 procedió a la supresión de datos y disociación del número. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 - Tercera solicitud de supresión (agosto 2023) Orange remitió carta confirmando que ya estaba suprimida y que la línea constaba en el Listado interno de Exclusión Publicitaria. - Comunicaciones posteriores (SMS) Se reconoce la existencia de un SMS relativo a servicios de televisión, atribuido a que la numeración no se desvinculó de algún sistema fuente y se realizaron comprobaciones internas para detener las comunicaciones. - Nuevas incidencias (abril 2025) La reclamante aportó un SMS recibido el 23/04/2025, reclamando una deuda a un tercero y Orange lo atribuye, al igual que otro SMS de marzo de 2025, a un error técnico puntual de alineación de sistemas y afirman que las deudas reclamadas correspondían a 2020-2021 y ya están totalmente pagadas, por lo que no procedería reclamar nada. - Gestiones posteriores Señalan que el 30/04/2025 contestaron al requerimiento de información de la AEPD, cuando aún estaban verificando el origen del error. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. En ejecución de la Sentencia de la Audiencia Nacional se ha dado traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia y acreditara haber facilitado al reclamante la respuesta debida. La falta de respuesta de la parte reclamada no permite entender satisfechas las pretensiones de la parte reclamante por lo que se determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de supresión El artículo 17 del RGPD, que regula el derecho de supresión de los datos personales, establece lo siguiente: "
- El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes: a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo; b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico; c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2; d) los datos personales hayan sido tratados ilícitamente; e) los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento; f) los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado
- Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos.
- Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario: a) para ejercer el derecho a la libertad de expresión e información; b) para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 c) por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras h) e i), y apartado 3; d) con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o e) para la formulación, el ejercicio o la defensa de reclamaciones". IV Conclusión En el supuesto aquí analizado, la parte reclamante ejercitó su derecho de Supresión regulado en el artículo 17 del RGPD. En el presente caso, la reclamante manifestaba que, pese a haber ejercitado en diversas ocasiones su derecho de supresión, continuaba recibiendo llamadas y mensajes vinculados a reclamaciones de deuda dirigidas a un tercero, ajeno a su persona. Admitida a trámite la reclamación, se solicitó a la parte reclamada información sobre los hechos denunciados y ORANGE, en sus escritos de contestación y alegaciones, expuso en síntesis lo siguiente: - Que la reclamante ejercitó por primera vez su derecho de supresión en febrero de 2021, denegándose por existir deudas pendientes y no haber transcurrido el plazo de tres meses desde la baja contractual, si bien se procedió a la modificación de la atribución del número. - Que en julio de 2021 se reiteró la petición, procediéndose en agosto de 2021 a la supresión efectiva de los datos y disociación del número, una vez desaparecidos los impedimentos legales derivados de la deuda. - Que en agosto de 2023 se volvió a instar el derecho, contestándose mediante carta de 21/08/2023 confirmando que la supresión ya se encontraba realizada y que la línea constaba en el Listado interno de exclusión publicitaria. - Que los SMS aportados por la reclamante en 2023 y 2025 se debieron a un error técnico puntual de alineación de sistemas, sin que ello implique la existencia de tratamiento activo de sus datos, dado que éstos se encontraban suprimidos desde agosto de 2021 y únicamente bloqueados conforme a lo previsto en la normativa y - Que tras la incidencia, se llevaron a cabo las verificaciones y ajustes necesarios para cesar las comunicaciones, tratándose de hechos aislados que no cuestionan la corrección en la tramitación del derecho ejercitado. Por lo que, según afirma ORANGE, se dio cumplimiento al derecho de supresión de la interesada desde agosto de 2021, en los términos previstos en el artículo 17 RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 Las incidencias posteriores no responden a la falta de tramitación del derecho ejercitado, sino a un error técnico puntual ya solventado, que no altera la conclusión de que el derecho fue atendido. En consecuencia, no se advierte indicio alguno de actuación infractora que justifique la estimación de la reclamación. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR la reclamación formulada por A.A.A. contra ORANGE ESPAGNE, S.A.U. con CIF.: A82009812 SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a ORANGE ESPAGNE, S.A.U. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-100425 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es