1/16 Procedimiento Nº PS/00014/2014 RESOLUCIÓN: R/01569/2014 En el procedimiento sancionador PS/00014/2014, instruido por la Agencia Española de Protección de Datos a ORANGE ESPAGNE S.A.U.., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 6/02/2013 se recibe en esta Agencia denuncia de A.A.A., en el que denuncia que, la entidad FRANCE TELECOM ESPAÑA, S.A., ha procedido a la inclusión indebida de sus datos personales en los ficheros de solvencia ASNEF y BADEXCUG, con relación a una deuda de la empresa SUPERMERCADO DIVINA PASTORA, S.L., de la que era Administrador, por un importe de 155,06 €, la cual había sido reclamada a dicha empresa con anterioridad, según diversos requerimientos de pago a la citada entidad de 7/06 y 4/08/2010 y 8/02/2011 (folios 13 a 15). Adjunta además:
- a)Respuesta de BADEXCUG de 15/11/2012 a su ejercicio de derecho de acceso en el que le detalla que sus datos se hallan incluido en el fichero de solvencia EXPERIAN por impago de 155,06 € a instancia de ORANGE desde 13/03/2011.
- b)Respuesta de EQUIFAX de 6/11/2012 al ejercicio del derecho de acceso en el que en hoja impresa se ven a 6/11/2012, los datos del denunciante de alta en el fichero ASNEF desde 11/03/2011 a instancia, de ORANGE EMPRESAS por 155,06 €.
- c)Copia de la respuesta al ejercicio de cancelación de EXPERIAN de 18/12/2012 en el que resuelve confirmar los datos a instancia de la entidad informante
(16), y de EQUIFAX de 20/12/2012 en el que también se confirman sus datos por la entidad informante (folio 18).
- d)Copia de facturas de 16/03/2010 con datos titular: Supermercado Divina Pastora SL, enviada al domicilio a nombre del denunciante (folio 12). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información, obteniendo el siguiente resultado: A) Con fecha 8/05/2013, se recibe en esta Agencia escrito de la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 EQUIFAX en el que manifiesta que se envió una carta al denunciante el 12/03/2011 por un saldo impagado de 155,06 €, y como informante FRANCE TELECOM ESPAÑA (folio 42), siendo el alta en el fichero ASNEF del 11/03/2011. Además, se desprende que aparece la misma cuantía informada por INTRUM JUSTITIA DEBT, emitiéndose una carta informando de dicha alta el 21/02/2013 (folio 33, 42, 44). También se informa de los ejercicios de derecho de cancelación formulados. B) Con fecha 21/05/2013, se recibe en esta Agencia escrito de la entidad EXPERIAN en el que manifiesta que los datos del denunciante figuraron incluidos en el fichero de solvencia BADEXCUG informados por ORANGE desde 13/03/2011 a 24/02/2013, y según se desprende de la documentación, por 155,06 € (63, 64, 69 a 73) (folio 33, 42, 44). También se informa de los ejercicios de derecho de cancelación formulados. C) Con fecha 16/07/2013, se recibe en esta Agencia escrito de FRANCE TELECOM ESPAÑA,S.A., y de la respuesta recibida se desprende lo siguiente: 1 Respecto de los datos que obran en sus sistemas: El denunciante consta como Administrador y persona de contacto de la empresa SUPERMERCADO DIVINA PASTORA, S.L. Dicha empresa figuraba como titular del contrato 1. C.C.C., asociado a cuatro líneas de telefonía móvil, asociadas a las mismas figuran dos facturas de fechas 26/04 y 16/05/2010, por un importe total de 155,06€. 2. Respecto de la contratación: La contratación se realizó en un Punto de Venta del Canal de Distribución de France Telecom, denominado CORONA DEL HURACAN, S.L. No obstante no se adjunta copia del contrato firmado por el titular. 3. Respecto a las inclusiones realizadas por la entidad: Los datos del denunciante fueron incluidos en el fichero BADEX por considerar que la deuda es cierta vencida y exigible, a pesar de haber sido solicitada la cancelación por el denunciante. No se ha solicitado la BAJA, porque la deuda sigue pendiente. Indica finalmente, que la deuda fue cedida a INTRUM JUSTITIA en el año 2012, sin precisar más, ni la fecha. Aporta un cuadro con fechas que dice, abarcan hasta la fecha de la cesión, constando la más cercana 30/06/2012, con el rotulo “Fin Gestión”, si bien como se ha apreciado, en diciembre de 2012, los datos se confirmaron en los dos ficheros de solvencia por ORANGE, según copia de los documentos de ejercicio de cancelación que aporta el denunciante y los responsables de los ficheros. (93, 94). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 TERCERO: Con fecha 28/01/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE ESPAGNE S.A.U.., por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3
- c)de dicha norma. CUARTO: Notificado el acuerdo de inicio, ORANGE ESPAGNE S.A.U.. mediante escrito de fecha 21/012/2014 formuló alegaciones, significando: 1) Siendo indiscutible que el denunciante es Administrador de la Sociedad Limitada SUPERMERCADOS DIVINA PASTORA SL, la normativa de protección de datos no sería aplicable al caso pues se trataría de datos de personas jurídicas, además en este caso, disponía de los datos del denunciante como persona de contacto. Invoca un Informe del Gabinete Jurídico titulado “Ámbito de aplicación de la legislación de protección de datos. Aplicación a empresarios individuales y personas de contacto.” Se incorpora la impresión de dicho informe que es del año. Aporta:
- a)Copia de publicación en el BO del Registro Mercantil de 4/04/2011 en el que figura la inscripción en el SUPERMERCADO DIVINA PASTORA SL como Administrador Único el denunciante.
- b)Copia de Anexo contrato clientes empresas, teléfono D.D.D., tarifa Solución 10, figurando en datos cliente el SUPERMERCADO, otras dos copias, una de ellas contrato empresas de la línea acabada en 90, contando datos cliente los del SUPERMERCADO con su anexo línea . En todos los contratos figuran los datos del denunciante en el apartado de “persona autorizada”, así como en la firma cliente la suya.
- c)Copia parcial de escritura ante Notario de constitución de la Sociedad SIPERMERCADO DIVINA PASTORA SL el 3/08/2000. En lo aportado figura que el denunciante es el único socio de la Sociedad (187, 188) y siendo el Órgano de Administración el de dos Administradores solidarios, el denunciante junto a su esposa
(188).
- d)Copia de petición de baja de la línea acabada en 83 en escrito que firma el denunciante el 6/04/2010, firmando como administrador de SUPERMRCADO DIVINA PSTORA SL, y copia del DNI de la persona física, y del CIF de la empresa. 2) Prescripción de la infracción, pues el denunciante recibió distintos requerimientos previos de pago de la deuda y la carta informándole de la inclusión en el fichero de solvencia el 12/03/2011 (si bien recibe requerimiento, esto era a nombre de la empresa, no de él) y han transcurrido los dos años desde que se cometiera la infracción con conocimiento del afectado, habiendo sido notificado el acuerdo de inicio el 31/01/2014, al tener la infracción el carácter de no permanente sino de infracción de estado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 3) Por existir causas que disminuyen la culpabilidad solicita aplicación del artículo 45.5 de la LOPD como son el Acta 925/2006, porque el perjuicio ocasionado ha sido levísimo, no consta que los datos fueran consultados en los ficheros de solvencia, no se obtuvo beneficio. QUINTO: Con fecha 27/05/2014 se accede con el CIF expedido por la AEAT aportado en alegaciones por la denunciada al Registro mercantil en la web y se imprimen para su constancia en el expediente los datos de la SL SUPERMERCADO DIVINA PASTORA, figurando como Administrador único el denunciante inscrito desde 18/03/2011. Asimismo se incorpora el informe del Gabinete Jurídico de esta Agencia aludido por la denunciante en sus alegaciones (203 a 211). El mismo trata del ámbito de aplicación de los empresarios individuales y aclara el termino personas de contacto del artículo 2. SEXTO: Con fecha 28/05/2014, se formuló propuesta de resolución, proponiendo: “Que por el Director de la Agencia Española de Protección de Datos se sancione a ORANGE ESPAGNE S.A.U.. con multa de 50.000 €, por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de dicha norma, de conformidad con el artículo 45.2 y 4 de dicha LOPD.” SÉPTIMO: Con fecha 25/06/2014 la denunciada reitera las alegaciones y añade:
- a)La infracción estaría prescrita porque el afectado recibió una carta informándole de su inclusión en el fichero de solvencia el 12/03/2011, conociéndose entonces la infracción por el afectado, por lo que desde ese momento en que puede reaccionar comienza el plazo de prescripción, anota las sentencias de 25/02/2013 recurso 252/2011 y de 22/02/2012 recurso 835/2009.
- b)No es cierta la afirmación de que la deuda del denunciante INTRUM pues la deuda era de la SL. fue vendida a HECHOS PROBADOS 1) De acuerdo con las manifestaciones del denunciante y de la denunciada, y resultante de la aportación de su escritura pública que aporta la denunciada, SUPERMERCADO DIVINA PASTORA SL se constituyó el 3/08/2000, siendo el denunciante Administrador solidario junto a su esposa (186 a 188. 2) FRANCE TELECOM ESPAÑA, S.A., tiene los datos del denunciante en sus sistemas indicando que le consta como “Administrador” y persona de contacto de la empresa SUPERMERCADO DIVINA PASTORA, S.L., que figuraba como titular del contrato 1. C.C.C., asociado a cuatro líneas de telefonía móvil dadas de alta en distintas fechas entre abril y mayo 2010 y siendo bajas en distintas fechas de 2010 (92, 97). Asociadas a las líneas, figuran dos facturas impagadas de fechas 26/04 y 16/05/2010, por un importe total de 155,06 €. (91, 92) que a la postre se incluyó en fichero ASNEF y EQUIFAX. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 Se aporta copia de los contratos de las líneas (181 a 183) en los que como datos del cliente figuran el CIF y nombre de SUPERMERCADO DIVINA PASTORA SL, figurando como persona autorizada el denunciante con sus datos y DNI, que es el que firma el contrato en nombre de SUPERMERCADO, así como copia de escritura pública de constitución de Sociedad SUPERMERCADO DIVINA PASTORA SL, fechada el 3/08/2000 (186 a 189) junto con copia de tarjeta CIF de la Sociedad, expedida por la AEAT. 3) Como ejemplo de petición de baja de una línea, el denunciante formaliza un escrito en el que firma como Administrador de SUPERMERCADOS
(190)aludiendo a que la línea 83 es titularidad de la empresa. 4) Por las líneas de SUPERMERCADO DIVINA PASTORA SL, se emitieron por la denunciada diversas facturas, constando como impagadas, según la denunciada dos, de fechas 26/04 y 16/05/2010, por un importe total de 155,06 €. (93, 94). En las facturas aparecen como datos de cliente los del SUPERMERCADO, DIVINA PASTORA SL, enviándose las mismas al denunciante (1, 2, 12, 105 a 107). 5) Por el impago de la citada cantidad, ORANGE informa los datos del denunciante a los ficheros de solvencia, permaneciendo: a. En el fichero BADEXCUG, desde 13/03/2011 a 24/02/2013, (63, 64, 69 a 73,). Denunciante ejercita los derechos de acceso el 15/11/2012 (4, 64, 78) y el de cancelación el 18/12/2012 (10,65) siendo denegado por la informante (87 a 99). b. En el fichero ASNEF desde 11/03/2011 (42, 43) Denunciante ejercita el derecho de acceso el 30/10/2012 contestando el 6/11/2012 que sus datos habían sido incluidos por ORANGE el 11/03/2011
(50)y la cancelación el 17/12/2012 respondiendo con la confirmación de la informante (11,53, 54, 62). Figura asimismo que el 21/02/2013 se emite una carta al denunciante por la misma cantidad por parte de INTRUM JUSTITIA (42, 44) notificándole la misma inclusión. 6) Los requerimientos de pago previo no han sido realizados al denunciante como titular de la deuda, sino que se le comunicaban al SUPERMERCADO, a la dirección del SUPERMERCADO, coincidente con la del denunciante, pero ninguno como deudor el propio denunciante (60, 61, 13 a 15). 7) ORANGE informa que la deuda del denunciante fue vendida a INTRUM JUSTITIA, pero se acredita que en las respuestas a los ejercicios de cancelación, la denunciada confirmó la permanencia de los datos en ficheros. La denunciada no acredita la fecha concreta en que tal deuda pasa a disposición de INTRUM, aportando un apunte informático de sus sistemas que no es documento que acredite fehacientemente la fecha de transmisión de la deuda.
(99). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 en relación con el artículo 36 de la LOPD. II No discutiéndose por ninguno de los actores que las líneas que originan los impagos habían sido contratadas con la denunciada por la Sociedad Limitada, a quien se requiere fehacientemente el pago, se imputa a ORANGE la infracción del artículo 4.3 de la LOPD, por haber incluido los datos del denunciante en ficheros de solvencia. El artículo indica: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan como veracidad a la situación actual del afectado.” La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. La denunciada no ha justificado que los cargos de las líneas recogidos en la factura fueran titularidad del denunciante sino que se acredita precisamente todo lo contrario, que las contrataciones son titularidad de una persona jurídica. Se caracteriza la Sociedad limitada porque su capital está dividido en participaciones producto de las aportaciones de los socios. La condición de socio y titular de participaciones sociales no implica en modo alguno la responsabilidad personal por las deudas sociales. El artículo 1 de la Ley de 2/1995, de 23/02, de Sociedades de Responsabilidad Limitada, aplicable en el momento de su creación indica:”En la sociedad de responsabilidad limitada, el capital, que estará dividido en participaciones sociales, se integrará por las aportaciones de todos los socios, quienes no responderán personalmente de las deudas sociales”. Idénticos términos emplea la Ley de Sociedades de capital Real Decreto Legislativo 1/2010, de 2/07, vigente desde 29/9/2013 en su artículo 1, El hecho de que figurase el denunciante como firmante de los contratos no es óbice a que la responsabilidad por el impagado sea de la Sociedad como se desprende de su norma reguladora. III El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 que respondan con veracidad a la situación actual de aquellos”. El artículo 38 del Reglamento de desarrollo de la LOPD, “Requisitos para la inclusión de datos” dispone lo siguiente: 1. “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).
- b)(…).
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”.
- d)Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. Por tanto, de acuerdo con lo señalado, es requisito indispensable para que los datos del deudor puedan ser incluidos en ficheros de los creados al amparo del artículo 29.2, que quede acreditada la existencia de una deuda cierta vencida y exigible, y que ésta haya sido requerida previamente de pago antes de comunicar los datos del deudor al responsable del fichero común. Se aprecia que la denunciada no solo no requiere el pago al denunciante sino que está incluyendo los datos de una persona física a la que no se considera de acuerdo con las leyes, titular o responsable de una deuda no contraída por el sino por la S.L. de la que ostenta su Administración, pero que no deja de ser un cargo del órgano de la misma, y con independencia de que sea una Sociedad de uno o más socios. IV Consta acreditado en esta Agencia que las entidades asociadas a los ficheros de solvencia patrimonial y crédito como BADEXCUG suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales de la denunciante son datos que figuran en sus propios ficheros automatizados, pero en este caso aparecen además como plus, relacionados con la recarga de tres líneas que la denunciante no reconoce haber contratado, y la denunciante no acredita tener el consentimiento para tratar dichos datos. Adicionalmente, son comunicados al responsable del fichero de solvencia a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 través de cintas magnéticas que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (artículo 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En este sentido se pronuncia la Audiencia Nacional en su Sentencia de 18/01/2006, Recurso 0236/2004, “Y que duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en que momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Conforme al citado artículo. 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decide sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3, en su apartado c), delimita en qué consiste el tratamiento de datos incluyendo en tal concepto “las operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. ORANGE trató automatizadamente los datos relativos a la denunciante en sus propios ficheros y los comunicó al fichero BADEXCUG y ASNEF decidiendo sobre la finalidad, contenido y uso del tratamiento. De lo anterior se deduce que las comunicaciones de los importes de la factura señalada los ficheros citados implica que ORANGE facilitó una información que no respondía a la situación exacta, veraz y actual de denunciante, lo que supone una clara vulneración del principio de calidad de datos, de la que debe responder, por ser responsable de la veracidad y calidad de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en ficheros de solvencia patrimonial y crédito. La conclusión que se desprende es que ORANGE es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD. V El artículo 44.3.
- c)de la LOPD, considera infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” En este caso, ORANGE ha incurrido en la infracción descrita ya que ha vulnerado el principio consagrado en el artículo 4.3 de la LOPD, por tratar los datos de la afectada sin adecuarse a la veracidad y exactitud que requieren, asociando el impago de una cantidad por unas líneas no pertenecientes al denunciante que resultaron C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 comunicadas al fichero BADEXCUG y ASNEF. VI La alegación de la denunciada de que los datos del denunciante figuraban como persona de contacto de la misma, y los considera excluidos de la aplicación de la LOPD al considerar este aspecto incluido en el artículo 2 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD, (RLOPD), que precisa: “1. El presente Reglamento será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. 2. Este Reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales. 3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal” El denunciante no es un empresario individual pues es Administrador, pero no de una empresa individual, sino de una Sociedad, persona jurídica, y sus datos no es que sean de contacto de la Sociedad de la que es socio, sino que es el Administrador. Las personas jurídicas no gozan de protección de la LOPD, pero si los datos de personas físicas como los datos que resultaron incluidos en ficheros de solvencia del denunciante que además, no debieron incluirse pues puramente, no es el deudor legal de una deuda de impago de líneas a nombre de la SL. Por tanto, los datos del denunciante se han usado a través de la cesión a ficheros de solvencia atribuyéndole una deuda de la que no es titular, por lo que la falta de calidad se revela tanto en el momento de incluirse como durante todo el período en que es mantenido en dicho tipo de ficheros, pues mientras permanece se considera que la deuda para con el no reúne los requisitos de certeza, y veracidad, al no ser él el deudor. La Audiencia Nacional en la Sentencia dictada el 16/02/2002, por la Sala de lo Contencioso Administrativo, Sección Primera, Número de recurso 1144/1999, en el Fundamento de Derecho Cuarto se señala: “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan” VII Sobre la alegación formulada por ORANGE en el sentido de considerar prescrita la infracción que se le imputa, para lo cual habrá que estar a lo dispuesto en el artículo 47 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 de la LOPD, que establece, en sus apartados 1, 2 y 3, lo siguiente: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor”. En el presente caso, la infracción imputada es el tratamiento de los datos por defecto de calidad al incluir los datos del denunciante, persona física en sendos ficheros de solvencia. Se cuestiona por un lado, si cabe atribuir al denunciante la condición de deudor de unas líneas telefónicas que queda acreditado, se contrataron bajo la titularidad de su empresa SUPERMERCADOS DIVINA PASTORA en forma de Sociedad Limitada. Por otro lado, el que aquí interesa, significar que los datos del denunciante han figurado incluidos en ficheros de solvencia en un caso hasta 24/02/2013 y en ambos casos se certificó su permanencia por ORANGE en diciembre 2012 con motivo de ejercicio de derecho de cancelación. En el presente caso no se trata solo de la falta de requerimiento previo de pago al denunciante. Se ha de recordar que el denunciante al recibir los requerimientos en los que aparece deudor el Supermercado no puede imaginar que serían sus datos los que se iban a incluir, y en tal sentido, falta el requerimiento previo de pago dirigido y conteniendo los datos de su persona, junto con la advertencia de su posibilidad de inclusión en los ficheros en los que a la postre serían incluidos. En este caso, además, se considera que el denunciante no es el deudor de la deuda contraída, que lo fue por otra persona, jurídica en este caso. Por tanto, es una deuda desde el inicio no exigible al denunciante, no veraz y no cierta respecto a su persona. Precisamente en las sentencias alegadas por la denunciada para contemplar la prescripción de la infracción, se analiza y distingue si la falta de calidad de datos procede de la falta de requerimiento previo de pago o de la ausencia de deuda, es decir que el deudor incluido no es el sujeto obligado al pago o que la deuda correspondiera a otro sujeto por ejemplo. La denunciada afirma que al denunciante se le notificó su inclusión con carta, teniendo conocimiento el 12/03/2011. Esta afirmación carece de acreditación, pues sus inclusiones además de ser el 11/03/2011 en ASNEF y el 13/03/2011 en BADEXCUG, no queda acreditado que el denunciante recibiera la citada notificación de inclusión de sus datos a dicha fecha. Pero además, tal como determina una de las sentencias alegadas, sobre los efectos de fechas de prescripción en las inclusiones de ficheros de solvencia, la Audiencia Nacional, Sala de lo Contencioso, ha dictado hasta el presente entre otras, la alegada sentencia, recurso: 835/2009, de 23/02/2012, en la que en Fundamento Jurídico Segundo precisa: “Ahora bien, a los efectos del cómputo del plazo de prescripción de la infracción, debe distinguirse entre los supuestos en los que el principio de calidad del dato se vulnera por la inclusión y el mantenimiento en el fichero de solvencia patrimonial de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 datos inexactos o no actualizados; y aquellos otros en los que la infracción del citado principio tiene su origen en la falta de requerimiento previo de pago al deudor aunque el dato de la deuda inscrito sea exacto. En el primer supuesto, la infracción se produce en el momento en el que se inscribe el dato en el fichero de solvencia patrimonial y sigue produciendo mientras el dato inexacto permanece inscrito en el mismo, pues al quebrar la correspondencia que debe mediar entre los datos incluidos en el fichero y la situación real del afectado, la infracción persiste durante el tiempo en el que los datos inexactos permanecen en el fichero infringiendo tal principio de calidad. En el segundo -inclusión de datos exactos en el fichero de morosos sin haber realizado previamente el requerimiento de pago al deudor-, la infracción del principio de calidad del dato encuentra su razón de ser en la falta de requerimiento previo de pago al deudor, en cuanto priva al afectado de la posibilidad de hacer frente a la deuda antes de sufrir las consecuencias de que sus datos sean inscritos en dicho fichero. Como ya dijimos en nuestra sentencia de 20 de abril de 2006 "... aquel que utiliza un medio extraordinario de cobro como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos materiales (exactitud el dato) y formales (requerimiento previo) que permitan el empleo de este modo accesorio para conseguir el cobro de la deuda. No aplicar esta exigencia supondría, por lo contrario, utilizar este medio de presión al recurrente sin el suficiente aseguramiento de las mínimas garantías para los titulares de los datos que son anotados en los registros de morosos". De modo que aquel que incluye los datos personales de una persona en un fichero de solvencia patrimonial sin haber efectuado un previo requerimiento de pago al deudor del que exista constancia, comete una infracción de la LOPD relacionada con el principio de calidad del dato, que no solo se produce en el momento de la inscripción sino que persiste mientras no se repara la irregularidad cometida. Y dado que la irregularidad consiste, en este caso, en no haber puesto en conocimiento del deudor que la deuda se iba a inscribir en el fichero de solvencia patrimonial, esta cesa en el momento en el que conste que el deudor tiene conocimiento de que la deuda ha sido inscrita en el fichero de morosos, pues a partir de ese momento tiene conocimiento de esta situación y tiene la posibilidad de hacer frente a la misma para evitar el mantenimiento de la inscripción en el fichero, y, por lo tanto, desde ese momento la infracción deja de producirse y comienza el cómputo del plazo de prescripción de la infracción. En el supuesto presente la parte recurrente plantea la prescripción En el supuesto presente la parte recurrente plantea la prescripción de la infracción por el transcurso el plazo prescriptivo desde que sus datos accedieron al fichero de morosidad por entender que se sanciona la falta de requerimiento previo que es una infracción grave que tiene previsto un plazo de prescripción de la infracción de dos años (art. 47 de la Ley Orgánica 15/1999). La inscripción de los datos del denunciante en el fichero de solvencia patrimonial tuvo lugar el 30 de Mayo de 2006 y, con independencia de toda consideración en torno a la constancia de los requerimientos previos que hizo la empresa encargada del cobro, lo cierto es que resulta plenamente acreditado que el denunciante ejercita el derecho de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 acceso frente a ASNEF- EQUIFAX con fecha 21 de Diciembre de 2006 contestándose a dicho ejercicio de derecho de acceso cuales eran los datos que aparecían y cuáles eran las entidades que habían consultado esos datos. Por lo tanto, en el momento en que Sixto ha ejercitado el derecho de acceso (21/12/2006) es obvio que era consciente de que sus datos estaban inscritos en el fichero de morosos en relación con una determinada deuda por lo que en la fecha en que se inició el procedimiento sancionador (9/1/2009) y con mayor motivo en la fecha en que dicho acuerdo se notificó a la entidad recurrente había transcurrido sobradamente el plazo de prescripción de dos años previsto para estas infracciones. En consecuencia, esta Sala considera que la infracción administrativa ha prescrito; se sigue de este modo el criterio recogido en otras sentencias como la correspondiente al recuso 611/2010.” Habida cuenta que no solo se trata de la falta de requerimiento previo al denunciante, sino que no se acredita que se efectuara la notificación de su inclusión inicial, consta que ejercía derechos de acceso el 30/10/2012. Añadiendo que lo que aquí también se considera es la modalidad de dato inexacto debido a la inexistencia de deuda atribuible al denunciante. Por ello, se concluye que este dato inexacto pervive mientras que los datos del denunciante se hallan en tales ficheros con la circunstancia de que en el ínterin se ejerció el derecho de cancelación en diciembre de 2012, siendo confirmados, y de baja finalmente el 24/02/2013 en BADEXCUG. El acuerdo de inicio del procedimiento sancionador fue notificado a ORANGE el 31/01/2014, y desde las fechas de baja en los ficheros no se ha producido la prescripción de la infracción al no superar el plazo establecido en el citado artículo 47.1 de la LOPD. Por tanto, debe desestimarse esta alegación de FRANCE TELECOM. VIII La conducta que configura el ilícito administrativo aplicado en este caso requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en la falta de diligencia observada por la denunciada para asegurarse de que los datos del denunciante fueran asociados como deudor de una deuda de la SL, incluidos en ficheros de solvencia, y a pesar de ejercer el derecho de cancelación, mantenidos. En este sentido el Tribunal Supremo viene entendiendo que existe imprudencia siempre se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. “Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. En este sentido la STS de 5 de junio de 1998 exige a los profesionales del sector "un deber de conocer especialmente las normas aplicables", y en similares términos se pronuncian, entre otras, las SSTS de 2 de marzo de 1999 y 17 de septiembre de 1999 En el presente caso, la denunciada ocupa uno de los primeros puestos en el ranking de operador de telecomunicaciones en España tanto a nivel de clientes como de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 negocio. Pese a ello, incluye los datos del denunciante en ficheros de solvencia y los mantuvo cuando puedo haber cancelado. Ello denota la deficiente diligencia que muestra la denunciada que por su profesionalidad debía saber que el denunciante no es deudor de las deudas de una SL de la que es Administrador. IX El artículo 45 de la LOPD, establece, en sus apartados 1, 2, y 4 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. criterios: La cuantía de las sanciones se graduará atendiendo a los siguientes
- a)El carácter continuado de la infracción. b El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza. infracción.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5 El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» ORANGE solicita la aplicación del artículo 45.5 de la LOPD, porque existen causas que disminuyen la culpabilidad como son el Acta 925/2006, el perjuicio ocasionado no fue importante, no consta que los datos fueran consultados en los ficheros de solvencia, y no se obtuvo beneficio. Tampoco se puede tener en cuenta la circunstancia de que nadie consultara el fichero pues es un hecho circunstancial que no depende de la voluntad de ningún actor y no es relevante para tenerse en cuenta en la aplicación del 45.5 de la LOPD El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda que, en el caso ahora examinado, cuando la actividad de la denunciada es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. En este sentido la STS de 5 de junio de 1998 exige a los profesionales del sector "un deber de conocer especialmente las normas aplicables", y en similares términos se pronuncian, entre otras, las SSTS de 2 de marzo de 1999 y 17/09/1999. En tal sentido, la denunciada debiera conocer la diferencia de responsabilidades de las Sociedades y no dar lugar a una inclusión no conforme con las normas de responsabilidad de estas. En lo que respecta al Acta invocada, dado el tiempo transcurrido desde la misma y el número de procedimientos por infracciones a la LOPD por los que la denunciada ha sido sancionada, carece de virtualidad su alegación para el efecto pretendido, acreditándose su insuficiencia en el presente caso. En cuanto a la falta de perjuicios causados al denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. Asimismo, la denunciada confirmó los datos frente a la cancelación solicitada, y en el fichero ASNEF consta sin solución de continuidad la inclusión de la cesionaria de la deuda a la que la denunciada manifiesta haber efectuado la venta de la misma, no procediendo por las anteriores circunstancias aplicar el artículo 45.5 de la LOPD En los informes anuales de 2009 y 2011 de la Comisión del Mercado de las Telecomunicaciones, se recoge que ORANGE tuvo unos ingresos totales en el sector de: 4146,78 millones de Euros en C/ Jorge Juan, 6 28001 – Madrid 2007 www.agpd.es sedeagpd.gob.es 15/16 3944,20 millones de Euros en 2008 3871,08 millones de Euros en 2009 3847,88 millones de Euros en 2010 4013,19 millones de Euros en 2011 En el informe de 2013: 4038,04 millones de Euros en 2012 Para aplicar la graduación de la sanción que prevé el artículo 45.4 de la LOPD se debe apreciar que la inclusión se produce en dos ficheros, se confirman tras el ejercicio en ambos de su derecho de cancelación y se vulneró el aspecto formal, falta de requerimiento previo al denunciante y también el material por tratarse de una deuda no exigible al denunciante, imponiéndose una multa de 50.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE S.A.U.., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de dicha norma, una multa de 50.000 €, de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE S.A.U.. y a A.A.A.. TERCERO:: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es