← España

PS-00039-2016

1/12 Procedimiento Nº PS/00039/2016 RESOLUCIÓN: R/01490/2016 En el procedimiento sancionador PS/00039/2016, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE S.A.U., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 02/03/2015 tiene entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que declara que en una tienda de Orange solicitó un cambio en el ciclo de facturación. Posteriormente al acceder al canal on line de Orange comprueba que figura el nombre de B.B.B. y que junto a su línea de telefonía móvil ***TEL.1 figuran otras 4 que no ha contratado. No obstante el número de cuenta bancaria de facturación sí que es el suyo. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ORANGE ESPAGNE S.A.U., teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones de inspección que se transcribe: “ACTUACIONES PREVIAS 1. Sobre los sistemas de información de Orange se han realizado las siguientes verificaciones: 1.1. Se realiza una consulta sobre los titulares del número de teléfono ***TEL.1 verificándose que el contrato de abonado ***CONTRATO.1 ha estado a nombre de B.B.B.. 1.2. Se consultan los datos relativos al contrato ***CONTRATO.1 verificándose que el cliente asociado al mismo en D. B.B.B., NIF ***NIF.1 y con dirección en la (C/...1) de Madrid. El número de cuenta corriente de domiciliación bancaria es titularidad de A.A.A.. 1.3. Se accede a la denominada “libreta roja” que refleja el histórico de cambios en el citado contrato, verificándose:   C/ Jorge Juan, 6 28001 – Madrid En fecha 11/12/2014 el contrato estaba a nombre de A.A.A. con NIF ***NIF.2, y dirección (C/...2), Madrid, y cuenta corriente cuyo titular es el propio A.A.A.. En fecha 27/02/2015 a las 11:52 se cambia el titular de este contrato de A.A.A. con NIF ***NIF.2 a D.D.D. con identificador ***NIF.3. En el sistema de información figura que esta modificación se ha creado por “SID” que según informan los representantes de la entidad es un punto de www.agpd.es sedeagpd.gob.es 2/12  venta. En la misma fecha 27/02/2015 a las 18:27 se produce un nuevo cambio de titular de D.D.D. con identificador ***NIF.3 a B.B.B. con NIF ***NIF.1 y dirección en la (C/...1) de Madrid En el sistema de información figura que esta modificación también se ha creado por “SID” que según informan los representantes de la entidad es un punto de venta. A la vista de esta documentación, los representantes de la entidad manifiestan que este cruce de datos se debe a un error humano cometido involuntariamente en el punto de venta que se produjo cuando el reclamante, D. A.A.A. realizó una gestión personalmente, asignando su número de línea a D.D.D. y en el mismo día al detectar el error se asignó a B.B.B., quedando el número de cuenta corriente sin modificar. Como el acceso al Área de Cliente se realiza facilitando el número de teléfono y la contraseña, cuando D. A.A.A. facilitó su número ***TEL.1 y su contraseña tuvo acceso a todos los datos de B.B.B. que en ese momento figuraba como titular de la línea. En el transcurso de las presentes actuaciones, los representantes de Orange han iniciado las actuaciones para solicitar al punto de venta la documentación que justifique los cambios de titularidad, en aras de conocer el origen del problema. 1.4. Se accede al sistema de facturación y se verifica que la factura relativa a la línea ***TEL.1 emitida en fecha 01/03/2015 figura el nombre de B.B.B., domicilio (C/...1) de Madrid. Además de esta se ha emitido otra factura de fecha 01/04/2015 relativa al teléfono ***TEL.1 a nombre de B.B.B.. Ambas facturas han sido anuladas en fecha 25/03/2015 de la factura de marzo y en fecha 15/04/2015 se anula la factura de abril, a raíz de las reclamaciones presentadas por el cliente. Según indican los representantes de la entidad, el error cometido en el punto de venta produjo una desalineación entre los sistemas SIEBEL (de gestión de clientes) y el sistema de facturación (BSCS) A raíz de los contactos mantenidos con el cliente, esta alineación entre los sistemas se realizó en fecha 22/04/2015, verificándose que los datos quedan correctamente. 1.5. Se solicita acceso al fichero que contiene los contactos y reclamaciones mantenidas con el cliente verificándose que:   C/ Jorge Juan, 6 28001 – Madrid En fecha 02/03/2015 se reclaman cargos por una línea que no reconoce. En fecha 25/03/2015 reclama por error de datos personales motivo por el cual se le han generado dos facturas a nombre de otros titulares. La entidad procede a la rectificación de las facturas quedando en importe a 0.” www.agpd.es sedeagpd.gob.es 3/12 TERCERO: Con fecha 25 de febrero de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE por presunta infracción de los artículos 4.3 y 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas ambas como graves en el artículo 44.3.

  1. c)y
  2. d)respectivamente de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ORANGE formuló las siguientes alegaciones: 1ª.Aplicación del concurso medial de infracciones, ya que no se hubiese producido la vulneración del derecho de secreto de los datos de los clientes si previamente no hubiese habido algún tipo de inexactitud en esos datos. 2ª.Infracción del artículo 4.3. Ausencia de culpabilidad. Cumplimiento de la diligencia debida. El cruce de datos se debió a un error humano cometido de forma involuntaria en el punto de venta cuando el reclamante realizó personalmente una gestión de cambio de titular, asignándose su número de línea a otro titular. Que posteriormente fue modificado quedando el número de cuenta corriente sin corregir. Por tanto no concurren en los hechos dolo o negligencia por parte de ORANGE. 3ª.- Aplicación subsidiaria del artículo 45.5 y 45.4 de la LOPD. El cruce de datos tuvo lugar en fecha 27/02/2015, generándose una factura en fecha 01/03/2015 que fue anulada el día 25 de ese mismo mes, y en fecha 15/04/2015 se procedió a anular la generada el día 01/04/2015. Por tanto ORANGE regularizó la situación un año antes del inicio del procedimiento sancionador y varios meses antes de la inspección efectuada por la Agencia. En relación a la graduación de la sanción (art. 45.4 LOPD) debe tomarse en consideración los siguientes aspectos: - Los datos no permanecieron durante demasiado tiempo de forma errónea en los sistemas ya que se rectificaron en unos días. Ausencia de beneficios al proceder a la anulación rápida de las facturas generadas. Ausencia de intencionalidad. Naturaleza de los perjuicios causados, ya que el denunciante únicamente tuvo que reclamar a ORANGE para que ésta solucionara el error. QUINTO: En fecha 26/05/2016 se emitió propuesta de resolución en el sentido de imponer a ORANGE una multa de 20.000 € por la infracción del artículo 4.3 de la LOPD. SEXTO: Notificada la propuesta ORANGE solicita la graduación de la sanción a imponer en atención a la concurrencia de los criterios del artículo 45.5.
  3. a)y
  4. h)de la LOPD, minorando el importe de la misma. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 PRIMERO: El denunciante (NIF ***NIF.2) era titular de la línea ***TEL.1 de ORANGE según contrato suscrito en fecha 11/02/2014. Como domicilio figura (C/...2), Madrid y como cuenta de domiciliación de facturas figura ***CCC.1. SEGUNDO: Consta en el expediente pantallazos del área de clientes de la web de ORANGE obtenidos en fecha 02/03/2015 en los cuales figura la línea del denunciante ***TEL.1 junto con otras 4 más, así como su cuenta bancaria ***CCC.1, asociadas a otra persona, B.B.B. con dirección (C/...1) de Madrid. ORANGE confirmó que el acceso al Área de Clientes se realiza facilitando el número de teléfono y la contraseña, y así cuando el denunciante facilitó su número ***TEL.1 y su contraseña tuvo acceso a todos los datos de B.B.B. que en ese momento (02/03/2015) figuraba como titular de la citada línea. TERCERO: En los sistemas de información de ORANGE consta que la línea ***TEL.1 (contrato de abonado ***CONTRATO.1) ha estado a nombre de C.C.C. (NIF ***NIF.1), con dirección en la (C/...1) de Madrid. El número de cuenta corriente de domiciliación bancaria es el ***CCC.1 y su titular A.A.A.. CUARTO: En el fichero de ORANGE que refleja el histórico de cambios en el citado contrato, consta lo siguiente:    En fecha 11/12/2014 (fecha de alta de la línea ***TEL.1) el contrato estaba a nombre de A.A.A. (denunciante) con NIF ***NIF.2, dirección (C/...2), Madrid, y cuenta corriente ***CCC.1. En fecha 27/02/2015 a las 11:52 se cambia el titular de este contrato de A.A.A. (denunciante) NIF ***NIF.2 a D.D.D. con identificador ***NIF.3. En el sistema de información figura que esta modificación se ha creado por un punto de venta. En la misma fecha 27/02/2015 a las 18:27 se produce un nuevo cambio de titular de D.D.D. con identificador ***NIF.3 y dirección (C/...3), Madrid, a C.C.C. con NIF ***NIF.1, dirección en la (C/...1) de Madrid y cuenta corriente ***CCC.1 (titularidad del denunciante). En el sistema de información figura que esta modificación también se ha creado por un punto de venta. A raíz de los contactos mantenidos con el cliente, en fecha 22/04/2015 se corrigieron los datos los datos quedan correctamente. QUINTO: ORANGE emitió las siguientes facturas de la línea ***TEL.1 a nombre de C.C.C., NIF ***NIF.2, domicilio (C/...1) de Madrid y cuenta bancaria del denunciante ***CCC.1: - factura de fecha 01/03/2015 por importe de 43,94 € que no fue pagada y posteriormente anulada en fecha 25/03/2015. factura de fecha 01/04/2015 que no fue pagada y posteriormente anulada en fecha 15/04/2015. SEXTO: En los sistemas de ORANGE constan los siguientes contactos y reclamaciones mantenidas con el denunciante: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12   En fecha 02/03/2015 se reclaman cargos por una línea que no reconoce. En fecha 25/03/2015 reclama por error de datos personales motivo por el cual se le han generado dos facturas a nombre de otros titulares. La entidad procede a la rectificación de las facturas quedando en importe a 0. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II La LOPD dispone en su artículo 4, relativo a la “calidad de los datos”: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado. 4. Si los datos de carácter personal registrados resultaren ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. La infracción del artículo 4.3 de la citada LOPD, sanciona el uso de los datos de carácter personal "con conculcación de los principios y garantías establecidas" en la Ley Orgánica citada, define, las pautas a las que debe atenerse la recogida, tratamiento y uso de datos de carácter personal, pautas encaminadas a garantizar tanto la veracidad de la información contenida en los datos almacenados cuanto la congruencia y racionalidad de la utilización de los mismos. Este principio de calidad es esencial y determina que los datos han de ser "exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado", Estos principios y concretamente, por lo que hace al caso, el previsto en el artículo 4.3 de la LOPD , pretenden concretar el derecho fundamental que se recoge en el artículo 18.4 de la CE , bajo la referencia al uso de la informática, y que extiende su protección no a los datos íntimos de la persona -que se protegen en el derecho a la intimidad-, y que en todo caso gozan de protección reforzada en el Ley Orgánica de tanta cita, sino a los datos de carácter personal (STC 292/2000 ). Por tanto, la garantía de la vida privada de la persona y su reputación poseen una dimensión positiva que excede del ámbito del artículo 18.1 CE y que se traduce en un derecho al control sobre los propios datos. Se pretende garantizar ahora a la persona, mediante el control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 ilícito y lesivo para la dignidad del afectado. La Audiencia Nacional, en diversas sentencias (entre otras, SAN de 24 de marzo de 2004 y 7 de julio de 2006), ha señalado que los principios generales contenidos en el Título II de la LOPD definen las pautas a las que debe atenerse la recogida, tratamiento y uso de los datos de carácter personal. En este sentido, la STAN de 25 de julio de 2006 manifiesta: “…dichos principios sirven para delimitar el marco en el que debe desenvolverse cualquier uso o cesión de los datos de carácter personal y para integrar la definición de los tipos de infracción definidos en el artículo 44 de la LOPD, pues este precepto aborda la tipificación de las distintas infracciones mediante una remisión a los principios definidos en la propia Ley”. Entre éstos se recoge –artículo 4.3- el de exactitud o veracidad, a través del cual se trata de garantizar y proteger la calidad de la información sometida a tratamiento -exacta y puesta al día- por la que debe velar quien recoge y trata datos de carácter personal. En definitiva, la obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999 implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. III En el presente caso se imputa a ORANGE una infracción del artículo 4.3 de la LOPD, por lo que corresponde analizar si los datos tratados por la operadora se ajustaron o no al principio de exactitud y veracidad que consagra el citado precepto. La vinculación existente en los sistemas de ORANGE de la línea del denunciante ***TEL.1 y su cuenta bancaria ***CCC.1, a otra persona (B.B.B.), NIF (***NIF.1) y dirección ((C/...1) de Madrid) ha sido acreditada en el expediente, vinculación que según manifiesta la imputada se originó por un error en el un punto de venta al que acudió el denunciante a realizar personalmente una gestión, asignado por error su línea a otra persona pero manteniendo la cuenta de domiciliación bancaria de facturas de tal modo que se emitieron facturas de fechas 01/03/2015 y 01/04/2015 de la línea ***TEL.1 a nombre de B.B.B. pero facturándose a la cuenta bancaria del denunciante, facturas que fueron anuladas en fechas 25/03/2015 y 15/04/2015 tras reclamación del denunciante, resultando corregidos los datos en los ficheros de ORANGE en fecha 22/04/20415 En consecuencia ORANGE incorporó a sus ficheros, asociados a la línea del denunciante ***TEL.1 y su cuenta bancaria ***CCC.2, los datos personales de otra persona, en concreto el nombre y apellidos (B.B.B.), NIF (***NIF.1) y dirección ((C/...1) de Madrid), es decir, trató automatizadamente esos datos en sus propios ficheros, de los que es responsable conforme el artículo 3.
  6. d)de la LOPD. En definitiva ha decidido sobre la finalidad del tratamiento, el contenido de la información, y el uso del tratamiento, por lo que es responsable de que la información obrante en sus ficheros no responda al principio de calidad de datos recogido en el artículo 4 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Por las razones expuestas la conducta descrita constituye una vulneración, imputable a ORANGE, del principio de calidad del dato que proclama el artículo 4.3 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 IV El artículo 44.3.
  7. c)tipifica como infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. En el supuesto que nos ocupa la conducta de ORANGE, vulnera el principio de calidad de los datos, artículo 4.3, de la LOPD, infracción que se encuentra tipificada en el artículo 44.3.
  8. c)de la citada Ley Orgánica. V El presente expediente sancionador tiene también por objeto determinar la posible responsabilidad de ORANGE por infracción del artículo 10 de la LOPD, fruto de la revelación de los datos contenidos en sus ficheros, Artículo 10, “Deber de secreto”: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. A) El artículo 10 de la Ley Orgánica 15/1999, trascrito anteriormente se ocupa del deber de secreto, que tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de datos no consentidas por sus titulares. El Tribunal Superior de Justicia de Madrid en Sentencia de 19 de julio de 2001 afirma que “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En el mismo sentido se ha pronunciado la Audiencia Nacional, que en Sentencias de 14 de septiembre de 2001 y 29 de septiembre de 2004 ha afirmado que “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. Este precepto – artículo 10 de la LOPD- contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000), que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. B) En el presente asunto ha quedado acreditado que en fecha 02/03/2015, el denunciante tuvo acceso a los datos de nombre y apellidos, NIF y domicilio de B.B.B.) como acredita el pantallazo del área de clientes de ORANGE aportado por el denunciante y asimismo corrobora la entidad. En consecuencia, habida cuenta de que es responsabilidad de ORANGE, la custodia de los datos que se incorporan a sus ficheros, y dado que ha quedado acreditado que los datos de un cliente fueron efectivamente conocidos por el denunciante (esto es, una tercera persona), en tanto dicha operadora ha posibilitado el acceso a datos personales de uno de sus clientes sin su consentimiento, se concluye que vulneró el artículo 10 de la LOPD, infracción tipificada en el artículo 44.3.
  9. d)de la citada norma. El artículo 44.3.
  10. d)de la LOPD tipifica como infracción grave “ La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. VI El artículo 4.4 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, dispone: “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deber imponer únicamente la sanción correspondiente a la infracción más grave cometida.” En el presente caso cabe entender la existencia de un concurso de infracciones por cuanto el hecho de que en los ficheros de la imputada figuraran datos de la línea del denunciante asociados erróneamente a los de otro cliente, dio lugar a que el denunciante tuviera acceso, a través del área de clientes de la operadora al nombre y apellidos, NIF y dirección de otra persona (B.B.B.), y por tanto una vulneración del deber de secreto de sus datos personales. En consecuencia y conforme a lo señalado anteriormente procede proponer la imposición de únicamente una sanción, en este caso por infracción del artículo 4.3 de la LOPD, por ser la vulneración del deber de secreto (artículo 10 de la LOPD) consecuencia de la primera. VII El artículo 45 de la LOPD, apartados 1 a 5, dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  11. a)El carácter continuado de la infracción.
  12. b)El volumen de los tratamientos efectuados.
  13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  14. d)El volumen de negocio o actividad del infractor.
  15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  16. f)El grado de intencionalidad.
  17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  26. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. En lo que respecta a la falta de perjuicios causados al denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. El apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la presencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso cabe aplicar lo dispuesto en el artículo 45.5 de la LOPD (apartado
  27. b)por cuanto se ha acreditado la diligencia de ORANGE en la regularización de la situación irregular habida cuenta que tras reclamaciones del denunciante de fechas 02/03/2015 y 25/03/2015, se procedió a anular las facturas de la línea del denunciante ***TEL.1 emitidas en fechas 01/03/2015 (anulada en fecha 25/03/2015) y 01/04/2015 (anulada en fecha 15/04/2015) a nombre de ora persona, y corrigió los datos erróneos existentes en sus ficheros en fecha 22/04/2015. Esta actuación de ORANGE se produjo como reacción a las reclamaciones formuladas ante la entidad por el denunciante y en todo caso con anterioridad (6 meses) al inicio de actuaciones por parte de la Agencia mediante visita de inspección en ORANGE efectuada en fecha 23/09/2015. Por todo ello, procede proponer la imposición, por la infracción cometida, de una multa cuyo importe se encuentre entre 900 € y 40.000 €, al tener la infracción la tipificación de grave pero sancionarse conforma a las cuantías previstas en el artículo 45.1 para las infracciones leves. En cuanto a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, debe tomarse en consideración la ausencia de beneficios obtenidos por la comisión de la infracción ya que ORANGE anuló las 2 facturas (que no habían sido pagadas) de la línea del denunciante ***TEL.1 emitidas erróneamente a nombre de otra persona, así como la ausencia de perjuicios causados a éste por cuanto la situación irregular fue corregida por ORANGE en breve espacio de tiempo al atender sus reclamaciones, no obstante sin obviar el hecho que tras sus reclamaciones de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 fechas 02/03/2015 y 25/03/2015 en las que el denucniante puso de manifiesto que asociados a su linea ***TEL.1 y su cuenta bancaria ***CCC.2, figuraban los datos personales de otra persona, volvió a emitirse una factura en fecha 01/04/2015 manteniendo dichos datos inexactos. En el presente caso, valorados los criterios de graduación de las sanciones previstos en el artículo 45.4, cuya presencia ha quedado acreditada, procede sancionar a ORANGE con una multa de 20.000 € (veinte mil euros) por la infracción del artículo 4.3 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE S.A.U., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  28. c)de la LOPD, una multa de 20.000 € (veinte mil euros), de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE S.A.U., y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.