PS-00062-2016

1/30 Procedimiento Nº PS/00062/2016 - RESOLUCIÓN: R/01619/2016 En el procedimiento sancionador PS/00062/2016, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por Don A.A.A. , y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 18 de marzo de 2015 tiene entrada en esta Agencia un escrito de Don A.A.A. , (en lo sucesivo el denunciante), manifestando que ORANGE ESPAGNE SAU , (en lo sucesivo ORANGE), ha incluido sus datos personales en el fichero ASNEF estando pendiente de resolución una reclamación efectuada ante la ante la Secretaria de Estado de Telecomunicaciones y para la Sociedad de la Información (en adelante SETSI) . El denunciante aporta copia de la siguiente documentación: - Escrito remitido el 26/11/2014 por ORANGE poniéndole de manifiesto que han recibido el citado escrito de reclamación y que han “realizado todas las gestiones oportunas para excluir sus datos personales, de cualquier archivo de consulta de solvencia económica, en el que pudieran haber sido incluidos a petición de nuestra compañía” . - Escrito remitido el 12/11/2014 por ASNEF- EQUIFAX, Servicios de Información sobre Solvencia y crédito, S.L., (en adelante ASNEF-EQUIFAX), informándole que los datos incluidos en el fichero ASNEF por ORANGE, en fecha 24/10/2014, cuya inclusión ya le había sido notificada con anterioridad, ya eran accesibles por las entidades participantes en el fichero ASNEF. - Contestación efectuada el 17/11/2014 por EQUIFAX a la petición de cancelación del denunciante, registrada de entrada en las oficinas de esa entidad el 07/11/2014, comunicando que se había procedido a la Baja cautelar con la entidad ORANGE en el fichero ANSNEF de los datos asociados al identificador del denunciante. - Notificación de fecha 27/02/2015 de ASNEF-EQUIFAX comunicándole la incorporación de sus datos personales al fichero ASNEF el día 26/02/2015 por una deuda de 80,41 € informada por ORANGE. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 2/30 - Escrito de “Requerimiento previo a la Acción Judicial” remitido por empresa de recobro el 25/02/2015 con motivo de la deuda contraída con ORANGE por importe de 80,41 €. - Documento de la Secretaria de Estado de Telecomunicaciones y para la Sociedad de la Información contestando a una consulta del denunciante recibida en esa oficina el 05/03/2015, en el que se le comunica que el expediente RC1030605/14 ha pasado a resolución. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a las entidades EQUIFAX IBERICA, S.L. y ORANGE ESPAGNE S.A.U., teniendo conocimiento de lo siguiente: En relación con la inclusión de datos en el fichero ASNEF: Con fecha 20 de abril de 2015, se solicitó a EQUIFAX información relativa al denunciante con DNI J.J.J. y de la respuesta recibida, en fecha de registro de entrada en esta Agencia de 1 de junio de 2015 se desprende: 1. Con fecha 29/05/2015, no consta ninguna incidencia asociada al denunciante informada por ORANGE. 2. En el fichero de Bajas constan dos incidencias informadas por ORANGE, la primera con fecha de alta 24/10/2014 y baja el 17/11/2014. La segunda con fecha de alta 26/02/2015 y baja el 09/05/2015. Ambas por vencimientos impagados de 26/05/2014 - 26/08/2014. En relación con la entidad informante de la deuda Con fecha 20 de abril de 2015 se solicitó a ORANGE información relativa al denunciante, recibiéndose con fecha de registro de entrada en esta Agencia de 13 de julio de 2015 la siguiente contestación: - Con fecha 20/11/2014 se recibió en ORANGE una reclamación formulada por denunciante ante de la SETSI en la que, según dicha entidad, éste reclamaba “que había contratado el Servicio de ADSL con AMENA y no con ORANGE, que cuando se dio cuenta solicitó la cancelación pero no le dieron de baja, por lo que solicita la baja en el Servicio, la anulación de las facturas emitidas y la cancelación de sus datos.” Dicha reclamación fue registrada en sus sistemas el 25/11/2014. - Aportan copia de la respuesta remitida por ORANGE a la SETSI con fecha 26/11/2014, en la que informan, entre otros extremos, que: “Segunda.- Que con fecha 19/05/2014, se activó en Orange el producto ADSL Máxima Velocidad+línea Directo+llamadas en la línea mencionada, aceptando C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 3/30 el Sr. A.A.A. un periodo de permanencia de 12 meses, que finaliza el 20/05/2015. Les adjuntamos la grabación de voz de la contratación del servicio. (…) Cuarta.- Que la facturación emitida es correcta, habiendo realizado el titular uso del servicio, y el importe pendiente de pago por parte del cliente asciende a un total de 94,47 € (impuestos incluidos), de los cuales 18,46 € corresponden a la factura de fecha 26/05/2014, 39,18 € corresponden a la factura de 26/06/2014, 27,19 corresponden a la factura de 26/07/2014 y 9,64 € corresponden a la factura de 26/08/2014. (…) “Quinta.- Que hemos realizado todas las gestiones oportunas para excluir sus datos personales del cliente, de cualquier archivo de consulta de solvencia económica, en el que pudieran haber sido incluidos a petición de nuestra compañía” . - Indican que el denunciante fue incluido en el fichero ASNEF en las siguientes ocasiones: Con fecha 23/10/2014 y excluido con fecha 19/11/2014, por un importe de 94, 47 €, según documento adjunto Con fecha 25/02/2015 y excluido con fecha 07/05/2015, por un importe de 80,41 €, según documento adjunto - Aportan copia de certificado de EQUIFAX IBÉRICA, S.L. que acredita que a fecha 18/05/2015 no aparecen registrados datos del denunciante informados por ORANGE en el fichero ASNEF TERCERO: Con fecha 11 de febrero de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE ESPAGNE SAU, por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal, ( en lo sucesivo LOPD), en su relación con el artículo 29.4 de la misma norma, tipificada como grave en el artículo 44.3.

1. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. Notificado el acuerdo de inicio, con fecha 9 de marzo de 2016 se acuerda ampliar el plazo concedido para formular alegaciones en siete días, a contar a partir del día siguiente a aquél en el que finalice el plazo inicial, en contestación a la solicitud formulada por ORANGE en tal sentido. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 4/30 CUARTO: Con fecha 10 de marzo de 2016 se registra de entrada escrito de alegaciones al acuerdo de inicio de la representación de ORANGE solicitando el archivo del expediente sancionador con fundamento en la ausencia de culpabilidad en su actuación, manteniendo que del acuerdo de inicio no se deduce ninguna alegación de la Agencia destinada a probar la concurrencia de dolo o negligencia por parte de ORANGE, elementos que deben probarse por el órgano instructor para poder sancionar en aplicación del principio de culpabilidad, vulnerándose, de lo contrario la presunción de inocencia. Afirma ORANGE: 1) Que los datos del denunciante fueron incluidos en el fichero ASNEF por impago de una serie de facturas asociadas a la línea I.I.I., cuyo total ascendía a 80,41 €; 2) En fecha 14/11/2014 se registra en sus sistemas una reclamación del denunciante, que según el pantallazo aportado se interpuso ante la OMIC, con ocasión de la cual se solicitó la exclusión de los datos del cliente del citado fichero ASNEF, que se llevó a cabo el 19/11/20145; 3) Con fecha 20/11/2014 se recibe reclamación de la SETSI, nº B.B.B., si bien no procedía realizar la exclusión de ficheros de solvencia porque ya se había efectuado en base a una reclamación anterior. Por lo que no cabe imputar a ORANGE una conducta negligente cuando ha actuado con toda la diligencia posible excluyendo los datos del denunciante. Se añade que la jurisprudencia del Tribunal Supremo toma la “buena fe” del presunto responsable como punto básico de referencia para apreciar la existencia o no de culpabilidad. - Subsidiariamente, de imponerse alguna sanción, ésta debería graduarse conforme a lo previsto en el artículo 45.5 de la LOPD al concurrir las circunstancias previstas en el mismo junto con otras. En este sentido se aduce que han quedado acreditados los siguientes hechos: que no se produjo ningún tipo de daño al denunciante, que tan pronto como ORANGE conoció “esta circunstancia” excluyó los datos del afectado de los ficheros de solvencia patrimonial, que LA PROPIA Agencia ha reconocido los esfuerzos de ORANGE por implementar los mecanismos de protección de datos personales de sus clientes . QUINTO: Con fecha 21 de marzo de 2016 se inició el período de práctica de pruebas, acordándose las siguientes: 1. Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ORANGE ESPAGNE SAU, el Informe de actuaciones previas de Inspección que forman parte del expediente E/02316/2015 y las alegaciones al acuerdo de inicio PS/00062/2016 presentadas por la entidad denunciada. 2. Solicitar a ORANGE ESPAGNE SAU remisión de la siguiente información y contestación a las cuestiones que a continuación se indican: C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 5/30 Copia de las facturas asociadas a la línea I.I.I. cuyo importe ascendía a 80,41 euros. Origen del saldo impagado de 94,47 euros que fue dado de alta y baja en el fichero ASNEF con fechas 24/10/2014 y 17/11/2014, respectivamente. Copia íntegra del expediente en papel correspondiente a la reclamación interpuesta por el denunciante ante la SETSI con nº de referencia B.B.B.. En especial de los documentos relativos a la notificación y recepción de la reclamación, comunicación inicio expediente, alegaciones efectuadas que no se hayan remitido al contestar el requerimiento de información tanto propias como del afectado y resolución acordada por dicho organismo. Copia íntegra de la documentación obrante en poder de esa empresa correspondiente a la reclamación interpuesta por el denunciante ante la OMIC. En especial de los documentos relativos a la notificación y recepción de la reclamación, comunicación inicio expediente, alegaciones efectuadas que no se hayan remitido al contestar el requerimiento de información tanto propias como del afectado y resolución acordada por dicho organismo. Respecto de la copia de los expedientes tramitados por la OMIC y la SETSI se puntualizaba que no se requerían los pantallazos recogidos en sus sistemas, sino el envío de copia de la documentación original que integra los mismos. 3. Solicitar al denunciante remisión de la siguiente información: Copia de la documentación contractual, en cualquier formato, obrante en su poder asociada a la línea I.I.I. y a la deuda reclamada en relación con dicho servicio por ORANGE. Copia íntegra de la documentación obrante en su poder relativa a la reclamación interpuesta ante la SETSI con nº de referencia B.B.B.. En especial, se solicitan los documentos referentes a la interposición de dicha reclamación, inicio del expediente, alegaciones efectuadas por su parte y por ORANGE y resolución acordada por la SETSI. Copia íntegra de la documentación obrante en su poder correspondiente a la reclamación interpuesta por su parte ante la OMIC. En especial de los documentos relativos a la interposición de la reclamación, inicio del expediente, alegaciones efectuadas por su parte y la mencionada empresa y resolución acordada por dicho organismo. 4. Solicitar a la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información, (SETSI en adelante) remisión de copia de la documentación relativa a la reclamación interpuesta por el denunciante, cuyo DNI se facilitaba, con referencia B.B.B.. En especial, se solicitan los documentos referentes a la C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 6/30 interposición de dicha reclamación, inicio del expediente, alegaciones efectuadas por ORANGE y el reclamante, así como de la resolución acordada por la SETSI. SEXTO: Con fecha 5 de abril de 2016 se registra de entrada en esa Agencia escrito de la SETSI adjuntando la documentación del expediente de Reclamación solicitado. Con fecha 12 de abril de 2016 se registra de entrada en esa Agencia escrito del denunciante remitiendo copia de un correo electrónico de areaclientes.orange.es , de fecha 12 de marzo de 2015, confirmándole que su servicio de ADSL y telefonía fija de ORANGE había sido dado de baja. También adjunta copia de una seria de documentos relativos a la reclamación efectuada ante la SETSI. Con fecha 18 de abril de 2016 se registra de entrada en esa Agencia escrito de ORANGE remitiendo copia de las 4 facturas impagadas por el denunciante que dieron lugar a la deuda de 94,47 €, junto con una factura rectificativa por importe de 14,06 €, que dio lugar a la reducción del importe deudor a 80,41 €. También aporta copia del expediente de reclamación ante la SETSI, aduciendo que no disponen del expediente íntegro de la reclamación ante OMIC. Aducen que el denunciante fue incluido en ASNEF con fecha 23/10/2014 por un importe de 94,47 € y excluido con fecha 19/11/2014.Posteriormente fue incluido con fecha 25/02/2015 por un importe de 80,41 € y excluido con fecha 07/05/2015 SÉPTIMO: Con fecha 14 de junio de 2016 se formuló propuesta de resolución, proponiendo la imposición de una sanción de multa de 40.001 € (Cuarenta mil un euros) a ORANGE ESPAGNE, S.A.U., por la comisión de una infracción del artículo 4.3 en relación con el 29.4 de la LOPD, tipificada como grave en el artículo 44.3.
2. c)de dicha Ley, de conformidad con lo establecido en el artículo 45.2 y 4 de esa misma norma. OCTAVO: Notificada dicha propuesta de resolución, con fecha 6 de julio de 2016 se registra de entrada escrito de la representación de ORANGE, solicitando se imponga a ORANGE una sanción dentro de la escala relativa a las infracciones leves al resultar de aplicación la previsión prevista en el artículo 45.5.
3. a)de la LOPD por concurrir de forma significativa no sólo los supuestos b,
4. e)y
5. j)del artículo 45.4 que se citan en la propuesta de resolución por la AEPD, sino también el supuesto
6. i)del mismo precepto al disponer la entidad de un Procedimiento de Gestiones Asociadas a las Reclamaciones Oficiales internamente implementado en ORANGE . HECHOS PROBADOS PRIMERO: Con fecha 18 de marzo de 2015 tiene entrada en esta Agencia un escrito de Don A.A.A. , en adelante el denunciante, manifestando que ORANGE ha informado sus datos personales al fichero ASNEF mientras se encontraba pendiente C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 7/30 de resolución la reclamación interpuesta por su parte contra dicha compañía ante la la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información (SETSI) (folios 1-11). SEGUNDO: En los ficheros de ORANGE consta que el denunciante contrató con fecha 19 de mayo de 2014 el producto ADSL Máxima Velocidad+línea Directo+llamadas asociado a n la línea I.I.I. , aceptando un periodo de permanencia de 12 meses, que según el operador finalizaba el 20 de mayo de 2015. (folio 4) TERCERO: ORANGE emitió al nombre del denunciante las siguientes facturas por el concepto “línea+servicios de intermet+llamadas” asociadas al número de línea fija I.I.I. y al contrato nº K.K.K., cuyo importe total ascendía a 94,47 € (impuestos incluidos) a nombre del denunciante (folios 112 al 120, 211) Factura G.G.G. , de fecha 26/05/2014, correspondiente al periodo 26/04/2014 al 25/05/2014, por un importe total a pagar de 18,46 euros. Factura F.F.F. , de fecha 26/06/2014, correspondiente al periodo 26/05/2014 al 25/06/2014, por un importe total a pagar de 39,18 euros. Factura E.E.E., de fecha 26/07/2014, correspondiente al periodo 26/06/2014 al 25/07/2014, por un importe total a pagar de 27,19 euros. Factura D.D.D. , de fecha 26/08/2014, correspondiente al periodo 26/07/2014 al 25/08/2014, por un importe total a pagar de 9,64 euros. Con fecha 25 de noviembre de 2014, ORANGE emitió factura rectificativa nº C.C.C., por ajuste sobre las facturas anteriores por importe de -14,06 euros, reduciéndose el importe pendiente de pago a 80,41 € (folio 199). CUARTO: Con fecha 7 de noviembre de 2014 tiene entrada en la SETSI reclamación del denunciante contra ORANGE respecto a la línea I.I.I. por entender que había contratado con AMENA en lugar de con ORANGE, motivos por los que solicitaba la baja de la reseñada línea, la revisión de las facturas emitidas por ORANGE con posterioridad a su solicitud de baja, la supresión de sus datos personales de cualquier fichero de ORANGE y del fichero ASNEF al que habían cedido sus datos con motivo de una deuda con ORANGE. (folios 98 al 105) QUINTO: Con fecha 20 de noviembre de 2014 la SETSI comunica al denunciante el inicio del procedimiento de reclamación sobre telefonía fija con referencia B.B.B. y solicita informe al operador reclamado sobre dicha reclamación, petición que según ORANGE se recibió con esa misma fecha y se registró en sus sistemas el 25 de noviembre de 2014. (folios 56, 88, 99 al 106, 166, 207 ). SEXTO: Con fecha 26 de noviembre de 2014 ORANGE informó a la SETSI: (folios 108 y 109) C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 8/30 - Que el denunciante había contratado el servicio con esa compañía, adjuntando grabación de voz de la contratación. - Que habían intentado contactar telefónicamente con el denunciante, sin éxito, con esa misma fecha en un número de teléfono que facilita para confirmar su petición de baja, que se aplicaría con cargo, con la consiguiente pérdida del número de teléfono o, por el contrario, si deseaba la portabilidad. - Que la facturación emitida era correcta, habiendo realizado el titular uso del servicio, ascendiendo el importe pendiente de pago por parte del cliente a un total de 94,47 €. - Que habían realizado las gestiones oportunas para excluir los datos personales del cliente, de cualquier archivo de consulta de solvencia económica en el que pudieran haber sido incluidos a petición de la compañía. - Que en relación a la solicitud de cancelación de dato se adjuntaba copia de la carta enviada al cliente. SÉPTIMO: Con fecha 26 de noviembre de 2014 ORANGE dirigió escrito al denunciante en términos semejantes a los comunicados a la SETSI, añadiendo que no podían tramitar su solicitud de cancelación de datos personales por existir una obligación de pago pendiente por su parte con ORANGE en relación con el servicio contratado de acceso a Internet y llamadas, en vigor en esa fecha y activado el 19/05/2014,puntualizando que sus datos estaban a su disposición de conformidad con los artículos 6.2 de la LOPD y 10.3.
7. b)del Reglamento que la desarrolla al único objeto de intentar satisfacer su derecho como acreedores. Se indicaba que era necesario que solicitase la baja del citado servicio y dejase transcurrir 3 meses desde que la misma fuera efectiva, momento en que si continuaba deseando la cancelación debería formular una nueva solicitud indicándolo. Asimismo, se indicaba que se había hecho efectiva la cancelación de datos personales para los servicios de telefonía móvil que contrató con ORANGE. (folios 110 y 111) OCTAVO: Con fecha 22 de diciembre de 2014 tiene entrada en la SETSI escrito alegaciones del reclamante al informe formulados por ORANGE en el expediente de reclamación B.B.B. , en las que el reclamante se reitera en los argumentos expuestos en su reclamación, señalando que hizo uso del servicio durante 5 o 6 días, hasta que recibió la primera factura y solicita a ORANGE por correo certificado la cancelación del contrato.(folios 121 al 137) NOVENO: Con fecha 27 de abril de 2015 la SETSI dictó Resolución en la que se acordó, en lo que afecta a los hechos relacionados con la impugnación de la facturación emitida en base a que, según el reclamante, estaba referida a un periodo de tiempo posterior a la solicitud de baja de la línea, su desacuerdo con el importe que el operador pretende cobrarle en concepto de baja anticipada en el servicio y la solicitud de exclusión de sus datos personales, lo siguiente: (foli9os 138 al 141) C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 9/30 Respecto a la baja no tramitada de la línea, desestima la reclamación. Lo que se fundamenta señalando que el reclamante no ha acreditado el cumplimiento de lo dispuesto en el artículo 7 del Real Decreto 899/2009, de 22 de mayo, por el que se aprueba la carta de derechos del usuario de los servicios de comunicaciones electrónicas, en cuanto a la comunicación previa al operador de la voluntad de extinción del contrato, por lo que se desestima la reclamación. En relación a la penalización por baja anticipada en el servicio, desestimar la reclamación. Lo que se fundamenta indicando que si bien el cobro de cantidades por el mero hecho de darse de baja constituye un obstáculo injustificado al derecho de extinción del contrato, ”teniendo en cuenta que atendiendo a las facturas obrantes en el expediente, se observa que el reclamante ha disfrutado de una serie de descuentos en la facturación, cabe considerar que la cantidad que pretende cobrar el operador se corresponde con beneficios realmente disfrutados por el reclamante, por lo que procede desestimar la reclamación ” En lo referido a la solicitud de exclusión de los datos personales del reclamante de cualquier fichero de solvencia patrimonial, la SETSI se inhibe en el presente asunto, quedando expedido el derecho del interesado a dirigirse, si lo estima conveniente, ante la Agencia Española de Protección de Datos, órgano competente para valorar si la cesión de datos a terceros por parte del operador ha podido suponer un incumplimiento a la LOPD. En cuanto a la solicitud de indemnización por daños y perjuicios, la SETSI se inhibió, quedando expedito el derecho del interesado a dirigirse, si lo estimaba conveniente ante la jurisdicción ordinaria. DÉCIMO: Consta que ORANGE y el denunciante recibieron la reseñada resolución de la SETSI con fechas 30 de abril y 12 de mayo de 2015, respectivamente (folios 148 y 142) UNDÉCIMO: Con fecha 1 de junio de 2015, Equifax Ibérica, S.L., ha informado que en fichero ASNEF constan las siguientes incidencias asociadas al identificador del NIF J.J.J., correspondiente al denunciante, en la condición de titular, informadas por ORANGE, por vencimientos impagados de 26/05/2014 - 26/08/2014 de una operación telecomunicaciones: (folios 18, 32 y 34,) - Una incidiencia con fecha de alta 24/10/2014 y baja el 17/11/2014 , por un importe impagado de 94,47 €. (folio 34) - Una incidencia con fecha de alta 26/02/2015 y baja el 09/05/2015, por un importe impagado de 80,41 €. (folio 32) DUODÉCIMO: Con fecha 17 de noviembre de 2014 EQUIFAX notificó al denunciante que “De acuerdo con su petición de CANCELACIÓN registra en nuestras oficinas con C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 10/30 fecha 07 de noviembre de 2014, le comunicamos que tras las comprobaciones pertinentes, se ha procedido a la Baja cautelar con las/s entidad/es ORANGE ESPAGNE SAU en el fichero ASNEF de los datos asociados al identificador J.J.J. “ (folio 36) La mencionada solicitud de cancelación de datos iba acompañada de copia de la reclamación del denunciante ante la SETSI (folios 37 al 51) Con fecha 12 de marzo de 2015 ORANGE confirmó al denunciante, vía email, que su servicio de ADSL y telefonía fija de ORANGE había sido dado de baja (folio 151) DECIMOTERCERO: A fecha 18 de mayo de 2015 no aparecían registrados datos s informados por ORANGE en el fichero ASNEF a nombre del denunciante (folio 73) DECIMOCUARTO: Consta que con fecha 27 de julio de 2015 la Asesoría de la OCUOrganización de Consumidores y Usuarios, remitió vía email acuse de recibo de la reclamación interpuesta por el denunciante contra ORANGE, que dio lugar al expediente nº H.H.H.. La reclamación se basaba en los mismos hechos que fueron expuestos ante la SETSI. (folios 174 y 175) Con fecha 24 de septiembre de 2015 ORANGE contestó a la OCU indicando que la línea I.I.I. había sido dada de baja debido a la facturación pendiente, la cual se consideraba correcta, confirmando que la cantidad pendiente de pago por el cliente ascendía a un total de 80,41 euros correspondientes a la cuota y consumos de la línea de las cuatro facturas emitidas entre el 25 de mayo y el 25 de agosto de 2015. Además, se informaba que se habían realizado las gestiones oportunas para excluir los datos personales del cliente de cualquier archivo de consulta de solvencia económica en el que pudieran haber sido incluidos a petición de esa compañía. (folios 180 y 181) Con fecha 22 de octubre de 2015 la OCU comunica al denunciante que ORANGE no se aviene a una solución amistosa que evite otras vías de reclamación, comunicándole que esa vía de reclamación se ha agotado dado que son un organismo privado sin capacidad coercitiva o poder sancionador. Le informan sobre las vías de reclamación posibles. (folio 189) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
8. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 11/30 El artículo 4.3 de la LOPD, referente a la “calidad de los datos” dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. La Directiva 95/46 CE, del Parlamento Europeo y del Consejo, que traspone la LOPD, establece en su artículo 6. I.
9. d)que “Los Estados miembros dispondrán que los datos personales sean….
10. d)exactos, y cuando sea necesario, actualizados. Deberán tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los dispuesto en el apartado I”. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” Los datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias a los que se refiere el artículo 29.2 de la LOPD se facilitan al fichero por el “acreedor o por quien actúa por su cuenta o interés”. De tal manera que es la condición de acreedor del que comunica los datos lo que le legitima para efectuar dicha comunicación, correspondiéndole como tal la responsabilidad de comprobar que los datos que se informan se ajustan a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo Por su parte, el Reglamento por el que se desarrolla la LOPD, aprobado por C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 12/30 Real Decreto 1720/2007, de 21 de diciembre, en lo sucesivo RLOPD, establece en sus artículos 37.1 y 3, 38, 39 y 43 en relación con los “Ficheros de información sobre solvencia patrimonial y crédito” lo siguiente: “Artículo 37. Régimen aplicable 1. El tratamiento de datos de carácter personal sobre solvencia patrimonial y crédito, previsto en el apartado 1 del artículo 29 de la LOPD, se someterá a lo establecido, con carácter general, en dicha ley orgánica y en el presente reglamento. (…) 3. De conformidad con el apartado 2 del artículo 29 de la LOPD, también podrán tratarse los datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Estos datos deberán conservarse en ficheros creados con la exclusiva finalidad de facilitar información crediticia del afectado y su tratamiento se regirá por lo dispuesto en el presente reglamento y, en particular, por las previsiones contenidas en la sección segunda de este capítulo”. “Artículo 38. Requisitos para la inclusión de los datos. 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
11. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. (…)
12. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. (…) 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente. Artículo 39. Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
13. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. Artículo 43. Responsabilidad. 1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 13/30 concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar el mantenimiento o cancelación de los mismos, toda vez que conoce si la deuda realmente existe, está pendiente de litigio o ha sido saldada. Por lo cual, corresponde a dicho acreedor la responsabilidad de comprobar que los datos de carácter personal que se comunican a dichos ficheros sobre el cumplimiento o incumplimiento de obligaciones dinerarias se ajustan a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo, ello a fin de que la información registrada y mantenida en los ficheros de esta naturaleza respete el principio de veracidad y exactitud. III Es objeto de estudio en el presente procedimiento, y por tanto cuestión a dilucidar en el mismo, si la inclusión de los datos del denunciante en el fichero de solvencia patrimonial y crédito ASNEF a instancias de ORANGE se realizó conforme determina la normativa de protección de datos, ya que dicho operador informó sus datos personales asociados a una deuda cuya certeza se encontraba pendiente de determinar mediante resolución de la SETSI en la reclamación planteada por éste contra ORANGE, la cual se fundaba, entre otros motivos, en su disconformidad con la facturación que le fue emitida por esa empresa después de su solicitud de baja de la línea objeto de la contratación controvertida, pretensión que, a su vez, motivaba la solicitud de exclusión de sus datos personales del fichero ASNEF relativo al cumplimiento o incumplimiento de obligaciones dinerarias La obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999 implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. La exigencia de que la deuda sea “cierta”, (artículo 38.1.
14. a)del RLOPD) responde al principio de calidad de los datos plasmado en el artículo 4.3 de la LOPD. El acreedor o quien actúe por su cuenta o interés, por tanto, podrá facilitar a ficheros comunes datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias siempre que la información registrada en los ficheros de esta naturaleza respete el principio de veracidad y exactitud. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 14/30 Al hilo de esta cuestión resulta conveniente hacer una breve referencia a la STS de 15 de julio de 2010, que declaró nulo, por ser disconforme a Derecho, el inciso último del artículo 38.1.
15. a)del RLOPD. El Fundamento de Derecho decimocuarto de la Sentencia, en el que se examina y valora la impugnación del citado precepto, concreta los términos de la controversia planteada. Manifiesta la STS que “procede indicar que la exigencia al inicio del apartado 1
16. a)del artículo 38 de que la deuda sea “cierta” responde al principio de veracidad y exactitud recogido en el artículo 4.3 de la Ley 15/1999(…) Siendo el adjetivo <cierto> sinónimo de irrefutable, incontestable, indiscutible, etc,..el tema de debate se circunscribe a si es posible sostener con éxito que, en aquellos casos en que se hubiera entablado con respecto a la deuda un procedimiento de los expresados en el artículo 1
17. a), puede hablarse de una deuda cierta antes de que recaiga resolución firme o se emita, en los supuestos previstos en el Reglamento de los Comisionados, el informe correspondiente”. La Sala Tercera del TS contesta a esta pregunta indicando que lo relevante es “decidir si el apartado 1
18. a)del artículo responde a la previsión legal del artículo 4.3, y la respuesta debe ser negativa en atención a la defectuosa redacción del precepto reglamentario por una inconcreción en su texto no sólo de aquellos procedimientos que justifican la no inclusión en los ficheros de las deuda a que aquellos se refieren, sino también porque esa vaguedad permite considerar que incluso cuando la reclamación se formule por el acreedor exista la imposibilidad de inclusión de los datos en el fichero”. Termina manifestando que el conflicto de intereses debe resolverse “exigiendo una mayor concreción en el precepto reglamentario que pondere los intereses en presencia en atención a las circunstancias concretas”. (El subrayado es de la AEPD) Del tenor literal de los fragmentos de la STS de 15 de julio de 2010 que se reproducen, se evidencia, por una parte, que es la inconcreción de que adolece la redacción del último inciso del artículo 38.1.
19. a)del RLOPD lo que justifica su anulación y por otra, que el Tribunal estima ajustada a Derecho la exigencia del artículo 38.1.
20. a)del RLOPD de que la deuda sea “cierta”, adjetivo que es sinónimo de irrefutable e indiscutible y que es consecuencia del principio de veracidad y exactitud que consagra el artículo 4.3. de la Ley Orgánica 15/1999. A la vista de tales consideraciones la Agencia Española de Protección de Datos entiende que la impugnación de una deuda, cuestionando su existencia o certeza ante órganos administrativos, arbitrales o judiciales con competencia para declarar la existencia o inexistencia de la misma a través de resoluciones de obligado cumplimiento para las partes, impide que pueda hablarse de deuda cierta hasta que recaiga resolución firme. Por tanto, al no estar presente en esos supuestos el requisito de la “certeza de la deuda” exigido por el artículo 38.1.
21. a)del RLOPD, su inclusión en los ficheros de solvencia patrimonial y crédito no puede estimarse ajustada a Derecho y constituye una infracción del artículo 4.3 de la LOPD. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 15/30 A mayor abundamiento en este sentido la Sentencia de la Audiencia Nacional de 30 de mayo de 2012 señala (tras la Sentencia del Tribunal Supremo de 15 de julio de 2010) en relación con el artículo 38.1
22. a)del RLOPD “en el supuesto en que consta una reclamación administrativa instada por el afectado para dirimir la certeza de la deuda y su cuantía no concurre el requisito de la deuda cierta” (Subrayado de la AGPD) IV De las actuaciones practicadas y de la información facilitada por Equifax Ibérica, S.L., ha quedado acreditado que los datos personales del denunciante figuraron incluidos en el fichero ASNEF a raíz de la información facilitada por ORANGE en dos ocasiones. La primera incidencia se dio de alta en el reseñado fichero con fecha 24/10/2014 y de baja cautelar el 17/11/2014 por un saldo deudor de 94,47 €. La segunda incidencia se dio de alta en dicho fichero con 26/02/2015 y de baja con fecha 09/05/2015 por saldo impagado de 80,41 €. La deuda tenía su origen en el impago por el denunciante del importe de cuatro facturas emitidas por ORANGE a su nombre por el servicio “línea+servicios de internet+llamadas”, correspondiente al contrato nº K.K.K., cuyo detalle y períodos de facturación constan en el Hecho Probado Tercero de esta resolución, observándose que la cantidad de 94,47 € registrada en la primera incidencia era anterior a la factura rectificativa emitida a nombre del denunciante por ORANGE de 25 de noviembre de 2014 por un total de -14,06 €, mientras que la cantidad de 80,41 € recogida en la segunda incidencia se adecuaba a la cantidad resultante de aplicar al saldo deudor total vinculado en los ficheros de ORANGE al denunciante el importe de dicha factura rectificativa. En el caso que nos ocupa hay que señalar que con fecha 7 de noviembre de 2014 el denunciante interpuso una reclamación ante la SETSI, órgano que con fecha 20 de noviembre de 2014 comunicó a ORANGE dicha circunstancia a la par que le solicitaba información en relación con los extremos contenidos en el escrito de reclamación del afectado, cuya copia facilitó junto con dicha petición. Recibida la misma con esa misma fecha y registrada en sus sistemas el 25 de noviembre de 2014 (folio 56 ) , ORANGE contestó a la SETSI mediante informe emitido con fecha 26 de noviembre de 2014 en los términos que figuran en el Hecho Probado Séptimo , los cuales, a su vez, fueron objeto de alegaciones por el reclamante mediante escrito registrado en la SETSI con fecha 22 de diciembre de 2014 (folios 121 al 137) Es decir, ORANGE conocía de la existencia de la mencionada reclamación ante la SETSI, conforme se evidencia de los hechos anteriormente reseñados y se desprende, igualmente, de la tramitación de la baja cautelar de la primera de las incidencias citadas comunicada al denunciante con fecha 17 de noviembre de 2014 por EQUIFAX IBÉRICA (folio 36). Téngase en cuenta que a raíz de la petición de C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 16/30 cancelación de datos del fichero ASNEF formulada por el denunciante, con fecha 5 de noviembre de 2014, ante EQUIFAX IBÉRICA, S.L., dicha entidad solicitó informe de confirmación a ORANGE con fecha 7 de noviembre de 2014, para lo cual le remitió a la entidad informante copia de la reseñada solicitud de cancelación junto con la documentación que la acompañaba, la cual incluía copia de la reclamación interpuesta por el denunciante ante la SETSI (folios 36 al 53). Consta que ORANGE no contestó la solicitud de confirmación de dicha petición de cancelación, procediéndose por EQUIFAX IBERICA, S.L. a la baja cautelar de los datos del denunciante del fichero ASNEF en contestación al ejercicio de tal derecho. (follio 52) . No obstante ser ORANGE perfecta conocedora desde el 20 de noviembre de 2014 de la interposición por el denunciante de una reclamación ante la SETSI que afectaba a la certeza de la deuda, y, saber también, que con fecha 17 de noviembre de 2014 EQUIFAX IBÉRICA, S.L. había comunicado al denunciante la baja cautelar de la primera incidencia, sin embargo, procedió a informar nuevamente al fichero ASNEF los datos personales del denunciante por un saldo deudor de 80,41 €. Todo ello, se reitera, estando pendiente de resolución la mencionada reclamación y teniendo constancia de dicha circunstancia, al menos, desde el 20 de noviembre de 2014 (folio 56). Esta conducta generó una segunda incidencia deudora a nombre del afectado con fecha de alta de 26 de febrero de 2015, anotación que ORANGE continuó actualizando hasta su baja con fecha 9 de mayo de 2015 (Hecho probado Undécimo). De este modo resulta probado que cuando ORANGE instó el alta de esta segunda incidencia y mientras informó las actualizaciones de la misma conocía que la reclamación estaba pendiente de resolución. Estos hechos son contrarios al principio de calidad de datos consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD y en relación también con el artículo 38.1.
23. a)del RLOPD, puesto que la deuda de 80,41 € comunicada al fichero ASNEF no cumplía con los requisitos establecidos en la normativa precitada sobre protección de datos de carácter personal, ya que no era una deuda cierta, vencida y exigible desde el momento en que se inicia por la SETSI el expediente de reclamación notificado a ORANGE, ello en la medida que versaba sobre la procedencia de la facturación emitida a nombre del denunciante Por tanto siguiendo la doctrina expresada por el Tribunal Supremo al existir dicha reclamación no podemos considerar esa deuda irrefutable, incontestable e indiscutible. V Consta acreditado en esta Agencia que las entidades asociadas al fichero ASNEF suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 17/30 citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de solvencia patrimonial y crédito. Los datos personales del denunciante son datos que figuran en los propios ficheros automatizados de ORANGE. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados a los ficheros comunes de información sobre solvencia patrimonial.. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
24. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
25. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y qué duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por ORANGE puede subsumirse o no en tales definiciones legales. Y ello tanto es así, puesto que la entidad imputada trató automatizadamente en sus propios ficheros los datos relativos al denunciante y a la supuesta deuda ; datos de los que es responsable conforme al artículo 3.
26. d)citado. Adicionalmente, decidió sobre la finalidad, contenido y uso del tratamiento y resolvió autónomamente sobre su incorporación a un fichero común de solvencia patrimonial y crédito. Dicha comunicación se realizó, a mayor abundamiento, mediante un procedimiento que implicaba un tratamiento automatizado de datos cuyo destino era, a su vez, un tratamiento automatizado por parte del responsable del fichero de solvencia, siendo dados de alta al culminar el proceso descrito. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 18/30 Conforme a lo expuesto, la entidad imputada no se ha limitado a transmitir la información al responsable del fichero común sobre solvencia patrimonial, sino que ha tratado automatizadamente los datos de solvencia en sus propios ficheros, los ha comunicado a través de tratamientos automatizados al fichero común ASNEF, y, particularmente, ha decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudor), el contenido de la información (los datos relativos a la deuda asociados al denunciante), y el uso del tratamiento (la incorporación a un fichero común de información sobre solvencia patrimonial y crédito, al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo), por lo que es responsable de que la información suministrada no responda al principio de calidad de datos recogido en el artículo 4.3 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). ORANGE instó la incorporación al fichero ASNEF de los datos del denunciante en virtud de una deuda que no respondía con veracidad a la situación actual del afectado (entendido como el momento de informar la segunda incidencia), puesto que la deuda adolecía del requisito de certeza al existir una reclamación en curso para dirimir, entre otras cuestiones, su certeza al cuestionarse por el reclamante la licitud de la facturación origen del saldo impagado objeto de información y cuando se estaba a la espera de la resolución de la reclamación entablada. Ello supone una clara vulneración del principio de calidad de datos, de la que debe responder ORANGE por ser responsable de la veracidad y exactitud de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en los ficheros de solvencia patrimonial y crédito. La conclusión que se desprende de los hechos y fundamentos de derecho expuestos es que ORANGE es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD y artículo 38.1.
27. a)del RLOPD en los términos del artículo 43 de dicha norma, en relación con la definición del artículo 3.
28. d)y
29. c)de la citada Ley Orgánica. VI Resulta preciso analizar si concurre el elemento subjetivo de la culpabilidad cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. En STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del “ius puniendi” del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 19/30 Sobre este particular conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Así, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Respecto de esta cuestión, en la Sentencia dictada en un caso semejante por la Audiencia Nacional con fecha 2 de noviembre de 2012, Rec. nº 145/2011, se indicaba: “El principio de culpabilidad previsto en el art. 130.1 de la Ley 30/1992 dispone que sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, que está proscrita, después de la STC 76/1990, que señaló que los principios del ámbito del derecho penal son aplicables con ciertos matices, en el ámbito administrativo sancionador, requiriéndose la existencia de dolo o culpa. En esta línea la STC 246/1991, de 19 de diciembre, señaló que la culpabilidad constituye un principio estructural básico del Derecho administrativo sancionador. Por eso, como señala la reciente Sentencia del Tribunal Supremo de 18 de maro 2005, recurso nº 7.707/2000, es evidente, “que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa. La infracción apreciada se puede cometer tanto a título de dolo como de culpa, es decir de forma intencional o negligente, imputándose en este caso a título de culpa a la entidad recurrente, que, como se ha dicho, es una empresa que se dedica al alquiler de vehículos sin conductor, que trata un gran número de datos personales y debe ser especialmente cuidadosa en relación con los datos que registra y trata, por las consecuencias perjudiciales que pueden derivarse para el afectado titular de los datos.” Conforme a la doctrina jurisprudencial invocada, en el presente caso, si bien no puede acreditarse una conducta dolosa por parte de la entidad imputada, si puede imputarse la responsabilidad en la comisión de la infracción imputada a título de culpa, ya que a partir del momento en que ORANGE conoció la interposición de la reclamación efectuada por la denunciante ante la SETSI debió extremar su diligencia y adoptar medidas tendentes a excluir y/o evitar la comunicación de información personal adversa a los ficheros de obligaciones dinerarias vinculada con la deuda cuya certera era objeto de controversia, no habiéndose acreditado por dicha entidad la adopción de ninguna cautela en el sentido expresado, a pesar de las repercusiones C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 20/30 negativas que conlleva la inclusión y permanencia en este tipo de ficheros . De este modo, la AEPD considera que a la entidad imputada le era exigible otra conducta diferente de la que observó, ya que no obstante ser conocedora de la interposición y contenido de la mencionada reclamación desde el 20 de noviembre de 2014 y figurar registrada en sus sistemas desde el 25 de noviembre de 2014 , y, consecuentemente, sabiendo que afectaba directamente al requisito de certeza de la deuda por impugnar, como se citaba en la resolución de la SETSI, la facturación emitida en base a que, según el reclamante, estaba referida a un periodo de tiempo posterior a la solicitud de baja de la línea, procedió a instar una segunda incorporación en el fichero ASNEF conociendo la falta de veracidad y exactitud de los datos comunicados al mismo para su inclusión (certeza), lo que denota una conducta falta de diligencia y de deber de cuidado frente a la obligación de cumplir las exigencias de la normativa de protección de datos. La jurisprudencia exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. La Audiencia Nacional en la Sentencia de 17 de octubre de 2007 (Rec. 63/2006) precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. ORANGE como acreedor e informante de dichos datos al mencionado fichero de solvencia, debió extremar su diligencia y responsabilidad en el momento de facilitar una información de esa naturaleza, tal y como exige el artículo 4.3 de la LOPD y 43 del RLOPD ; es decir, ORANGE debió haberse asegurado que los datos de carácter personal proporcionados eran exactos y respondían con veracidad a la situación del afectado y de la deuda en ese momento , antes de instar la inclusión de los datos personales del denunciante en el citado fichero de obligaciones dinerarias por segunda vez, dada las repercusiones personales que conlleva estar incluido y permanecer en ese tipo de ficheros, señalándose en la Sentencia de fecha 16 de febrero de 2001 de la Audiencia Nacional que: “Vista la conducta de la hoy actora, cabe apreciar que ha hecho uso de unos datos relativos a la insolvencia de una persona, conculcando los principios y garantías establecidas en la Ley (…) concretamente el de la certeza de los datos, que deben ser exactos, de forma que respondan con veracidad a la situación real del afectado, como exige su artículo 4.3 (…) ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón de ello, ha de extremarse la C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 21/30 diligencia para que los posibles errores no se produzcan”. Es criterio compartido que aquél que utiliza un medio extraordinario de cobro, como es el de inclusión en registros de morosos, debe garantizar el cumplimiento de todos los requisitos materiales y formales ya vistos, y así permitir el empleo de este modo accesorio para conseguir el cobro de la deuda. No aplicar estas exigencias supondría, por lo contrario, utilizar este medio sin las garantías mínimas para los titulares de los datos personales objeto de anotación en los ficheros de solvencia patrimonial y crédito. Al hilo de lo anterior, debe rechazarse que con ocasión de la tramitación de la reclamación recibida en sus sistemas con fecha 14/11/2014, ORANGE solicitase la exclusión de los datos del denunciante del fichero ASNEF, como afirmó en sus alegaciones al acuerdo de inicio (folio 88), y, por tanto, no procediera realizar dicha exclusión cuando se recibió con fecha 20/11/2014 la reclamación RC 1030605/14/TLF de la SETSI. Sobre este particular ya se ha indicado en el Fundamento de Derecho IV que la baja cautelar de la primera incidencia se produjo a raíz del derecho de cancelación de datos ejercido por el denunciante con fecha 7 de noviembre de 2014 ante EQUIFAX IBÉRICA, S.L. a la vista de la documentación adjuntada por el titular de los datos y ante la falta de contestación de ORANGE, empresa acreedora e informante de la deuda de 94,47 € registrada en el fichero ASNEF , de la procedencia, o no, del mantenimiento la incidencia. De hecho, el pantallazo aportado justifica que esa empresa conocía del ejercicio del derecho de cancelación por el afectado, constando: “Por favor revisar la facturación del cliente, ha ejercido su derecho de cancelación ASNEF. Envío documentación para estudio por correo electrónico”, pero no prueba que se contestase (folio 88) . Además, ORANGE no ha aportado la documentación recibida a la que se refiere el pantallazo de la incidencia “GESTION OFFLINE” creada el 14/11/2014 que justifique que el denunciante había interpuesto reclamación ante la OMIC. El principio de calidad del dato, por lo tanto, se configura como principio básico en materia de protección de datos. De este modo, la inclusión como deudor del denunciante en el fichero ASNEF debería de haberse realizado con todo rigor por la entidad imputada para salvaguardar la veracidad y exactitud de la información a transmitir a un fichero de solvencia económica que la Ley Orgánica y su Reglamento exigen. Todo lo expuesto lleva a considerar la existencia del elemento subjetivo de culpabilidad en la conducta de ORANGE en el ilícito administrativo imputado. VII C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 22/30 La Audiencia Nacional, en diversas sentencias (entre otras, SAN de 24 de marzo de 2004 y 7 de julio de 2006), ha señalado que los principios generales contenidos en el Título II de la LOPD definen las pautas a las que debe atenerse la recogida, tratamiento y uso de los datos de carácter personal. En este sentido, la STAN de 25 de julio de 2006 manifiesta: “…dichos principios sirven para delimitar el marco en el que debe desenvolverse cualquier uso o cesión de los datos de carácter personal y para integrar la definición de los tipos de infracción definidos en el artículo 44 de la LOPD, pues este precepto aborda la tipificación de las distintas infracciones mediante una remisión a los principios definidos en la propia Ley”. Entre tales principios se recoge –artículo 4.3- el de exactitud o veracidad, a través del cual se trata de garantizar y proteger la calidad de la información sometida a tratamiento exacta y puesta al día- por la que debe velar quien recoge y trata datos de carácter personal. De las actuaciones practicadas en el expediente se acredita cumplidamente que ORANGE informó los datos personales del denunciante al fichero común de solvencia patrimonial y crédito ASNEF asociados a una deuda de 80,41 € que no cumplía los requisitos de deuda cierta, vencida y exigible exigidos por la normativa de protección de datos de carácter personal precitada, ya que constaba una reclamación administrativa ante la SETSI instada por el deudor afectado por el tratamiento para dirimir la certeza de la deuda. La conducta anteriormente descrita, vulnera el principio de calidad de datos consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD y con el artículo 38.1.
30. a)del RLOPD, infracción tipificada en el artículo 44.3.
31. c)de la citada norma, que dispone: “Son infracciones graves, (..)
32. c)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Por lo tanto, ORANGE ha incurrido en la infracción grave descrita por los elementos facticos y motivos razonados a lo largo de los Fundamentos de Derecho, siendo el principio de calidad del dato básico en el derecho fundamental a la protección de datos, conducta que encuentra su tipificación en el artículo 44.3.
33. c)de la citada Ley Orgánica. VIII El artículo 45 de la LOPD, en sus apartados 2 a 5, establece que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 23/30
34. a)El carácter continuado de la infracción.
35. b)El volumen de los tratamientos efectuados.
36. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
37. d)El volumen de negocio o actividad del infractor.
38. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
39. f)El grado de intencionalidad.
40. g)La reincidencia por comisión de infracciones de la misma naturaleza.
41. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
42. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
43. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
44. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
45. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
46. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
47. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
48. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Hay que indicar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 24/30 para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. IX En el presente caso, ha quedado acreditado que ORANGE vulneró el artículo 4.3 de la LOPD al informar al fichero ASNEF los datos de carácter personal del denunciante vinculados a una deuda controvertida en cuanto a su existencia , por lo que su actuación ha de ser objeto de sanción. Dicho operador, al contestar el acuerdo de inicio, solicitó la aplicación subsidiaria del artículo 45.5 de la LOPD, al existir causas de disminución cualificada de la culpabilidad, tales como los constantes esfuerzos de ORANGE por implementar los mecanismos de protección de datos personales de sus clientes, conforme reconoció la AEPD en las resoluciones R/01042/2007 y R/01246/2007, la falta de prueba de que se haya producido algún tipo de daño al denunciante y la rápida exclusión de los datos del denunciante de los ficheros de solvencia patrimonial. Posteriormente, al efectuar alegaciones frente a la propuesta de resolución se aduce que en el caso analizado debe de aplicarse la minoración cualificada contemplada en el artículo 45.5.
49. a)al concurrir, significativamente, cuatro de los criterios recogidos en el artículo 45.4 de la LOPD. Así, junto con los supuestos b),
50. e)y
51. j)del artículo 45.4 de la LOPD reconocidos por la AEPD apela la concurrencia del criterio i), señalando que la entidad tenía implementado internamente un Procedimiento de Gestiones Asociadas a las Reclamaciones Oficiales. En apoyo de dicho alegato aporta impresión de las “Gestiones asociadas a las RROO”, en el que, según indica, “se detalla todo el proceso de inclusión y exclusión de datos en ficheros de solvencia patrimonial en caso de existencia de una reclamación oficial, en el que se establece, entre otros criterios, lo siguiente: “En caso de recibir una notificación de una reclamación judicial, arbitral o administrativa relativa a una deuda de un cliente cuyos datos hubieran sido incluidos previamente en un Fichero, se procederá a la exclusión cautelar de los mismos, que implica extraer al cliente del Fichero y no llevarse a cabo ninguna acción o C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 25/30 comunicación de recobro. Solamente se podrá volver a realizar la inclusión de los datos del cliente, que ha sido previamente excluido durante la gestión de la RROO, cuando se haya emitido un Laudo arbitral o una Resolución de la SETSI desestimatoria para el cliente y que permita a Orante ejercer acciones de recobro sobre la deuda pendiente. “ En el supuesto examinado no se aprecian motivos que justifiquen la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, a que no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas del referido artículo y, por otro, debido a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26 de noviembre de 2008). En este orden de ideas, señalar que la apreciación de tres circunstancias de las recogidas en el artículo 45.4 de la LOPD como atenuantes a los efectos de la graduación de la sanción no conlleva la directa aplicación del supuesto previsto en el artículo 45.5.
52. a)de dicha norma. Para ello resulta requisito necesario que se produzca una “cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en dicho aparado 4, circunstancias que no se producen en el caso analizado, tal y como se desprende de las consideraciones que se efectúan a continuación, que, por otra parte, reafirman lo ya razonado con anterioridad respecto de la evidente y reiterada falta de diligencia mostrada por esa entidad para dar cumplimiento a lo previsto en el principio de calidad de datos recogido en el artículo 4.3 de la LOPD. Lo contrario, significaría que la simple concurrencia de varios de estos criterios, aunque no resultasen significativos en orden a apreciar lo previsto en el artículo 45.5.
53. a)de dicha norma, supondría la automática minoración de la sanción a imponer sin entrar en otras consideraciones. Respecto de la primera circunstancia alegada por ORANGE en su escrito de alegaciones al acuerdo de inicio, referente al apartado
54. i)del artículo 45.4 de la LOPD, esta Agencia señalo en la propuesta de resolución que en las resoluciones invocadas por dicha compañía, correspondientes a los procedimientos sancionadores PS/00229/2007 y PS/00203/2007, se tuvo en cuenta como criterio para aplicar el artículo 45.5 de la LOPD el Acta de Inspección número 952/2006, al valorarse el esfuerzo de la entidad por implementar medidas en aras de garantizar el respeto de la normativa de protección de datos de carácter personal y los derechos de sus clientes en esa materia. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 26/30 Añadiéndose que la aplicación del artículo 45.5 de la LOPD, en atención a las medidas que se constatan en el Acta 952/2006, no debe estimarse, no obstante lo anterior, como “carta de naturaleza” en la aplicación de futuros hechos que puedan considerarse al margen de la LOPD, ya que su aplicación trae causa en un momento temporal concreto y unas circunstancias concretas en función del procedimiento sancionador tramitado, y por tanto no será de aplicación a hechos ocurridos con posterioridad a la implantación de dichas medidas, ya que se estaría “premiando” la ineficacia de las mismas. Las citadas medidas debieron ser adoptadas una vez finalizado el periodo de adaptación, desde noviembre del 2005 a mayo del 2006, por lo que ORANGE debe responsabilizarse de la correcta gestión de los datos de carácter personal de la totalidad de sus clientes, máxime cuando los datos del denunciante fueron informados al fichero ASNEF cuando habían transcurrido más de ocho años para la efectiva implantación y puesta en marcha de las medidas aplicadas en virtud de la precitada Acta para dar cumplimiento a la normativa de protección de datos. En este mismo sentido se pronuncia la Audiencia Nacional en sentencia de 17/11/2011 señalando que “Finalmente postula la aplicación del artículo 45.5 LOPD invocando en su amparo en la demanda, que la AEPD viene aplicando dicho precepto con fundamento en el Acta E/952/2006 de la Inspección de la AEPD y también invoca la existencia de un error vencible, por analogía con el artículo 14.3 del Código Penal. Es cierto que la AEPD aplicó en un determinado momento el citado precepto con base en las medidas adoptadas en dicha Acta y también lo hizo la Sala en sentencia de 1 de octubre 2008 (rec. 282/2006). Sin embargo, la Sala reconsideró posteriormente dicha postura, véase entre otras SAN, Sec. 1ª, de 29 de octubre 2008 (Rec. 84/07), argumentando que la adopción de medidas para la perfecta identificación de los clientes no puede constituir un elemento de atenuación de la responsabilidad sino que supone el cumplimiento de una obligación ordinaria exigible a las empresas que trabajan con grandes volúmenes de datos de carácter personal, sin que pueda considerarse la adopción de dichas medidas como base para apreciar disminución cualificada de la culpabilidad o de la antijuridicidad”. Tampoco la documentación aportada por ORANGE al escrito de alegaciones a la propuesta de resolución justifica que, en este supuesto concreto, resulte de aplicación el criterio
55. i)del artículo 45.4 de la LOPD, ya que a la vista de la misma cabe realizar las siguientes consideraciones: 1) La documentación aportada no contiene ninguna referencia sobre el documento en el que se integra el apartado 3, relativo a las “Gestiones asociadas a las RROO” presentado, ni tampoco refleja las fechas exactas de su creación ni de la implantación efectiva de las medidas a seguir cuando se reciba una notificación de una reclamación judicial, arbitral o administrativa relativa a una deuda de un cliente cuyos datos hubieran sido incluido previamente en un fichero de solvencia patrimonial y de crédito, por lo que no permite acreditar por sí misma que el “Procedimiento de Gestiones Asociadas a las Reclamaciones Oficiales” estuviera C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 27/30 implementado con anterioridad a los hechos constitutivos de la infracción imputada en el presente procedimiento sancionador. 2) Aún en el supuesto de que dicho Procedimiento hubiera estado en funcionamiento con anterioridad a la comisión de los hechos constitutivos de infracción, ORANGE debería haber probado que la infracción se debió a una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor, cuando todo lo razonado indica que se trata de un claro incumplimiento de los mismos a la vista de los hechos considerados probados a lo largo del procedimiento. 3) En este sentido la Audiencia Nacional en sentencia de 24/01/2014 señala que “…,omisiones que ponen de relieve lo inadecuado de los procedimientos implantados…. El hecho de que a raíz de estas actuaciones se haya suscrito un contrato con Experian al objeto de asegurarse un mejor cumplimiento de las obligaciones impuestas por los artículos 38 y 39 RLOPD y, la acreditación de su realización frente a terceros, no puede tener los efectos atenuatorios que ella pretende, pues es obligación de la citada entidad la implementación de las medidas adecuadas a tal fin. Téngase en cuenta que la recurrente es una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal, por lo que le es exigible una especial diligencia en el tratamiento de datos personales conforme reiterado criterio de esta Sala”. Lo que a su vez, está en línea con lo afirmado por la AN en la Sentencia de fecha 17/11/2011 antes citada. 4) De lo razonado en los Fundamentos de Derecho IV al VI de esta resolución se evidencia que dicha entidad no ordenó la exclusión cautelar del fichero ASNEF de los datos adversos del denunciante correspondientes a la primera incidencia cuando recibió, del responsable del citado fichero común, copia de la documentación adjuntada por el afectado a su solicitud de cancelación de datos, ya que dicha baja cautelar fue resuelta por el propio responsable del citado fichero ante la falta de respuesta de la entidad acreedora a la petición de informe de confirmación de la solicitud de cancelación de datos realizada con fecha 7 de noviembre de 2014, y para cuya emisión remitió a ORANGE copia la documentación adjuntada a dicha petición que incluía la referente a la interposición de reclamación por parte del afectado ante la SETSI (folios 36 al 52) . Además, prueba que tras recibir con fecha 20/11/2015 de la propia SETSI la notificación de dicha reclamación ORANGE volvió a instar el alta de la citada deuda al fichero ASNEF, dando lugar a la inscripción de la segunda incidencia entre el 26/02/2015 y el 09/05/2015. De lo que se colige que, en este supuesto, no se llevaron a efecto las medidas contenidas en el documento adjuntado a sus alegaciones a la propuesta de resolución. En cuanto a la rápida exclusión de los datos del denunciante de los ficheros de solvencia patrimonial alegada se recuerda que la primera incidencia se excluyó del fichero ASNEF por baja cautelar determinada por ASNEF EQUIFAX, S.L. ante la C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 28/30 falta de contestación de ORANGE al informe de confirmación de expediente solicitado por aquélla con fecha 07/11/2014 a la entidad informante de la deuda. Tampoco hubo diligencia, sino falta de rigor en el cumplimiento de los preceptos legales y reglamentarios citados en el Fundamento de Derecho II de esta propuesta de resolución, cuando ORANGE instó al fichero ASNEF el alta de los datos de carácter personal del denunciante asociados a un importe deudor cuya certeza estaba siendo objeto de valoración en el expediente tramitado por la SETSI con motivo de la reclamación administrativa interpuesta por el deudor, a pesar de lo cual mantuvo indebidamente la segunda incidencia deudora a nombre del afectado que aparece detallada en el Hecho Probado Undécimo de esta resolución en el citado fichero común por un plazo próximo a los dos meses y medio. Por todo ello, procede imponer una multa cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener la infracción imputada la consideración de grave en cualquier caso. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, se considera que operan como agravantes de la conducta que ahora se enjuicia los siguientes criterios:
56. a)El carácter continuado de la infracción, porque como ha declarado en numerosas resoluciones la Audiencia Nacional, la infracción del artículo 4.3 de la LOPD que se imputa a la denunciada, tiene naturaleza de infracción continuada o permanente, que aquí se justifica con la inclusión y mantenimiento por parte de ORANGE entre el 26/05/2015 y el 09/05/2015 de una incidencia deudora a nombre del denunciante en un fichero de solvencia patrimonial y crédito que en esas fechas adolecía de los requisitos de certeza y exactitud exigidos por la LOPD;
57. c)“la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; apartado
58. d)elevado “volumen de negocio”, toda vez que se trata de uno de los grandes operadores del país. En el Informe Económico de las Telecomunicaciones y del Sector Audiovisual 2015, referido al 2014, publicado en la web de la Comisión Nacional de los Mercados y de la Competencia, ORANGE es el tercer operador en líneas fijas y móviles en cuanto a ingresos, ostentando en 2014 el tercer lugar con un 9,4% de cuotas de mercado por líneas de telefonía fija. En móviles, en cuota de mercado por líneas activas, figura en tercer lugar con un 22,7% , representando el 19,9% en cuotas de mercado por ingresos, también en tercera posición; apartado f), el “El grado de intencionalidad” debe entenderse en el sentido de grado de culpabilidad, siendo destacable en ese sentido la grave falta de diligencia demostrada por el citado operador en la conducta que es objeto de valoración en el expediente; y apartado
59. h)en cuanto a la naturaleza de los perjuicios causados, Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, ha señalado que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 29/30 comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados; apartado
60. g)La reincidencia por comisión de infracciones de la misma naturaleza, puesto que es conocida por la entidad la imposición de reiteradas sanciones firmes por vulneración de lo dispuesto en el artículo 4.3 en su relación con lo previsto en el artículo 29 4 de la LOPD y artículo 38.1.
61. a)del RLOPD. Paralelamente, se considera que están presentes como simples circunstancias atenuantes los criterios recogido en los apartados
62. b)y
63. e)del artículo 45.4 ya citado. Así, respecto del criterio b), “el volumen de los tratamientos efectuados” ha estado asociado en lo que respecta a la infracción cometida únicamente a los datos de carácter personal del denunciante; en cuanto al criterio
64. e)referido a “los beneficios obtenidos como consecuencia de la comisión de la infracción” no hay constancia de pruebas relativas a la existencia de beneficios obtenidos a raíz de la comisión de la infracción descrita. Además, hay que hacer mención al criterio
65. j)del artículo 45.4 de la LOPD, al producirse una circunstancia que resulta relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora, ya que si bien es cierto que ORANGE vulnero el principio de calidad de datos al informar una deuda al fichero ASNEF que en esas fechas no cumplía los requisitos de certeza y exactitud exigidos por la normativa de protección de datos por los motivos razonados a lo largo de los anteriores Fundamentos de Derecho, en la resolución emitida por el citado órgano el 27 de abril de 2015 como consecuencia de la reclamación interpuesta por el denunciante contra ORANGE, se desestimaban las pretensiones del denunciante, en particular en cuanto a la baja no tramitada del servicio objeto de facturación y en cuanto a las cantidades facturadas, que la SETSI estimo se correspondían con los beneficios disfrutados por el reclamante. Por todo lo cual, y teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD se estima adecuado a la gravedad de los hechos analizados imponer a ORANGE la sanción mínima prevista en el artículo 45.2 de la LOPD para las infracciones graves como responsable de una infracción al principio de calidad de datos. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U., por una infracción del artículo 4.3 en relación con el 29.4 de la LOPD, tipificada como GRAVE en el artículo 44.3.
66. c)de la LOPD, una multa de 40.001 € (Cuarenta mil un euros) , de conformidad con lo establecido en los artículos 45.2 y 4 de la citada LOPD. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 30/30 SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U. y a Don A.A.A. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es