PS-00073-2015

1/13 Procedimiento Nº PS/00073/2015 RESOLUCIÓN: R/01813/2015 En el procedimiento sancionador PS/00073/2015, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE S.A.U., vista denuncia presentada y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 10/3/14 tienen entrada en la Agencia Española de Protección de Datos escritos de denuncia presentados por Dña. A.A.A. con NIF ***NIF.1, en el que expone que la entidad ORANGE ESPAGNE SAU ha incluido sus datos personales en los ficheros de información de solvencia patrimonial sin haberle requerido previamente el pago ni haberle informado en caso de impago de su posible inclusión en los citados ficheros. Se adjunta diversa documentación en relación a los hechos denunciados: SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/02876/2014. Concluyéndose la investigación con el informe de la Inspección de Datos de fecha 2/2/15. TERCERO: El Director de la Agencia Española de Protección de Datos acordó, con fecha 24/2/15 iiniciar procedimiento sancionador a ORANGE ESPAGNE S.A. Por la presunta infracción del art 4.3 de la LOPD. CUARTO: Notificado el acuerdo de inicio, la Entidad ORANGE, mediante escrito de fecha 20/3/15 formuló alegaciones, significando de manera sucinta lo siguiente: De la Infracción del art. 4.3 de la LOPD. Ausencia de culpabilidad. Que es la empresa Experian es la encargada de realizar dichos requerimientos previos al pago en virtud del contrato de 5/6/12. Que por tanto en la medida que Orange no ha realizado, ni por acción ni por omisión, la actividad susceptible de ser sancionada no le puede ser impuesta la sanción prevista en la LOPD. De la aplicación del art. 45.5 de la LOPD. Se solicita subsidiariamente, en virtud de que el requerimiento de pago fue realizado por Experian y no existe constancia de que hubiese sido devuelto QUINTO: Con fecha 25/3/15 se abrió periodo de práctica de pruebas, según lo dispuesto en el artículo 17.1 del Real Decreto 1398/1993, de 4 de agosto, practicándose las siguientes: <<<<< 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ORANGE ESPAGNE S.A.U., y el Informe de actuaciones previas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 Inspección que forman parte del expediente E/02876/2014. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00073/2015 presentadas por ORANGE ESPAGNE S.A.U., y la documentación que a ellas acompaña. 3. Solicitar a Experian la siguiente información: - Acreditación de la recepción por la denunciante del requerimiento de pago de la deuda informada por Orange de 202,93 euros de fecha de alta en el fichero Asnef 14/9/12 - Fecha de baja, si se ha producido de dicha deuda y causa de la misma >>>>> SEXTO: Por la entidad Experian se ha remitido contestación a las pruebas solicitadas manifestándose lo siguiente: * Se adjunta copia del certificado de impresión y envió del requerimiento de pago de la entidad Orange a la denunciante. Se acredita la no devolución del Requerimiento por los servicios postales SEPTIMO: Por el instructor del procedimiento se emitió, con fecha 16/6/15, la siguiente propuesta de resolución: <<<<< Que por el Director de la Agencia Española de Protección de Datos se sancione a ORANGE ESPAGNE S.A. con multa de 50.000 € (cincuenta mil euros) por la infracción del artículos 4.3" de la LOPD, tipificada como grave en el artículo 44.3.c de dicha norma. >>>>> OCTAVO: Con fecha 9/7/15 se ha recibido escrito de alegaciones de Orange, ante la propuesta de resolución, manifestando, en síntesis lo siguiente: * Se reitera en su escrito de 18/3/15 manifestando que el requerimiento de pago a la denunciante fue realizado por Experian y no existe constancia de que hubiese sido devuelto. * Que Orange no ha realizado, por acción u omisión, la actividad susceptible de ser sancionada por lo que no le puede ser impuesta la sanción prevista en la LOPD. * Subsidiariamente aplicación del art. 45.5, procediéndose a moderar la sanción, puesto que una cosa es no se realizase ningún requerimiento y otra muy distinta en que se efectuase con posterioridad tal como ha ocurrido en este supuesto. HECHOS PROBADOS 1º Consta denuncia presentada por Dña. A.A.A. con NIF ***NIF.1, en el que expone que ORANGE ha incluido sus datos personales en los ficheros de información de solvencia patrimonial EXPERIAN/BADEXCUG sin haberle requerido previamente el pago ni haberle informado en caso de impago de su posible inclusión en los citados ficheros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 2º Consta la siguiente documentación aportada junto al escrito de denuncia: * Copia del escrito de fecha 12/02/2014 remitido por EXPERIAN (a (C/.............1), Sevilla), en el cual se le comunica que sus datos (entre los cuales figura la siguiente dirección: (C/.............2), Sevilla) se encuentran registrados en su fichero BADEXCUG, referidos a la operación número ***NÚMERO.1 en base al impago informado por la entidad ORANGE, de un producto de telecomunicación por importe de 202,93 € con fecha de alta 16/09/2012 y fecha última de actualización 09/02/2014. * Copia del escrito de consulta al fichero ASNEF, de fecha 24/02/2014, en el que constan los siguientes datos: A.A.A., con dirección (C/.............2), Sevilla, informados por la entidad ORANGE ESPAGNE S.A.U, en relación a un producto de telecomunicaciones por importe de 202,93 €, con fecha de alta 14/09/2012. 3º Constan las siguientes manifestaciones de en relación a los hechos denunciados * Que la denunciante figura en sus sistemas de información como titular de varios servicios de telefonía móvil y fija. * Al efecto constan las siguientes direcciones de contacto con la denunciante: -- Con el código CODE ***CODE.1: (C/.............2), Sevilla. -- Con el código CODE ***CODE.2: (C/.............3), Sevilla. -- Por un servicio de telefonía fija: (C/.............4), Sevilla. 4º Consta manifestaciones en el sentido que tiene suscrito un contrato con la empresa EXPERIAN BUREAU DE CRÉDITO S.A con objeto de realizar “el servicio de Envío de Notificaciones de Requerimiento Previo, incluyendo un Servicio de Gestión”. Se aporta copia del Contrato de Prestación de Servicios Nº ***CONTRATO.1 suscrito entre las partes con fecha 5 de junio de 2012. 5º ORANGE aporta copia de un certificado expedido por EXPERIAN con fecha 16/05/14 junto al cual acompaña: -- Copia de requerimiento previo de pago de 05/03/2013 remitido a la denunciante con domicilio en (C/.............2) (Sevilla), informándole de la existencia de una deuda por valor de 72,59 € correspondiente a la última factura de fecha 26/01/2013 y de la posibilidad, en caso de impago de la misma en un plazo no superior a 5 días, por parte de ORANGE de la comunicación de sus datos a los ficheros ASNEF y BADEXCUG. -- Este requerimiento previo de pago se encuentra identificado con el código P0*************1. -- Según manifiesta EXPERIAN, el código tiene la siguiente lectura: El número inicial “P” es común a todas las claves. “*****” es la clave que EXPERIAN tiene asignada a ORANGE. “*******” es el número secuencial que ha correspondido al documento, y que se asigna automáticamente por el proveedor del servicio de impresión para cada entidad y fecha. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 “*********” hace referencia a la fecha de emisión de la notificación, siendo ésta el 05/03/2013. 6º EXPERIAN manifiesta que tiene subcontratado el servicio de impresión de sus cartas con la empresa IMPRE-LASER S.L. -- Se adjunta certificado emitido por esa empresa, acreditativo de la impresión de 23.520 cartas de “Requerimientos Previos de Pago”, entre los cuales figuran un total de 6.246 requerimientos correspondientes a ORANGE y conforme al cual, el requerimiento analizado fue objeto de carga el día 03/03/2013. -- EXPERIAN manifiesta que tiene subcontratado el servicio de envío de las notificaciones de requerimiento previo de pago con la empresa CREA FBC MARKETING S.L y que dichas notificaciones se envían a través del operador postal UNIPOST. -- Aporta certificado al respecto, que refleja la entrega a UNIPOST de un total de 23.520 cartas relativas a la carga 03/03/2013, que se corresponden con la nota de entrega de intercambio sellada el 05/03/2013 por UNIPOST. -- EXPERIAN manifiesta que además presta el Servicio de Gestión de devoluciones de requerimientos previos de pago, no teniendo constancia de que el requerimiento objeto de este análisis haya sido devuelto por los servicios postales a fecha de firma 16/05/2014. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/2876/2014 se determinó que salvo prueba en contrario, ORANGE no había acreditado el cumplimiento del requerimiento previo de pago, con anterioridad a la incorporación de los datos personales a los ficheros de solvencia. III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
2. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
3. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos de la denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. IV Se imputa a ORANGE en el presente la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La Directiva 95/46 CE del Parlamento Europeo y del Consejo, que traspone la LOPD, por su parte, establece en su artículo 6. I.
4. d)que “Los Estados miembros dispondrán que los datos personales sean….
5. d)exactos, y cuando sea necesario, actualizados. Deberán tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que: “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los dispuesto en el apartado I”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD se regula de forma específica los ficheros que prestan servicios de información sobre solvencia patrimonial y crédito. En los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias los datos son facilitados por el acreedor o por quien actúe por su cuenta o interés. En particular, el artículo 29.2 de la Ley Orgánica 15/1999 dispone que “podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el creedor o por quien actúe por su cuenta o interés”, añadiendo que “en estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Asimismo, el apartado 3 del precepto señala que “cuando el interesado lo solicite, el responsable del tratamiento le comunicará los datos, así como las evaluaciones y apreciaciones que sobre el mismo hayan sido comunicadas durante los últimos seis meses y el nombre y dirección de la persona o entidad a quien se hayan revelado los datos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 Por último, en cuanto a los plazos de conservación de los datos, el artículo 29.4 dispone que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. Este régimen se desarrolla con mayor detalle por la Sección segunda del Capítulo I del Título IV del Reglamento de desarrollo de la Ley Orgánica aprobado por Real Decreto 1720/2007 de 21 de diciembre, en adelante RDLOPD. Así, en cuanto a los requisitos que habrá de tener la deuda para que proceda su inclusión en el fichero, el artículo 38.1 del Reglamento, en la redacción resultante de la Sentencia del Tribunal Supremo de 15 de julio de 2010 aclara que “sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
6. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.
7. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
8. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. De este modo, sólo en caso de que la deuda reúna los requisitos citados, no haya transcurrido el plazo citado y, en todo caso, se haya producido el requerimiento de pago al deudor al que se refiere el precepto será posible incorporar aquélla a los ficheros de solvencia patrimonial y crédito, estableciendo además el artículo 38.3 del reglamento que “el acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. Junto a tales requisitos, será preciso que en el momento de celebrar el acreedor el contrato en cuyo desenvolvimiento se produzca el impago de la obligación aquél haya informado al deudor ”que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”, tal y como prescribe el artículo 39 del Reglamento; todo ello con el fin de que el deudor tenga pleno conocimiento desde el momento en que contrae la obligación de su eventual inclusión, en caso de impago, en el sistema. Y asimismo, dicho requerimiento habrá de efectuarse, en virtud del mismo precepto “en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
9. c)del apartado 1 del artículo anterior”, esto es, el requerimiento previo de pago. En definitiva se desprende que uno de los requisitos para incluir deudas en ficheros comunes, es que vayan precedidos de un requerimiento de pago. Este requerimiento de pago ha de ir dirigido a la persona a quien corresponda realizar el pago, puesto que se trata de una intimación para el pago de la deuda, una exigencia para que se proceda al cumplimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 Debe tenerse en cuenta que de dicho requerimiento ha de ser recepticio, no solo estar dirigido e a la persona concreta que ha de cumplir la obligación sino también acreditando la recepción del requerimiento. Recayendo sobre el responsable del fichero la carga de la prueba de la recepción de la notificación por parte del afectado cuyos datos se han incorporado al fichero común de morosidad, no bastando la mera acreditación del envío de la comunicación. En relación al efecto probatorio de la notificación a los interesados del tratamiento de sus datos personales la Audiencia Nacional ha manifestado en su sentencia de 24/1/03 que la mera contratación de un medio independiente para la notificación no acredita más que la existencia del contrato, pero no que se ha hecho el envío, del mismo modo que la prueba del envío de una notificación no acredita por sí misma su recepción por el afectado. Así, si el destinatario niega la recepción, la carga de la prueba del envío recae sobre el responsable del tratamiento. En cuanto a los medios que pueden considerarse como válidos para que el responsable del fichero pueda acreditar el envío y la recepción del requerimiento, está, entre otros, el acceso al servicio de devoluciones de correos por parte de quien ha efectuado la notificación, de modo que si el envío consta como devuelto no se tratarían los datos y por el contrario, si no consta como devueltos se procedería a su tratamiento. En definitiva se trata de utilizar un medio que permita acreditar el envío y la recepción de dicho requerimiento. En este sentido hay que tener en cuenta lo previsto en el art. artículo 40.3 del RD 1720/2007, en los siguientes términos: “La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que la permita acreditar la efectiva realización de los envíos”; no se exige, por tanto, necesariamente, el correo certificado, pudiendo acudirse a un tercero independiente que permita acreditar la realización de los envíos. Y también analógicamente podemos aplicar las normas que sobre la notificación de inclusión en estos ficheros establece el apartado 4 del precitado artículo: “En todo caso, será necesario que el responsable del fichero pueda conocer si la notificación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. No se entenderán suficientes para que no se pueda proceder al tratamiento de los datos referidos a un interesado las devoluciones en las que el destinatario haya rehusado recibir el envío”. La exigencia de que la deuda sea cierta, responde al principio de veracidad y exactitud de los datos recogido en el artículo 4.3 de la LOPD, su infracción se tipifica como grave en el art. 44.3.c que establece como tal: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación der los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cundo sea constitutivo de infracción muy grave” Dicho requerimiento previo de pago constituye un requisito autónomo y formal que debe necesariamente cumplirse aun cuando la deuda sea cierta, vencida y exigible. En el caso que nos ocupa consta que Orange ha contratado con Experian el servicio de impresión y envío de requerimientos previos. Certificándose por Experian que con fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 5/3/13 fue enviado un requerimiento de pago que fue dado de alta con fecha 3/3/13 con los siguientes datos: Número del documento identificativo: ***NIF.1 Código de operación ***NÚMERO.1 Nombre y Apellidos: A.A.A. Dirección: (C/...............2), Sevilla Importe impagado: 72,59 Consta así mismo que la denunciante solicitó ante Experian, con fecha 12/2/14 acceso a los datos asociados a su identificador, constando una operación (***NÚMERO.1) informada por Orange con fecha de alta 16/9/12. Se deduce pues que no se ha aportado documentación suficiente que ORANGE llevara a cabo requerimiento de pago a la denunciante por el importe al momento de la inclusión (16/9/12), y ello con carácter previo a esta inclusión de sus datos de carácter personal (en concreto nombre, apellidos, domicilio y núm. de DNI) en Experian. Se concluye pues que ORANGE vulneró el principio de calidad de datos consagrado en el artículo 4 de la LOPD cuando informó para su registro en el fichero de una deuda sin haber acreditado el cumplido el requisito material de requerir previamente del pago con anterioridad a la inclusión de la deuda en los ficheros de morosidad, vulnerándose el principio de calidad del dato, contemplado en el art. 4, siendo responsable de la infracción del artículo 29.4 de la LOPD en relación con el artículo 38.1
10. c)del RFLOPD. V Consta acreditado en esta Agencia que las entidades asociadas a ficheros de morosidad suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales de la persona denunciante son datos que figuran en sus propios ficheros automatizados. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
11. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
12. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y qué duda cabe que la LOPD comprende bajo su régimen sancionador, al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por ORANGE puede subsumirse o no en tales definiciones legales. Y ello tanto es así, puesto que la entidad imputada trató automatizadamente en sus propios ficheros los datos relativos al denunciante y a la deuda; datos de los que es responsable conforme al artículo 3.
13. d)citado. Adicionalmente, decidió sobre la finalidad, contenido y uso del tratamiento y resolvió autónomamente sobre su incorporación a unos ficheros comunes de solvencia patrimonial y crédito. Dicha comunicación se realizó, a mayor abundamiento, mediante un procedimiento que implicaba un tratamiento automatizado de datos cuyo destino era, a su vez, un tratamiento automatizado por parte de los responsables de los ficheros de solvencia, siendo dados de alta al culminar el proceso descrito. De lo expuesto se deduce que la entidad imputada ha sido responsable del tratamiento de datos de la persona denunciante en sus propios ficheros, de su comunicación a través de tratamientos automatizados al responsable del fichero común y de que el tratamiento automatizado de la información relativa a la denunciante no responda a los principios de calidad de datos recogidos en el artículo 4.3 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Conforme a lo expuesto, dicha la entidad no se ha limitado a transmitir la información al responsable del fichero común sobre solvencia patrimonial, sino que ha tratado automatizadamente los datos de solvencia en sus propios ficheros, los ha comunicado a través de tratamientos automatizados al fichero común, y, particularmente, ha decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudor), el contenido de la información (una supuesta deuda), y el uso del tratamiento (la incorporación a un fichero común de información sobre solvencia patrimonial y crédito, al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). Esto supone una vulneración del principio de calidad del dato del que debe responder ORANGE por ser responsable de la veracidad y calidad de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en el fichero de solvencia patrimonial y crédito. La conclusión, que se desprende de los hechos y fundamentos de derecho expuestos, es que ORANGE es responsable de la infracción del principio de calidad del dato, recogido en el artículo 4.3 de la LOPD, en relación con el 29.4 de la misma norma y en relación también con los artículos 38 y 39 del RLOPD, y en los términos del artículo 43, en relación con el artículo 3, apartados
14. c)y d), también de la citada Ley Orgánica. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 El artículo 44.3.
15. c)de la LOPD establece como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” La Agencia Española de Protección de Datos como ya se ha indicado más arriba ha resuelto numerosos procedimientos sancionadores por incumplimiento de calidad de datos en relación con ficheros de morosidad, tanto por alta improcedente por ser una deuda incierta o por mantener los mismos una vez abonada la deuda (requisito material: exactitud del dato) o por una deuda no requerida previamente de pago por el acreedor al deudor (requisito formal: requerimiento previo), como se trata en el presente caso. Por su parte, la Audiencia Nacional decía en su sentencia de fecha 16 de febrero de 2001: “Vista la conducta de la hoy actora, cabe apreciar que ha hecho uso de unos datos relativos a la insolvencia de una persona, conculcando los principios y garantías establecidas en la Ley (…) concretamente el de la certeza de los datos, que deben ser exactos, de forma que respondan con veracidad a la situación real del afectado, como exige su artículo 4.3 (…) ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón de ello, ha de extremarse la diligencia para que los posibles errores no se produzcan”. No olvidemos que se trata de algo muy importante: fichar a ciudadanos como morosos. Es criterio compartido que aquél que utiliza un medio extraordinario de cobro, como es el de inclusión en registros de morosos, debe garantizar el cumplimiento de todos los requisitos materiales y formales ya vistos, y así permitir el empleo de este modo accesorio para conseguir el cobro de la deuda. No aplicar estas exigencias supondría, por lo contrario, utilizar este medio de presión al ciudadano sin las suficientes garantías mínimas para los titulares de los datos personales objeto de anotación en los ficheros de solvencia patrimonial y crédito. Tanto es así que el Tribunal Supremo considera “intromisión ilegítima en el derecho al honor” acudir a este medio de presión, pues “la inclusión en los registros de morosos no puede ser utilizada por las grandes empresas para buscar el cobro de las cantidades que estimen pertinentes, amparándose en el temor al descrédito personal y menoscabo de su prestigio profesional y denegación a acceso al sistema crediticio” (SSTS. 176/2013 de 6 de marzo y 12/2014 de 22 de enero, ratificando la indemnización impuesta por inclusión indebida). En resumen, no existe documentación suficiente en el expediente que acredite la realización del requerimiento previo de pago al denunciante, con anterioridad a 16/9/12 (fecha de alta de sus datos en el fichero Badexcug) por parte de la entidad imputada, por lo que debe deducirse que ORANGE ha incurrido en la infracción descrita, ya que el principio de la calidad del dato es básico del derecho fundamental a la protección de datos. La entidad mencionada ha tratado los datos de la denunciante infringiendo tal principio, lo que supone una vulneración del artículo 4.3, en relación con el 29.4, ambos de la LOPD, y en relación también con su desarrollo reglamentario, conducta que encuentra su tipificación en el artículo 44.3.
16. c)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 VII El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece, según también la nueva redacción dada por la Ley 2/2011, que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
17. a)El carácter continuado de la infracción.
18. b)El volumen de los tratamientos efectuados.
19. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
20. d)El volumen de negocio o actividad del infractor.
21. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
22. f)El grado de intencionalidad.
23. g)La reincidencia por comisión de infracciones de la misma naturaleza.
24. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
25. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
26. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
27. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
28. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
29. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
30. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
31. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", para ello es necesario la concurrencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, se tiene en consideración la realización del requerimiento de pago, que aún realizándose con posterioridad a la inclusión del dato del afectado en Experian, debe tenerse en cuenta a los efectos de la atenuación de la sanción. En cuanto a las circunstancias tenidas en cuenta para fijar el importe de la sanción, en aplicación de los criterios de graduación de las sanciones establecidos en el artículo 45.4, se han tenido en cuenta las siguientes - Se imputa el incumplimiento de un requisito formal: la falta de requerimiento previo con anterioridad a la inclusión; pero no la existencia o exactitud de la deuda, teniendo en cuenta que se trata además de una incidencia puntual puesto que la entidad tiene implementado un procedimiento para la gestión del recobro de la deuda y las cartas de requerimiento si fueron enviadas y no consta como devueltas. Procede apreciar este motivo para la aplicación de la facultad contemplada en el artículo 45.5, Sin embargo al no constar contactos entre la denunciante y la entidad no procede aplicar el atenuante de la diligencia en la graduación de la sanción. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, el carácter continuado de la infracción, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal y el volumen de negocio de la misma, procede imponer una multa de 30.000 € por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE S.A.U., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.c de dicha norma, una multa de 30.000 € (treinta mil euros) de conformidad con lo establecido en el artículo 44.4 de la citada Ley Orgánica. SEGUNDO NOTIFICAR la presente resolución a ORANGE ESPAGNE S.A.U. y a Dª A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es